Das Gesetz betrifft Betreiber kritischer Infrastrukturen, die für die Versorgung der Bevölkerung oder für zentrale wirtschaftliche Funktionen relevant sind. Dazu zählen insbesondere Unternehmen aus Bereichen wie Energieversorgung, Transport und Verkehr, Finanzwesen, Gesundheitswesen, Wasser, digitale Infrastruktur, öffentliche Verwaltung und Lebensmittelversorgung.
Auch Unternehmen, die Teil sensibler Lieferketten sind oder durch regulatorische Anforderungen indirekt betroffen werden, sollten sich frühzeitig mit Krisenmanagement und Risikomanagement im Unternehmen beschäftigen.