Cerca de 30 000 empresas na Alemanha têm de cumprir os requisitos da lei de transposição da NIS-2. As coimas podem ir até 10 milhões de euros ou 2 % do volume de negócios anual. Além disso, a direção é pessoalmente responsável por omissões por negligência – esta responsabilidade não é delegável.

O § 30 da BSIG (Lei do BSI) define dez áreas de atuação que todas as instituições abrangidas pela lei devem cobrir: análise de riscos e segurança informática, gestão de incidentes de segurança, continuidade de negócios, segurança da cadeia de abastecimento, segurança na aquisição e no desenvolvimento, avaliação da eficácia, higiene cibernética e formação, criptografia e encriptação, segurança do pessoal e autenticação multifatorial.

Em caso de incidentes de segurança graves, o artigo 32.º da BSIG exige uma comunicação por etapas ao BSI – a partir do momento em que o incidente é conhecido: alerta precoce no prazo de 24 horas, comunicação completa do incidente no prazo de 72 horas e relatório final o mais tardar ao fim de um mês. Quem não tiver estabelecido este processo antecipadamente não poderá organizá-lo numa situação de emergência.

Embora a lei não mencione o termo «ISMS» (Sistema de Gestão da Segurança da Informação), exige, no n.º 2 do artigo 30.º da BSIG, precisamente os seus elementos constituintes: análise de riscos, conceitos de segurança, uma cultura de segurança praticada com formações de sensibilização e verificação contínua da eficácia através de auditorias ou testes de penetração. Quem implementar um ISMS de acordo com a norma ISO/IEC 27001 ou com o BSI IT-Grundschutz terá coberto 80 a 90 por cento da estrutura básica exigida.