ドイツ国内の約3万社の企業が、NIS-2実施法の要件を満たさなければなりません。罰金は最大1,000万ユーロ、あるいは年間売上高の2％に上ります。さらに、過失による不履行があった場合、経営陣は個人として責任を負うことになり、この責任は委譲できません。

BSIG（BSI法）第30条では、対象となるすべての機関が対応すべき10の行動分野が定義されている。それらは、リスク分析とITセキュリティ、セキュリティインシデントへの対応、事業継続、サプライチェーンのセキュリティ、調達および開発におけるセキュリティ、有効性の評価、サイバー衛生と研修、暗号技術と暗号化、人材セキュリティ、および多要素認証である。

重大なセキュリティインシデントが発生した場合、BSIG第32条では、インシデントが判明した時点から、BSIへの段階的な報告が義務付けられています。具体的には、24時間以内に早期通報、72時間以内に完全なインシデント報告、遅くとも1か月以内に最終報告書を提出する必要があります。このプロセスを事前に確立しておかないと、いざという時に適切に対応することができなくなります。

同法では「ISMS」（情報セキュリティマネジメントシステム）という用語は明記されていないものの、BSIG第30条第2項において、まさにその構成要素、すなわちリスク分析、セキュリティコンセプト、意識向上トレーニングを伴う実践的なセキュリティ文化、および監査や侵入テストによる継続的な有効性検証を要求している。 ISO/IEC 27001またはBSI IT-Grundschutzに基づくISMSを運用している組織は、要求される基本枠組みの80～90パーセントを網羅していることになる。