Khoảng 30.000 doanh nghiệp tại Đức phải tuân thủ các yêu cầu của Luật Thi hành NIS-2. Mức phạt có thể lên tới 10 triệu euro hoặc 2% doanh thu hàng năm. Ngoài ra, ban lãnh đạo phải chịu trách nhiệm cá nhân đối với các sai sót do sơ suất – trách nhiệm này không thể ủy quyền cho người khác.

Điều 30 của Luật BSIG (Luật BSI) quy định mười lĩnh vực hoạt động mà mọi tổ chức thuộc phạm vi điều chỉnh phải tuân thủ: Phân tích rủi ro và an ninh CNTT, Xử lý sự cố an ninh, Duy trì hoạt động kinh doanh, An ninh chuỗi cung ứng, An ninh trong quá trình mua sắm và phát triển, Đánh giá hiệu quả, Vệ sinh mạng và đào tạo, Mật mã và mã hóa, An ninh nhân sự, cũng như Xác thực đa yếu tố.

Trong trường hợp xảy ra các sự cố an ninh nghiêm trọng, Điều 32 của Luật An ninh Thông tin Liên bang (BSIG) quy định phải thực hiện báo cáo theo từng giai đoạn cho Cơ quan An ninh Thông tin Liên bang (BSI) – ngay từ thời điểm sự cố được phát hiện: cảnh báo sớm trong vòng 24 giờ, báo cáo sự cố đầy đủ trong vòng 72 giờ, và báo cáo kết luận chậm nhất là sau một tháng. Những ai chưa thiết lập quy trình này từ trước sẽ không thể tổ chức thực hiện được khi sự cố nghiêm trọng xảy ra.

Mặc dù luật không đề cập trực tiếp đến thuật ngữ “ISMS” (Hệ thống Quản lý An ninh Thông tin), nhưng tại Điều 30, Khoản 2 của Luật Bảo mật Thông tin Liên bang (BSIG), luật này yêu cầu chính xác các thành phần cấu thành của hệ thống này: phân tích rủi ro, các phương án an ninh, văn hóa an ninh được thực thi thông qua các khóa đào tạo nâng cao nhận thức, cùng với việc đánh giá hiệu quả liên tục thông qua các cuộc kiểm toán hoặc thử nghiệm xâm nhập. Những ai đang vận hành một hệ thống ISMS theo tiêu chuẩn ISO/IEC 27001 hoặc BSI IT-Grundschutz sẽ đáp ứng được từ 80 đến 90 phần trăm khung cơ bản được yêu cầu.