Alrededor de 30 000 empresas en Alemania deben cumplir los requisitos de la Ley de aplicación de la Directiva NIS-2. Las multas pueden alcanzar los 10 millones de euros o el 2 % de la facturación anual. Además, la dirección de la empresa responde personalmente por los incumplimientos por negligencia; esta responsabilidad no es delegable.

El artículo 30 de la BSIG (Ley de la BSI) define diez ámbitos de actuación que debe abarcar toda entidad sujeta a esta normativa: análisis de riesgos y seguridad informática, gestión de incidentes de seguridad, continuidad del negocio, seguridad de la cadena de suministro, seguridad en la adquisición y el desarrollo, evaluación de la eficacia, ciberhigiene y formación, criptografía y cifrado, seguridad del personal y autenticación multifactorial.

En caso de incidentes de seguridad graves, el artículo 32 de la BSIG exige una notificación por etapas a la BSI, desde el momento en que se tiene conocimiento del incidente: alerta temprana en un plazo de 24 horas, notificación completa del incidente en un plazo de 72 horas e informe final a más tardar al cabo de un mes. Quien no haya establecido este proceso de antemano, no podrá organizarlo en caso de emergencia.

Aunque la ley no menciona el término «SGSI» (Sistema de Gestión de la Seguridad de la Información), en el artículo 30, apartado 2, de la BSIG exige precisamente sus componentes fundamentales: análisis de riesgos, conceptos de seguridad, una cultura de seguridad arraigada con cursos de sensibilización y una evaluación continua de la eficacia mediante auditorías o pruebas de penetración. Quien implemente un SGSI conforme a la norma ISO/IEC 27001 o al BSI IT-Grundschutz, habrá cubierto entre el 80 % y el 90 % del marco básico exigido.