Cerca de 30.000 empresas na Alemanha devem cumprir os requisitos da Lei de Implementação da NIS-2. As multas podem chegar a 10 milhões de euros ou 2% do faturamento anual. Além disso, a diretoria é pessoalmente responsável por omissões decorrentes de negligência – essa responsabilidade não pode ser delegada.

O § 30 da BSIG (Lei do BSI) define dez áreas de atuação que todas as instituições abrangidas devem cobrir: análise de riscos e segurança de TI, gerenciamento de incidentes de segurança, continuidade de negócios, segurança da cadeia de suprimentos, segurança na aquisição e no desenvolvimento, avaliação da eficácia, higiene cibernética e treinamentos, criptografia e criptografia, segurança do pessoal e autenticação multifatorial.

Em caso de incidentes de segurança graves, o § 32 da BSIG exige uma notificação em etapas ao BSI – a partir do momento em que o incidente for constatado: alerta precoce no prazo de 24 horas, notificação completa do incidente no prazo de 72 horas e relatório final no prazo máximo de um mês. Quem não tiver estabelecido esse processo com antecedência não poderá organizá-lo em caso de emergência.

Embora a lei não mencione o termo “ISMS” (Sistema de Gestão de Segurança da Informação), ela exige, no § 30, parágrafo 2, da BSIG, exatamente seus componentes: análise de riscos, conceitos de segurança, cultura de segurança praticada com treinamentos de conscientização e avaliação contínua da eficácia por meio de auditorias ou testes de penetração. Quem opera um ISMS de acordo com a norma ISO/IEC 27001 ou com a norma BSI IT-Grundschutz já cumpre de 80 a 90 por cento da estrutura básica exigida.