De expliciete governance-vereisten betekenen voor entiteiten die vallen binnen de NIS2-richtlijn dat het bestuur cybersecurity awareness trainingen moeten volgen, de cybersecurity maatregelen persoonlijk moeten goedkeuren en toezicht moeten houden op de uitvoering.. Overheden zullen in staat zijn het management persoonlijk aansprakelijk te stellen als grove nalatigheid wordt aangetoond na een cyberincident.

Er zullen controlemomenten of audits door toezichthouder RDI (Rijks Inspectie Digitale Infrastructuur) plaatsvinden. Wanneer blijkt dat organisaties niet voldoen aan de verplichtingen, worden er flinke boetes opgelegd. Deze boetes kunnen oplopen tot ten minste 10 miljoen Euro of 2% van de totale wereldwijde omzet (op ondernemingsniveau), naargelang welk bedrag het hoogst is, met de intentie dat hierop ook strenger zal worden gehandhaafd.

Organisaties krijgen een meldplicht wanneer er een incident wordt gedetecteerd, vergelijkbaar met de AVG. Deze melding moet binnen 24 uur gedaan worden, gevolgd door een eindverslag uiterlijk een maand later. Ook dreigingen moeten worden gemeld.

Wat het cybersecurity risicobeheer zelf betreft, wordt in de NIS2 de open norm aangehouden welke, gelet op de stand van de techniek en het aanwezige risico, ‘passende’ en ‘evenredige’ maatregelen moeten worden genomen. Nieuw is dat een aantal minimale basisbeveiligingselementen wordt toegevoegd waarin in elk geval moet worden voorzien.