德国约有30,000家企业必须符合《NIS-2实施法》的要求。罚款金额最高可达1000万欧元或年营业额的2%。此外，管理层对因过失导致的疏漏承担个人责任，且该责任不可转嫁。

《BSIG法》（BSI法）第30条界定了十个行动领域，每个受监管机构都必须涵盖这些领域：风险分析与IT安全、安全事件应对、业务连续性、供应链安全、采购与开发安全、有效性评估、网络安全卫生与培训、密码学与加密、人员安全以及多因素身份验证。

对于重大安全事件，《联邦信息安全法》（BSIG）第32条要求向联邦信息安全局（BSI）分阶段上报。自事件被发现之日起：24小时内发出早期预警，72小时内提交完整事件报告，最迟一个月内提交最终报告。若未事先建立该流程，在紧急情况下将无法组织实施。

虽然该法律并未提及“ISMS”（信息安全管理体系）这一术语，但在《联邦信息安全法》（BSIG）第30条第2款中，却明确要求其构成要素：风险分析、安全方案、通过安全意识培训形成的切实安全文化，以及通过审核或渗透测试进行的持续有效性验证。凡是按照ISO/IEC 27001或BSI IT基础保护标准运行ISMS的机构，已满足80%至90%的框架要求。