Hogy kire vonatkozik az le van írva. Nekik regisztrálni kell és fizetni a díjat és incidens esetén reportolni kell az SZFH felé.
Viszont akikre vonatkozik azok köre két fő részből áll:
- Akik a felsorolt fontos tevékenységeket végzik vagy kritikus ágazat, nekik kötelező 3. fél általi audit is.
- Akik más tevékenységet végeznek azoknak nem kell külső audit, nekik önszorgalomból kell megfelelniük és incidenst reportolni az az SZTFH felé, elvileg az SZTFH ezeknél cégeknél szúrópróbaszerűen ellenőrizheti a megfelelést.
Gyakorlatilag akikre vonatkozik, de a tevékenységi körül miatt nincs kötelező audit, ott még sok év mire valóban elérik a megfelelőséget, vagy sosem. Akikre viszont vonatkozik a kötelező audit, ott nincs mese.