독일 내 약 3만 개의 기업이 NIS-2 이행법의 요건을 충족해야 합니다. 과태료는 최대 1,000만 유로 또는 연간 매출액의 2%에 달합니다. 또한, 과실로 인한 소홀함이 있을 경우 경영진은 개인적으로 책임을 져야 하며, 이 책임은 위임할 수 없습니다.

§30 BSIG(BSI법)은 모든 적용 대상 기관이 반드시 다루어야 할 10가지 실행 분야를 정의하고 있습니다: 위험 분석 및 IT 보안, 보안 사고 대응, 비즈니스 연속성, 공급망 보안, 조달 및 개발 시 보안, 효과성 평가, 사이버 위생 및 교육, 암호학 및 암호화, 인력 보안, 다중 요소 인증.

중대한 보안 사고가 발생할 경우, §32 BSIG는 사고가 확인된 시점부터 BSI에 단계별 보고를 요구합니다. 즉, 24시간 이내에 초기 경보를, 72시간 이내에 완전한 사고 보고서를, 그리고 늦어도 한 달 이내에 최종 보고서를 제출해야 합니다. 사전에 이 절차를 마련해 두지 않은 경우, 긴급 상황에서는 이를 제대로 처리할 수 없습니다.

이 법은 “ISMS”(정보 보안 관리 시스템)라는 용어를 명시적으로 언급하지는 않지만, BSIG 제30조 제2항에서 바로 그 구성 요소들, 즉 위험 분석, 보안 개념, 인식 제고 교육을 통한 실천적인 보안 문화, 그리고 감사나 침투 테스트를 통한 지속적인 효과성 평가를 요구하고 있습니다. ISO/IEC 27001 또는 BSI IT-Grundschutz에 따라 ISMS를 운영하는 경우, 요구되는 기본 체계의 80~90%를 충족한 것으로 간주됩니다.