Od roku 2016 nebyl v Unii ani jeden incident označen za rozsáhlý - ani WannaCry, ani NotPetya, ani výpadek po chybné aktualizaci CrowdStrike. Není to tím, že by se nic velkého nestalo. Je to tím, že klasifikace je rozhodnutí, které musí někdo udělat.

NIS2 dává 24 hodin na včasné varování, 72 na oznámení incidentu a měsíc na finální zprávu - všechno od chvíle, kdy si incidentu všimnete. Limitujícím faktorem je tedy detekce, ne právní připravenost.