L'ambito soggettivo previsto dalla Direttiva NIS 2 è descritto nell'articolo 2 e comprende due tipi di organizzazioni: gli operatori di servizi essenziali (OSE) e le organizzazioni di importanza vitale per la società (IVSO).

Gli OSE sono definiti come organizzazioni che forniscono servizi essenziali per la società e per l'economia, come i sistemi di trasporto, l'energia, la sanità e i servizi finanziari. Queste organizzazioni sono obbligate a implementare misure di sicurezza appropriate per proteggere i loro sistemi e a notificare alle autorità competenti eventuali violazioni della sicurezza.

Le IVSO sono organizzazioni che offrono servizi digitali ai consumatori, come i fornitori di servizi cloud, i motori di ricerca e i social network. Anche queste organizzazioni sono obbligate a implementare misure di sicurezza appropriate e a notificare eventuali violazioni della sicurezza alle autorità competenti.

In generale, l'obiettivo della Direttiva NIS 2 è quello di garantire un livello elevato di sicurezza delle reti e dell'informazione nell'UE, ma ci sono preoccupazioni che gli obblighi imposti possano rappresentare un onere eccessivo per le organizzazioni, soprattutto per quelle che offrono servizi gratuiti.