Al voltant de 30.000 empreses a Alemanya han de complir els requisits de la Llei d'Implementació de la NIS 2. Les multes poden arribar fins a 10 milions d'euros o al 2 % de la facturació anual. A més, la direcció superior és personalment responsable de les omissions per negligència: aquesta responsabilitat no es pot delegar.

L'article 30 de la BSIG (Llei BSI) defineix deu àrees d'activitat que cada organització coberta ha de tractar: anàlisi de riscos i seguretat informàtica, resposta a incidents, continuïtat del negoci, seguretat de la cadena de subministrament, seguretat en la contractació i el desenvolupament, avaluació de l'eficàcia, higiene cibernètica i formació, criptografia i xifratge, seguretat del personal i autenticació multifactorial.

En cas d'incidents de seguretat significatius, la Secció 32 de la BSIG exigeix un procés de notificació escalonat al BSI des del moment en què l'incident surt a la llum: un avís previ dins de les 24 hores, un informe complet de l'incident dins de les 72 hores i un informe final com a màxim un mes després. Qualsevol que no hagi establert aquest procés per endavant no podrà organitzar-lo en una emergència.

Tot i que la Llei no esmenta específicament el terme 'ISMS' (Sistema de Gestió de la Seguretat de la Informació), la Secció 30(2) de la BSIG exigeix precisament els seus elements constituents: anàlisi de riscos, conceptes de seguretat, una cultura de seguretat posada en pràctica mitjançant formació de conscienciació i comprovacions d'eficàcia contínua mitjançant auditories o proves de penetració. Qualsevol que operi un SGSI d'acord amb la norma ISO/IEC 27001 o amb el BSI IT-Grundschutz haurà cobert entre el 80 i el 90 per cent del marc requerit.