Artikel 21 i NIS2 ålägger omfattade organisationer att vidta tekniska och organisatoriska åtgärder för att hantera cybersäkerhetsrisker. Direktivet räknar upp en minimiuppsättning: riskanalys och informationssäkerhetspolicy, incidenthantering, driftskontinuitet och backup, leverantörskedjesäkerhet, säkerhet i utveckling och underhåll, rutiner för att mäta åtgärdernas effektivitet, cyberhygien och utbildning, kryptografi och kryptering, åtkomstkontroll och tillgångshantering samt flerfaktorsautentisering och säker kommunikation. Åtgärderna ska vara proportionerliga mot risken, verksamhetens storlek och kostnaden.

Kravet är resultatinriktat och pekar inte ut specifik teknik. I svensk rätt bärs kraven av cybersäkerhetslagen (2025:1506), i kraft 15 januari 2026, med föreskrifter från Myndigheten för civilt försvar (MCF) och sektorsvisa tillsynsmyndigheter.