Spółki działające w sektorach o znaczeniu krytycznym, tj. energetyce, transporcie, opiece zdrowotnej czy na rynkach finansowych, a także w sektorach istotnych, tj. produkcji chemikaliów,
żywności czy gospodarce odpadami, muszą wdrożyć środki zarządzania ryzykiem w zakresie cyberbezpieczeństwa oraz zapewnić odpowiednią sprawozdawczość. Te obowiązki wynikają z dyrektywy NIS2, której regulacje miały zostać transponowane do polskiego prawa do 18 października 2024 r. Jednak wciąż realizowane są prace nad nimi.