La direttiva si applica a entità pubbliche e private che operano in:

• Settori essenziali (Allegato I): energia, trasporti, banche, infrastrutture finanziarie, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione
• Altri settori critici (Allegato II): fornitori ICT, logistica, alimentare, chimica, elettronica, produzione mezzi di trasporto, servizi postali, PA, spazio

Inoltre:

• Si distinguono soggetti essenziali e soggetti importanti
• Il criterio dimensionale (art. 2.2): aziende medio-grandi sono incluse automaticamente, le micro e piccole solo se critiche.