มีบริษัทประมาณ 30,000 แห่งในเยอรมนีที่ต้องปฏิบัติตามข้อกำหนดของพระราชบัญญัติการบังคับใช้ NIS 2 ค่าปรับอาจสูงถึง 10 ล้านยูโร หรือ 2% ของรายได้ประจำปี นอกจากนี้ ผู้บริหารระดับสูงยังต้องรับผิดชอบส่วนตัวต่อความละเลยในการปฏิบัติตามข้อกำหนด – ความรับผิดชอบนี้ไม่สามารถมอบหมายให้ผู้อื่นได้

มาตรา 30 ของ BSIG (พระราชบัญญัติ BSI) กำหนด 10 ด้านกิจกรรมที่ทุกองค์กรที่อยู่ภายใต้กฎหมายนี้ต้องดำเนินการ ได้แก่ การวิเคราะห์ความเสี่ยงและความปลอดภัยทางเทคโนโลยีสารสนเทศ การจัดการเหตุการณ์ด้านความปลอดภัย ความต่อเนื่องทางธุรกิจ ความปลอดภัยในห่วงโซ่อุปทาน ความปลอดภัยในการจัดซื้อจัดจ้างและการพัฒนา การประเมินประสิทธิภาพ การรักษาสุขอนามัยทางไซเบอร์และการฝึกอบรม การเข้ารหัสและการเข้ารหัสลับ ความปลอดภัยของบุคลากร และการยืนยันตัวตนแบบหลายปัจจัย

ในกรณีที่เกิดเหตุการณ์ด้านความปลอดภัยที่มีนัยสำคัญ มาตรา 32 ของ BSIG กำหนดให้มีการรายงานต่อ BSI ตามขั้นตอนแบบหลายระดับ ตั้งแต่ช่วงเวลาที่เหตุการณ์ดังกล่าวถูกค้นพบ ได้แก่ การแจ้งเตือนล่วงหน้าภายใน 24 ชั่วโมง การรายงานเหตุการณ์อย่างครบถ้วนภายใน 72 ชั่วโมง และรายงานสุดท้ายภายในหนึ่งเดือนเป็นอย่างช้า ผู้ใดที่ไม่ได้จัดตั้งขั้นตอนการรายงานนี้ไว้ล่วงหน้า จะไม่สามารถจัดระเบียบขั้นตอนดังกล่าวได้ในสถานการณ์ฉุกเฉิน

แม้ว่ากฎหมายดังกล่าวจะไม่ใช้คำว่า ‘ISMS’ (ระบบบริหารจัดการความปลอดภัยข้อมูล) แต่มาตรา 30(2) ของ BSIG กำหนดองค์ประกอบหลักของระบบนี้อย่างชัดเจน ได้แก่ การวิเคราะห์ความเสี่ยง แนวคิดด้านความปลอดภัย วัฒนธรรมความปลอดภัยที่กระตือรือร้นพร้อมการฝึกอบรมเพื่อสร้างความตระหนักรู้ และการตรวจสอบประสิทธิภาพอย่างต่อเนื่องผ่านการตรวจสอบหรือการทดสอบการเจาะระบบ ผู้ใดที่ดำเนินการ ISMS ตามมาตรฐาน ISO/IEC 27001 หรือ BSI IT-Grundschutz จะครอบคลุมกรอบงานที่จำเป็นได้ 80 ถึง 90 เปอร์เซ็นต์