يتعين على حوالي 30,000 شركة في ألمانيا الامتثال لمتطلبات قانون تنفيذ NIS-2. وتصل الغرامات إلى 10 ملايين يورو أو 2 في المائة من إجمالي المبيعات السنوية. علاوة على ذلك، تتحمل الإدارة المسؤولية الشخصية في حالة التقصير الناجم عن الإهمال – ولا يمكن تفويض هذه المسؤولية.

يحدد المادة 30 من قانون BSI (قانون مكتب الأمن المعلوماتي الألماني) عشرة مجالات عمل يجب على كل مؤسسة خاضعة لهذا القانون تغطيتها: تحليل المخاطر وأمن تكنولوجيا المعلومات، والتعامل مع الحوادث الأمنية، واستمرارية الأعمال، وأمن سلسلة التوريد، والأمن في عمليات الشراء والتطوير، وتقييم الفعالية، والممارسات السليمة في مجال الأمن السيبراني والتدريبات، وعلم التشفير والتشفير، وأمن الموظفين، والمصادقة متعددة العوامل.

في حالة وقوع حوادث أمنية خطيرة، ينص البند 32 من قانون الأمن المعلوماتي الاتحادي (BSIG) على ضرورة تقديم بلاغات متدرجة إلى مكتب الأمن المعلوماتي الاتحادي (BSI) – فور علم الجهة المعنية بالحادث: إنذار مبكر في غضون 24 ساعة، وبلاغ كامل عن الحادث في غضون 72 ساعة، وتقرير نهائي في غضون شهر على الأكثر. ومن لم يضع هذه الإجراءات مسبقًا، لن يتمكن من تنظيمها في حالة الطوارئ.

على الرغم من أن القانون لا يذكر مصطلح «ISMS» (نظام إدارة أمن المعلومات)، إلا أنه ينص في المادة 30، الفقرة 2 من قانون أمن المعلومات الأساسي (BSIG) على مكوناته بالضبط: تحليل المخاطر، ومفاهيم الأمن، وثقافة أمنية راسخة تتضمن تدريبات التوعية، والتحقق المستمر من الفعالية من خلال عمليات التدقيق أو اختبارات الاختراق. ومن يطبق نظام ISMS وفقًا لمعيار ISO/IEC 27001 أو معيار الحماية الأساسية لتكنولوجيا المعلومات (BSI IT-Grundschutz)، يكون قد غطى ما بين 80 إلى 90 في المائة من الهيكل الأساسي المطلوب.