Obě kategorie obecně podléhají opatřením řízení kybernetických rizik podle článku 21 a požadavkům hlášení významných incidentů podle článku 23. Výjimka platí tam, kde alespoň rovnocenný sektorově specifický unijní právní akt vytěsňuje relevantní ustanovení NIS2 podle článku 4, jak činí DORA pro pokryté finanční subjekty. Rozlišení mezi základním a důležitým primárně ovlivňuje, jak orgány dohlížejí a vymáhají platné povinnosti; není to dělení mezi organizace, které musí a nemusí vyhovovat.
Klasifikace začíná typem subjektu či služby vyjmenovaným v příloze I či II, platným výpočtem velikosti podniku a zvláštními pravidly rozsahu a klasifikace v článcích 2 a 3. Který členský stát má jurisdikci je související, ale oddělená otázka řízená především článkem 26 a vnitrostátním implementačním právem. Obecný vzor: střední subjekty v sektorech přílohy I jsou důležité, zatímco subjekty v příloze I přesahující střední prahy jsou základní. Subjekty přílohy II pokryté pravidlem velikostního limitu jsou obecně důležité. Článek 3 také činí specifikované typy subjektů základními bez ohledu na velikost či při splnění konkrétních vnitrostátních či unijních kritérií. Členské státy mohou identifikovat další subjekty podle pravidel směrnice.
Klíčové body
Základní subjektyZahrnují mnoho větších subjektů ve vysoce kritických sektorech přílohy I a konkrétní kategorie jmenované v článku 3, jako kvalifikovaní poskytovatelé služeb důvěry, registry domén nejvyšší úrovně, poskytovatelé služeb DNS a pokrytí střední poskytovatelé veřejných elektronických komunikací, stejně jako subjekty identifikované z důvodů kritičnosti.
Důležité subjektyZahrnují pokryté subjekty neklasifikované jako základní, včetně mnoha středních subjektů přílohy I a středních či větších subjektů přílohy II.
DohledZákladní subjekty mohou podléhat proaktivnímu, ex ante dohledu jako inspekce, audity, skenování, žádosti o informace a žádosti o důkazy. Důležité subjekty obecně podléhají ex post dohledu, když orgány obdrží důkazy či indicie neplnění.
VymáháníU porušení článků 21 či 23 musí členské státy stanovit maximální správní pokuty alespoň ve výši vyšší ze 10 milionů € či 2 % celosvětového obratu podniku, ke kterému základní subjekt náleží, za předchozí fiskální rok. U důležitých subjektů je odpovídající požadované vnitrostátní maximum alespoň vyšší ze 7 milionů € či 1,4 %. Vnitrostátní právo může stanovit vyšší maxima a určuje platnou proceduru a další sankce.
Vnitrostátní implementace rozhodujeRegistrace, příslušné orgány, identifikační procedury, nakládání s veřejným sektorem, sankce a procedurální detaily musí být ověřeny v transpozičním zákoně každého členského státu.