Bisher waren Unternehmen der kritischen Infrastruktur und Anbieter digitaler Dienste wie z.B. Online-Suchmaschinen betroffen. Mit NIS2 werden weit größere Teile der Wirtschaft eingebunden. Dabei wird auch zwischen wesentlichen und wichtigen Einrichtungen unterschieden.

Betroffen sind Unternehmen verschiedenster Branchen ab 50 Mitarbeiter:innen.

Kleine Unternehmen, die weniger als 50 Mitarbeiter:innen beschäftigen und die entweder einen Jahresumsatz von höchstens 10 Mio. Euro erzielen oder deren Jahresbilanzsumme sich auf höchstens 10 Mio. Euro beläuft, fallen nicht unter NIS2.

Zu den wesentlichen Einrichtungen zählen große und mittlere Unternehmen in den Sektoren Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur, Verwaltung von IKT-Diensten B2B, Öffentliche Verwaltung und Weltraum. 

Zu den wichtigen Einrichtungen zählen große und mittlere Unternehmen in den Sektoren Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes/herstellendes Gewerbe, Anbieter digitaler Dienste und Forschung (fakultativ). 

Die Unternehmen sind dafür verantwortlich, selbst zu beurteilen, ob sie in einen der genannten Sektoren fallen und ob sie als wesentliche oder wichtige Einrichtung gelten. Es gibt seitens der Behörde keinen Bescheid, der die Unternehmen in einen bestimmten Sektor einordnet oder festlegt, ob sie als wesentlich oder wichtig gelten. 

Bei wesentlichen Einrichtungen wird die NIS-Behörde eine Prüfung der Einhaltung beim Unternehmen durch qualifizierte Prüfer durchführen lassen. Im Unterschied dazu erfolgt eine vor Ort Prüfung bei wichtigen Einrichtungen nur anlassbezogen (z. B. bei einem Cybersicherheitsvorfall). Jeder kritische Cybersicherheitsvorfall muss an die NIS-Behörde gemeldet werden.