Sekitar 30.000 perusahaan di Jerman wajib memenuhi persyaratan Undang-Undang Pelaksanaan NIS-2. Denda yang dikenakan bisa mencapai 10 juta euro atau 2 persen dari omzet tahunan. Selain itu, jajaran manajemen bertanggung jawab secara pribadi atas kelalaian yang dilakukan – tanggung jawab ini tidak dapat didelegasikan.

Pasal 30 BSIG (Undang-Undang BSI) mendefinisikan sepuluh bidang tindakan yang harus dipenuhi oleh setiap lembaga yang tercakup: analisis risiko dan keamanan TI, penanganan insiden keamanan, kelangsungan bisnis, keamanan rantai pasokan, keamanan dalam pengadaan dan pengembangan, penilaian efektivitas, kebersihan siber dan pelatihan, kriptografi dan enkripsi, keamanan personel, serta otentikasi multi-faktor.

Dalam kasus insiden keamanan yang signifikan, Pasal 32 BSIG mewajibkan pelaporan berjenjang kepada BSI – sejak insiden tersebut diketahui: peringatan dini dalam waktu 24 jam, laporan insiden lengkap dalam waktu 72 jam, dan laporan akhir selambat-lambatnya satu bulan setelahnya. Siapa pun yang belum menetapkan proses ini sebelumnya, tidak akan dapat mengorganisasikannya saat terjadi keadaan darurat.

Meskipun undang-undang tersebut tidak secara eksplisit menyebut istilah “ISMS” (Sistem Manajemen Keamanan Informasi), Pasal 30 Ayat 2 BSIG justru mensyaratkan unsur-unsur dasarnya: analisis risiko, konsep keamanan, budaya keamanan yang diterapkan melalui pelatihan kesadaran, serta pengujian efektivitas secara berkelanjutan melalui audit atau uji penetrasi. Buat mereka yang menjalankan ISMS sesuai dengan ISO/IEC 27001 atau BSI IT-Grundschutz, sudah memenuhi 80 hingga 90 persen dari kerangka dasar yang disyaratkan.