Alrededor de 30 000 empresas en Alemania deben cumplir con los requisitos de la ley de implementación de la Directiva NIS-2. Las multas pueden alcanzar hasta 10 millones de euros o el 2 por ciento de la facturación anual. Además, la dirección es personalmente responsable en caso de omisiones por negligencia; esta responsabilidad no es delegable.

El artículo 30 de la BSIG (Ley de la BSI) define diez áreas de acción que toda institución sujeta a esta ley debe cubrir: análisis de riesgos y seguridad de la tecnología de la información, gestión de incidentes de seguridad, continuidad del negocio, seguridad de la cadena de suministro, seguridad en la adquisición y el desarrollo, evaluación de la eficacia, ciberhigiene y capacitación, criptografía y encriptación, seguridad del personal y autenticación multifactorial.

En caso de incidentes de seguridad graves, el artículo 32 de la Ley de Seguridad de la Información de Alemania (BSIG) exige una notificación por etapas al BSI, desde el momento en que se tiene conocimiento del incidente: alerta temprana en un plazo de 24 horas, notificación completa del incidente en un plazo de 72 horas e informe final a más tardar al cabo de un mes. Quien no haya establecido este proceso de antemano, no podrá organizarlo en caso de emergencia.

Aunque la ley no menciona el término «ISMS» (Sistema de Gestión de Seguridad de la Información), en el artículo 30, párrafo 2, de la BSIG exige precisamente sus componentes fundamentales: análisis de riesgos, conceptos de seguridad, una cultura de seguridad integrada en la práctica con capacitaciones de concientización y una verificación continua de la eficacia mediante auditorías o pruebas de penetración. Quien cuente con un SGSI conforme a la norma ISO/IEC 27001 o al BSI IT-Grundschutz, ya cumple entre el 80 y el 90 por ciento del marco básico requerido.