1. Beleid inzake risicoanalyse en beveiliging van informatiesystemen 
2. Incidentenbehandeling 
3. Bedrijfscontinuïteit en crisisbeheer (inclusief back-up en noodherstel) 
4. Beveiliging van de toeleveringsketen 
5. Beveiliging bij verwerving, ontwikkeling en onderhoud van netwerk- en informatiesystemen 
6. Beleid en procedures voor beoordeling van de doeltreffendheid van cyberbeveiligingsmaatregelen 
7. Basispraktijken op het gebied van cyberhygiëne en opleiding inzake cyberbeveiliging 
8. Beleid en procedures inzake het gebruik van cryptografie en, waar van toepassing, encryptie 
9. Beveiliging van personeel, toegangsbeleid en beheer van activa 
10. Gebruik van multifactorauthenticatie, beveiligde communicatiesystemen en beveiligde noodcommunicatiesystemen

De Nederlandse terminologie is conform de officiële vertaling van Richtlijn (EU) 2022/2555; de Cbw volgt deze terminologie direct. De komende implementatiewet kan op onderdelen afwijkende formuleringen hebben.

Bijlage 1: Zeer kritieke sectoren

1. Energie
2. Vervoer
3. Bankwezen
4. Financiële marktinfrastructuur
5. Gezondheidszorg
6. Drinkwater
7. Afvalwater
8. Digitale infrastructuur
9. Beheer van ICT-diensten (B2B)
10. Overheid
11. Ruimtevaart

Bijlage 2: Andere kritieke sectoren

1. Post- en koeriersdiensten
2. Afvalstoffenbeheer
3. Chemische stoffen
4. Levensmiddelen
5. Vervaardiging (medische hulpmiddelen, machines, voertuigen, elektronica)
6. Digitale aanbieders (online marktplaatsen, zoekmachines, sociale netwerken)
7. Onderzoek

De indeling als essentiële of belangrijke entiteit hangt niet alleen af van de bijlage, maar ook van de omvang van de organisatie. Grote organisaties in Bijlage 1 zijn essentiële entiteiten; middelgrote organisaties in Bijlage 1 zijn in de meeste gevallen belangrijke entiteiten. De bijlage bepaalt dus de sector, de omvang bepaalt mede het regime.