Cette réglementation, qui entrera en vigueur à compter du 1er juin, impose à toutes les entreprises détenants les produits cités dans le texte de répondre à un questionnaire en ligne, dans les 60 jours, destiné à mettre en place un premier classement du niveau de risque, de 1 à 4.

Les entreprises qui rentreront dans les classes comprises entre 1 et 3, auront l'obligation de rédiger un document d’évaluation de vulnérabilité du site, ainsi qu’un plan de sécurité.

Les entreprises qui entreront dans le classe 1 (le plus haut risque), se verront informées de manière officielle de leur statut et devront alors soumettre leur évaluation de vulnérabilité ainsi que le plan de sécurité sous 90 jours au DHS. Ce dernier validera alors les documents fournis, en procédant directement à des audits et contrôles sur le site concerné.

Les contrôles devraient avoir lieu environ tous les 1 à 3 ans.