Classificação por entidade (art. 6.º do DL 125/2025): nestes setores, só as entidades que excedem os limiares de média empresa são entidades essenciais (coimas até 10 M€ ou 2 % do volume de negócios anual mundial); as médias empresas são entidades importantes (até 7 M€ ou 1,4 %). Os prestadores qualificados de serviços de confiança, os registos TLD, os prestadores DNS e as entidades críticas (Diretiva (UE) 2022/2557) são essenciais independentemente da dimensão; as empresas de comunicações eletrónicas são essenciais a partir de média empresa.

Regime próprio, fora dos anexos: a administração pública consta do Anexo I da Diretiva NIS2, mas o DL 125/2025 não a inclui no seu Anexo I. É abrangida pelo art. 3.º, n.º 3 (administração direta e indireta do Estado e das Regiões Autónomas, administração autónoma, incluindo as autarquias, e entidades administrativas independentes, com exceção do Banco de Portugal, da CMVM e da ASF). As entidades públicas são entidades públicas relevantes (art. 7.º, n.º 1) quando não sejam qualificadas como essenciais ou importantes nos termos do art. 6.º, seja por operarem num setor dos Anexos I ou II (por exemplo, hospitais EPE ou entidades gestoras de água, sujeitos aos limiares de dimensão), seja pela alínea d) do n.º 1 (infraestruturas de TIC, grau particularmente elevado de integração digital e a entidade responsável pela avaliação educativa). Os grupos são: Grupo A (administração direta com 250 ou mais trabalhadores; indireta e autónoma com mais de 250; entidades administrativas independentes; entidades públicas empresariais acima dos limiares de média empresa) ou Grupo B (entre 75 e 249 trabalhadores; empresas públicas médias). Cumprem as medidas do Anexo IV do Regulamento 756/2026 (Grupo B: 18 medidas; Grupo A: mais 22, cumulativas), nos termos do art. 33.º, e têm coimas próprias (art. 61.º, n.º 2: Grupo A até 4 M€; Grupo B até 350 000 €).