La direttiva NIS2 ha ampliato significativamente il perimetro di applicazione della disciplina europea sulla cybersecurity rispetto alla precedente versione, estendendola a settori che in precedenza non erano soggetti a obblighi specifici in materia.
Tra i settori considerati essenziali rientrano energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, pubblica amministrazione centrale, e spazio: per questi settori gli obblighi sono più stringenti e la vigilanza più intensa.
Una seconda categoria, quella dei settori importanti, include servizi postali, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione alimentare, manifattura di determinati prodotti critici, servizi digitali e ricerca: obblighi comunque significativi, seppur con un regime di vigilanza tendenzialmente meno intenso.
Per molte imprese di medie dimensioni operanti in questi settori, l'estensione del perimetro NIS2 rappresenta la prima vera occasione di doversi confrontare in modo sistematico con obblighi di cybersecurity, gestione del rischio e segnalazione degli incidenti che prima riguardavano quasi esclusivamente il settore bancario e le grandi infrastrutture critiche tradizionali.