La norma evita que las grandes compañías tengan que informar de los incumplimientos, y se aplica únicamente a las compañías que poseen, operan o suministran tecnología para instalaciones críticas de infraestructura.