Az új követelményrendszer központi eleme, hogy a kritikus infrastruktúrákat üzemeltető társaságoknak (például az energiacégeknek, pénzügyi intézményeknek, közlekedési és egészségügyi vállalatoknak) szigorú biztonsági előírásoknak kell megfelelniük.
Gondoskodniuk kell majd arról, hogy rendszereik biztonságosak legyenek, illetve szankciók terhe mellett
kötelező lesz jelentést tenniük a komolyabb biztonsági incidensekről.
Azok a vállalatok is a szabályozás hatálya alá tartoznak majd, amelyek tevékenysége a társadalom és a gazdaság számára alapvető fontossággal bír. Illetve azok az internetes szolgáltatásokat nyújtó vállalatok is, amelyek fontos társadalmi hatású szolgáltatásokat kínálnak: például az online piacterek, a keresőoldalak, valamint a felhőszolgáltatásokat üzemeltető cégek is.
Nem vonatkozik a mikro-, illetve a kisvállalkozásokra, és az internetes közösségi oldalakra.
"A kibertámadások gyakran egyszerre több tagállamot érintenek, a szétforgácsolt védelem sebezhetővé tesz minket. A szabályozás elfogadása nagyon fontos előrelépés egy átfogó európai szabályrendszer felé" - közölte Andreas Schwab, az uniós parlament illetékes jelentéstevője.
Az irányelv nemsokára megjelenik az EU hivatalos lapjában, és a publikálás után 20 nappal lép hatályba. Innentől számítva a tagállamoknak 21 hónapjuk lesz arra, hogy átültessék az irányelvet saját jogrendjükbe, további hat hónapjuk pedig arra, hogy meghatározzák az említett kulcsfontosságú cégeket.