Große Unternehmen werden anhand der folgenden Merkmale kategorisiert: Mehr als 250 Mitarbeiter und ein jährlicher Mindestumsatz von 50 Millionen Euro (oder eine Bilanzsumme von 43 Millionen Euro). Mittelständische Unternehmen liegen in den folgenden Parametern: Zwischen 50 und 250 Mitarbeitern und einem Jahresumsatz von höchstens 50 Millionen Euro (oder einer Bilanzsumme von höchstens 43 Millionen Euro). Es gibt einige Ausnahmen von der Regel, bei denen Organisationen jeder Größe als kritisch eingestuft werden können, darunter qualifizierte Vertrauensdiensteanbieter, Registrierungsstellen für Top-Level-Domainnamen und DNS-Dienstanbieter.
Die NIS2-Richtlinie behandelt nicht explizit kleine und Mikro-Unternehmen, die durch weniger als 50 Mitarbeiter und einen Jahresumsatz von weniger als 7 Millionen Euro (oder eine Bilanzsumme von weniger als 5 Millionen Euro) gekennzeichnet sind. In Fällen, in denen diese Unternehmen jedoch eine bedeutende Rolle in der Gesellschaft, der Wirtschaft, spezifischen Branchen oder Dienstleistungen spielen, sind die Mitgliedstaaten verpflichtet, sicherzustellen, dass sie unter diese Richtlinie fallen.