德國約有 30,000 家企業必須符合《NIS-2 實施法》的要求。罰款最高可達 1,000 萬歐元或年度營業額的 2%。此外，若因過失而未盡職責，管理層須承擔個人法律責任——此項責任不得轉嫁。

《BSIG》（BSI 法）第 30 條界定了十個行動領域，所有受規範的機構均須涵蓋這些領域：風險分析與資訊安全、安全事件應對、業務連續性、供應鏈安全、採購與開發安全、成效評估、網路安全衛生與培訓、密碼學與加密、人員安全，以及多因素驗證。

根據《聯邦資訊安全法》（BSIG）第32條規定，若發生重大資安事件，須自事件被察覺之際起，分階段向聯邦資訊安全局（BSI）通報：24小時內發出早期預警、72小時內提交完整事件通報，並最遲於一個月內提交最終報告。若未事先建立此流程，一旦發生緊急情況便無法妥善組織應對。

雖然該法並未明確提及「ISMS」（資訊安全管理系統）一詞，但在《聯邦資訊安全法》（BSIG）第30條第2款中，卻明確要求具備其構成要素：風險分析、安全方案、透過安全意識培訓所建立的實踐性安全文化，以及透過稽核或滲透測試進行的持續有效性評估。 凡是依據 ISO/IEC 27001 或 BSI IT 基礎防護標準運作 ISMS 者，已涵蓋了法規所要求基本架構的 80% 至 90%。