Environ 30 000 entreprises en Allemagne doivent se conformer aux exigences de la loi de transposition de la directive NIS 2. Les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel. De plus, la direction est personnellement responsable en cas de manquements par négligence – cette responsabilité ne peut être déléguée.

L'article 30 de la loi BSIG (loi sur le BSI) définit dix domaines d'action que chaque organisme concerné doit couvrir : analyse des risques et sécurité informatique, gestion des incidents de sécurité, continuité des activités, sécurité de la chaîne d'approvisionnement, sécurité lors de l'acquisition et du développement, évaluation de l'efficacité, cyber-hygiène et formations, cryptographie et chiffrement, sécurité du personnel et authentification multifactorielle.

En cas d'incidents de sécurité majeurs, l'article 32 de la loi BSIG impose une déclaration échelonnée au BSI dès la prise de connaissance de l'incident : alerte précoce dans les 24 heures, déclaration complète de l'incident dans les 72 heures, rapport final au plus tard au bout d'un mois. Quiconque n'a pas mis en place ce processus au préalable ne sera plus en mesure de l'organiser en cas d'urgence.

Bien que la loi ne mentionne pas le terme « ISMS » (système de gestion de la sécurité de l’information), elle en exige précisément les éléments constitutifs à l’article 30, paragraphe 2, de la BSIG : analyse des risques, concepts de sécurité, culture de la sécurité ancrée dans les pratiques avec des formations de sensibilisation et contrôle continu de l’efficacité par des audits ou des tests d’intrusion. Quiconque met en œuvre un SMSI conforme à la norme ISO/IEC 27001 ou au référentiel « IT-Grundschutz » du BSI couvre 80 à 90 % du cadre de base requis.