Die Meldefrist über den Verdacht eines erheblichen Sicherheitsvorfalls beträgt 24 Stunden (Frühwarnung) und 72 Stunden für eine detaillierte Bewertung einschließlich des Schweregrads und seiner Auswirkung. Einen Monat nach Meldung der Frühwarnung muss der zuständigen Aufsichtsbehörde ein ausführlicher Abschlussbericht vorgelegt werden, welcher den Sicherheitsvorfall in seiner Ursache und Auswirkung genau beschreibt, sowie der getroffenen/laufenden Abhilfemaßnahmen. Grenzüberschreitende Auswirkungen sind in jedem Fall mitzuteilen.

Betroffenen Organisationen müssen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zur Cybersicherheit ergreifen, die dem Stand der Technik entsprechen und mindestens Folgendes umfassen:

1. Policies: Richtlinien für Risiken und Informationssicherheit
2. Incident Management: Prävention, Detektion und Bewältigung von Cyber Incidents
3. Business Continuity: BCM mit Backup Management, Desaster Recovery, Krisen Management
4. Supply Chain: Sicherheit in der Lieferkette — bis zur sicheren Entwicklung bei Zulieferern
5. Einkauf: Sicherheit in der Beschaffung von IT und Netzwerk-Systemen
6. Effektivität: Vorgaben zur Messung von Cyber und Risiko Maßnahmen
7. Training: Cyber Security Hygiene
8. Kryptographie: Vorgaben für Kryptographie und wo möglich Verschlüsselung
9. Personal: Human Resources Security
10. Zuggriffskontrolle
11. Asset Management
12. Authentifizierung: Einsatz von Multi-Faktor-Authentifizierung und SSO
13. Kommunikation: Einsatz sicherer Sprach-, Video- und Text-Kommunikation
14. Notfall-Kommunikation: Einsatz gesicherter Notfall-Kommunikations-Systeme

Die Geschäftsleitung muss ergriffene Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen, ihre Umsetzung überwachen und haftet für Verstöße gegen diese Sorgfaltspflichten. Daneben muss die Geschäftsleitung an Schulungen zur Erkennung und Bewertung von Risiken sowie Managementpraktiken im Bereich der Cybersicherheit und deren Auswirkungen teilnehmen und allen Mitarbeitern regelmäßig entsprechende Schulungen anbieten.

Der zuständigen Aufsichtsbehörde werden weitreichende Durchsetzungsmaßnahmen und Sanktionen eingeräumt. Diese umfassen u.a.

1. Nachweise und Tests: Behörden sollen Nachweise erhalten, einsehen und eigene Tests, Audits und Untersuchungen durchführen können inkl. Vor-Ort-Kontrollen/ Stichprobenkontrollen, regelmäßige und gezielte Sicherheitsprüfungen und Ad-hoc-Prüfungen (insb. nach einem Sicherheitsvorfall)
2. Informationsansprüche: Behörden sollen Daten, Akten, Informationen, Nachweise der Umsetzung anfordern und einsehen können
3. Anweisungen: Behörden sollen Betreibern im Fall von Non-Compliance Anweisungen erteilen, öffentliche Warnungen aussprechen, einen Aufsichtsbeamten (Monitor) bestellen können
4. Betriebserlaubnis: Bei fortwährender Non-Compliance sollen Behörden Fristen setzen und bei Verstößen die Betriebserlaubnis, Zertifizierungen o.ä. entziehen können