Tutte le informazioni presenti o trattate in una azienda sono un vero e proprio patrimonio di inestimabile valore e fanno parte di ogni processo. Le informazioni hanno valori e importanza diversi e per capire come procedere alla implementazione dei migliori e più sistemi di sicurezza occorre classificare le informazioni, gestirle e proteggerle nel modo più adeguato. Le misure di protezione di un Sistema di Gestione per la Sicurezza delle Informazioni (ISMS) secondo la norma ISO/IEC 27001 si basano infatti su questa classificazione. Lo stesso Reg. UE 2016/679 all'art. 32 prevede che ..."il titolare del trattamento metta in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato ai rischio."

Quando si parla di informazioni non ci si riferisce esclusivamente ai dati informatici e agli asset IT che le contengono, ma all'intero ambito in cui queste informazioni vengono prodotte o acquisite, conservate, consultate, usate e archiviate. I diversi protocolli e le misure tecniche e organizzative devono adottare una efficace strategia di cybersecurity (Reg. UE 2016/679 art. 32 par.1) per assicurare:

la Direttiva NIS2 introduce requisiti di governance espliciti, che richiedono al management dei soggetti obbligati di approvare e supervisionare le misure di gestione del rischio cyber e di presidiare la formazione sulla sicurezza delle informazioni. Per quanto riguarda la gestione del rischio cyber, la direttiva NIS2 richiede che le misure siano "appropriate" e "proporzionate" in relazione alla dimensione dei soggetti interessati specificando una serie di elementi minimi di sicurezza come specificato all'art. 21 par. 2  "Misure di gestione dei rischi di cybersicurezza" Tra gli elementi di novità, vi è il principio statuito al paragrafo 3 dell'art. 21 che prevede che i soggetti interessarti dall'applicazione della direttiva "...tengano conto delle vulnerabilità specifiche per ogni diretto fornitore e fornitore di servizi e della qualità complessiva dei prodotti e delle pratiche di cybersicurezza dei propri fornitori de fornitori di servizi, comprese le lorom procedure si sviluppo sicuro".