"Formålet med NIS2-direktivet er å øke motstandsdyktigheten i nettverks- og informasjonssystemer til både private og offentlige aktører som opererer i relevante sektorer i EU."
NIS2-direktivet er ikke ennå inkludert i EØS-avtalen, og dermed ikke automatisk norsk lov, men den norske regjeringens uttalelse viser en klar retning mot å implementere direktivets krav i Norge. Organisasjoner som leverer tjenester i EU-land må være forberedt for å overholde NIS2.
De 2 kategoriene for enheter som blir påvirket (vesentlige og viktige) underlegges forskjellige tilsynsregimer og påvirkes også av størrelse. De 2 størrelsesgrupper vil få forskjellige bøter/straff dersom reglene brytes. (Unntak - også mindre virksomheter som anses for å ha en nøkkelrolle for samfunnet, økonomien eller en viss sektor, omfattes av NIS2.)
NIS2 sier at "vesentlige og viktige" virksomheter skal implementere grunnleggende sikkerhetstiltak for å håndtere spesifikke former for sannsynlige cybertrusler. Disse inkluderer: