Wer ist betroffen?
Die Richtlinie gilt branchenübergreifend für mittlere und große Unternehmen sowie Einrichtungen (ab 50 Mitarbeitende oder ≥ 10 Mio. EUR Jahresumsatz), die in regulierten Sektoren tätig sind. Besonders wichtige Einrichtungen (bwE): z. B. Energie, Verkehr, Banken, Gesundheitswesen, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung. Wichtige Einrichtungen (wE): z. B. Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe/Herstellung, Anbieter digitaler Dienste.

Wichtigste Pflichten / Risikomanagement:
Unternehmen müssen technische, operative und organisatorische Maßnahmen ergreifen (z. B. Konzept für Risikoanalyse, Kryptografie, Zugriffskontrolle, Business-Continuity-Management).

Meldepflichten:
Sicherheitsvorfälle müssen innerhalb eines strikten Zeitrahmens bei den nationalen Behörden gemeldet werden. Eine erste Warnmeldung (Frühwarnung) ist oft innerhalb von 24 Stunden erforderlich. Chef-Sache: Die oberste Leitungsebene (Geschäftsführung) ist direkt für die Einhaltung verantwortlich, haftet bei Verstößen und ist verpflichtet, sich regelmäßig zu Cybersicherheitsthemen weiterzubilden.

Strafen und Haftung
Nichteinhaltung kann empfindliche Sanktionen nach sich ziehen. Bußgelder für "Besonders wichtige Einrichtungen" können sich auf bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes belaufen, je nachdem, welcher Betrag höher ist.