Jeden auditovaný projekt si nadefinoval 52 výkonnostních indikátorů. Ze sedmi projektů, které měly vykázat, to udělaly tři a dva z nich špatně. Čím se liší metrika od věty, ve které je číslo.

NIS2 dává 24 hodin na včasné varování, 72 na oznámení incidentu a měsíc na finální zprávu - všechno od chvíle, kdy si incidentu všimnete. Limitujícím faktorem je tedy detekce, ne právní připravenost.