Obie kategorie podlegają na ogół środkom zarządzania ryzykiem cyberbezpieczeństwa z art. 21 i wymaganiom raportowania znaczących incydentów z art. 23. Wyjątek obowiązuje, gdy co najmniej równoważny sektorowy akt prawny Unii zastępuje odpowiednie przepisy NIS2 na mocy art. 4, jak DORA czyni dla objętych podmiotów finansowych. Rozróżnienie między kluczowymi a ważnymi wpływa głównie na sposób nadzoru i egzekwowania obowiązków; nie jest podziałem na organizacje, które muszą, i takie, które nie muszą być zgodne.
Klasyfikacja zaczyna się od typu podmiotu lub usługi wymienionego w załączniku I lub II, mającej zastosowanie kalkulacji wielkości przedsiębiorstwa oraz szczególnych reguł zakresu i klasyfikacji z art. 2 i 3. To, które państwo członkowskie ma jurysdykcję, jest powiązanym, ale odrębnym pytaniem regulowanym głównie przez art. 26 i krajowe prawo implementacyjne. Co do zasady, średnie podmioty w sektorach załącznika I są ważne, a podmioty z załącznika I przekraczające progi średnich są kluczowe. Podmioty załącznika II objęte regułą wielkościową są zasadniczo ważne. Art. 3 czyni też określone typy podmiotów kluczowymi niezależnie od wielkości lub gdy mają zastosowanie szczególne kryteria krajowe lub unijne. Państwa członkowskie mogą wskazać dodatkowe podmioty według reguł dyrektywy.
Najważniejsze punkty
Podmioty kluczoweObejmują wiele większych podmiotów w sektorach o kluczowym znaczeniu z załącznika I oraz szczególne kategorie wymienione w art. 3, takie jak kwalifikowani dostawcy usług zaufania, rejestry domen najwyższego poziomu, dostawcy usług DNS i objęci średni dostawcy publicznych usług łączności elektronicznej, a także podmioty wskazane ze względu na kluczowość.
Podmioty ważneObejmują objęte podmioty niezaklasyfikowane jako kluczowe, w tym wiele średnich podmiotów załącznika I oraz średnie lub większe podmioty załącznika II.
NadzórPodmioty kluczowe mogą podlegać proaktywnemu nadzorowi ex ante, takiemu jak inspekcje, audyty, skany, żądania informacji i dowodów. Podmioty ważne podlegają zasadniczo nadzorowi ex post, gdy organy otrzymają dowody lub wskazania niezgodności.
EgzekwowanieZa naruszenia art. 21 lub 23 państwa członkowskie muszą przewidywać maksymalne kary administracyjne w wysokości co najmniej wyższej z 10 mln euro lub 2% całkowitego światowego obrotu przedsiębiorstwa, do którego należy podmiot kluczowy, z poprzedniego roku finansowego. Dla podmiotów ważnych odpowiednie wymagane maksimum krajowe to co najmniej wyższe z 7 mln euro lub 1,4%. Prawo krajowe może przewidywać wyższe maksima i określa mającą zastosowanie procedurę oraz inne sankcje.
Znaczenie implementacji krajowejRejestracja, właściwe organy, procedury identyfikacji, traktowanie sektora publicznego, sankcje i szczegóły procesowe muszą być sprawdzone w transpozytującym prawie każdego państwa członkowskiego.