Dyrektywa zawiera listę tzw. krytycznych sektorów, w których wprowadzony zostanie obowiązek dla przedsiębiorstw oraz administracji publicznej do oceny zagrożeń dla bezpieczeństwa sieci teleinformatycznych, przeciwdziałania im oraz zgłaszania poważnych incydentów. Lista obejmuje energetykę, transport, bankowość, infrastrukturę rynków finansowych (np. giełdy papierów wartościowych), służbę zdrowia, wodociągi oraz infrastrukturę cyfrową.
Władze państw unijnych mają ustalić szczegółową listę "operatorów kluczowych usług", biorąc pod uwagę znaczenie tych usług dla społeczeństwa i gospodarki czy bezpieczeństwa publicznego.
Takie obowiązki będą mieć również dostawcy usług cyfrowych, jak platformy handlu elektronicznego (np. eBay, Amazon), wyszukiwarki oraz usługi chmur obliczeniowych.
Z kolei państwa unijne będą musiały powołać instytucje ds. bezpieczeństwa sieci telekomunikacyjnych, które będą nadzorować wypełnianie dyrektywy, oraz zespoły reagowania na incydenty komputerowe (Computer Security Incident Response Teams - CSIRTs). Państwa mają też przyjąć własne strategie i plany współpracy w zakresie bezpieczeństwa sieci telekomunikacyjnych i informacji.
Dyrektywa zobowiązuje te krajowe organy do współpracy i wymiany informacji w ramach UE, a także wspólnego wykrywania i reagowania na incydenty. Powstanie unijna sieć zespołów reagowania na incydenty komputerowe, której sekretariat będzie mieścić się przy Europejskiej Agencji Bezpieczeństwa Sieci i Informacji (ENISA).
Dyrektywa UE w sprawie zapewnienia wspólnego wysokiego poziomu bezpieczeństwa sieci teleinformatycznych i przetwarzanych w nich informacji musi jeszcze zostać zatwierdzona przez cały Parlament Europejski oraz rządy państw unijnych, które następnie będą mieć 21 miesięcy na wdrożenie jej do przepisów krajowych oraz pół roku na określenie dostawców kluczowych usług.