Със сигурност това може да се каже, след като бъдат приети всички национални законодателства (срок октомври 2024 г.). Може да се окаже, че компаниите трябва да спазват повече от едно законодателство, ако оперират (като доставчици) в повече от една държава в ЕС. Тези законодателства обаче трябва да прилагат поне минималните мерки (глава 4, член 21) от директивата:

а) политики за анализ на риска и сигурност на информационните системи;

б) действия при инцидент;

в) непрекъснатост на стопанската дейност, например управление на съхраняването на резервни копия на данните и възстановяване след бедствия, и управление на кризи;

г) сигурност на веригата за доставка, включително свързани със сигурността аспекти относно взаимовръзките между всеки субект и неговите преки снабдители или доставчици на услуги;

д) сигурност при придобиването на мрежови и информационни системи, разработване и поддръжка, включително предприемане на действия при уязвимости и оповестяването им;

е) политики и процедури за оценяване на ефективността на мерките за управление на риска в областта на киберсигурността;

ж) основни киберхигиенни практики и обучение в областта на киберсигурността;

з) политики и процедури относно използването на криптография и, когато е целесъобразно, криптиране;

и) сигурност на човешките ресурси, политики за контрол на достъпа и управление на активи;

й) използването на многофакторни решения за удостоверяване на автентичността или непрекъснато удостоверяване на автентичността, защитени гласови, видео и текстови съобщения и защитени системи за спешна комуникация в рамките на субекта, когато е целесъобразно.