L'article 3, paragraphe 1, énumère sept catégories d'entités essentielles. Les grandes entreprises d'un secteur de l'annexe I n'en constituent que la première, ce qui rend incomplet le test courant « grande entreprise plus annexe I » ; la liste vise également les entités désignées comme opérateurs de services essentiels au titre de NIS1 avant le 16 janvier 2023. Les entités importantes forment la catégorie résiduelle prévue à l'article 3, paragraphe 2. Les seuils de taille proviennent de la recommandation 2003/361/CE : une entreprise est moyenne dès qu'elle compte au moins 50 salariés ou dépasse à la fois le plafond de 10 millions d'euros de chiffre d'affaires et celui de 10 millions d'euros de total du bilan, et grande à partir de 250 salariés ou au-delà de 50 millions d'euros de chiffre d'affaires et 43 millions d'euros de total du bilan. L'annexe I compte 11 secteurs et l'annexe II en compte 7. Les fournisseurs de services DNS, les registres de noms de domaine de premier niveau et les prestataires de services de confiance qualifiés relèvent du dispositif quelle que soit leur taille. Les entreprises partenaires et liées sont prises en compte au titre de l'article 6 de l'annexe à cette recommandation. Les seuils définitifs applicables en France seront fixés par la loi de transposition.