Circa 30.000 aziende in Germania devono soddisfare i requisiti previsti dalla legge di attuazione della direttiva NIS 2. Le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo. Inoltre, in caso di omissioni dovute a negligenza, la direzione aziendale è personalmente responsabile: tale responsabilità non è delegabile.

L'articolo 30 della BSIG (Legge sul BSI) definisce dieci ambiti di intervento che ogni ente soggetto alla normativa deve coprire: analisi dei rischi e sicurezza informatica, gestione degli incidenti di sicurezza, continuità operativa, sicurezza della catena di fornitura, sicurezza nell'acquisizione e nello sviluppo, valutazione dell'efficacia, "cyber-igiene" e formazione, crittografia e crittografia, sicurezza del personale e autenticazione a più fattori.

In caso di incidenti di sicurezza di grave entità, l’articolo 32 della BSIG prevede una segnalazione graduale al BSI a partire dal momento in cui si viene a conoscenza dell’incidente: segnalazione preliminare entro 24 ore, segnalazione completa dell’incidente entro 72 ore, relazione finale entro un mese al più tardi. Chi non ha predisposto in anticipo questa procedura, in caso di emergenza non sarà più in grado di organizzarla.

Sebbene la legge non menzioni espressamente il termine “ISMS” (Sistema di gestione della sicurezza delle informazioni), al §30, comma 2, della BSIG ne richiede proprio gli elementi costitutivi: analisi dei rischi, piani di sicurezza, una cultura della sicurezza consolidata con corsi di sensibilizzazione e verifiche continue dell’efficacia tramite audit o test di penetrazione. Chi gestisce un ISMS conforme alla norma ISO/IEC 27001 o allo standard BSI IT-Grundschutz soddisfa già dall’80 al 90 per cento dei requisiti di base richiesti.