Aproximativ 30.000 de întreprinderi din Germania trebuie să respecte cerințele legii de transpunere a NIS-2. Amenzile pot ajunge până la 10 milioane de euro sau 2% din cifra de afaceri anuală. În plus, conducerea răspunde personal în cazul unor omisiuni din neglijență – această răspundere nu poate fi delegată.

§30 din BSIG (Legea BSI) definește zece domenii de acțiune pe care fiecare instituție vizată trebuie să le acopere: analiza riscurilor și securitatea IT, gestionarea incidentelor de securitate, continuitatea activității, securitatea lanțului de aprovizionare, securitatea în procesul de achiziție și dezvoltare, evaluarea eficacității, igiena cibernetică și instruirea, criptografia și criptarea, securitatea personalului, precum și autentificarea multifactorială.

În cazul unor incidente de securitate grave, articolul 32 din BSIG impune o raportare pe etape către BSI – începând din momentul în care incidentul este constatat: avertisment prealabil în termen de 24 de ore, raport complet privind incidentul în termen de 72 de ore, raport final în termen de cel mult o lună. Cine nu a stabilit acest proces în prealabil nu îl va mai putea organiza în caz de urgență.

Deși legea nu menționează termenul „ISMS” (Sistemul de management al securității informațiilor), în §30 alin. 2 din BSIG se solicită tocmai componentele acestuia: analiza riscurilor, conceptele de securitate, o cultură a securității pusă în practică prin cursuri de sensibilizare și verificarea continuă a eficacității prin audituri sau teste de penetrare. Cine operează un ISMS conform standardului ISO/IEC 27001 sau conform standardului BSI IT-Grundschutz acoperă între 80 și 90 la sută din structura de bază cerută.