NIS2-direktivet er formelt rettet til EU's medlemsstater. Det er staterne, der har pligt til at indføre direktivets krav i national lovgivning.
Virksomheder bindes ikke direkte af direktivteksten. Det er den nationale implementeringslov, der gælder for virksomheder. Den nationale lov kan ikke give virksomheder færre rettigheder end direktivet.
Danmark vedtog en NIS2-implementeringslov. Det er denne lov, en dansk virksomhed skal overholde. Direktivteksten er baggrunden, men loven er den bindende regel.
Hvis den danske implementeringslov stiller strammere krav end NIS2-minimumskravet, gælder de danske krav. Hvis loven ved en fejl stiller lempeligere krav, kan virksomheder stadig støtte ret på direktivets krav.
NIS2 er formelt rettet mod EU's medlemsstater. Staterne implementerer kravene i national lovgivning. Den nationale lov binder virksomheder direkte. Direktivet sætter rammen, loven sætter de konkrete krav.
NIS2 har ikke direkte virkning for private virksomheder. Det er den nationale implementeringslov, der er det juridiske grundlag. Den nationale lov kan ikke give din virksomhed færre rettigheder end direktivet.
Kommissionen kan indlede traktatbrudssag mod et EU-land, der ikke implementerer NIS2 korrekt. Virksomheder kan i sådanne tilfælde støtte ret på direktivets krav direkte over for myndighederne, hvis den nationale lov er lempeligere end direktivet.
Tag altid udgangspunkt i den nationale implementeringslov, ikke kun direktivteksten. Danmark kan have indført supplerende krav, strengere bøder eller ekstra sektorkrav ud over NIS2's minimumskrav.
Dette direktiv er rettet til medlemsstaterne.