Postanowienia ogólne (art. 1–4) Zarządzanie ryzykiem ICT (art. 5–16) Zarządzanie incydentami związanymi z ICT, ich klasyfikacja i zgłaszanie (art. 17–23) Testowanie operacyjnej odporności cyfrowej (Art. 24–27) Zarządzanie ryzykiem ze strony zewnętrznych dostawców usług ICT (art. 28–44) Ustalenia dotyczące wymiany informacji (art. 45) Właściwe organy (art. 46–56) Akty delegowane (art. 57) Przepisy przejściowe i końcowe (art. 58–64)
Ponadto Europejskie Urzędy Nadzoru opracowują regulacyjne standardy techniczne (ang. regulatory technical standards, RTS) i wykonawcze standardy techniczne (ang. implementing technical standards, ITS), które po opublikowaniu w Dzienniku Urzędowym Unii Europejskiej stają się również prawnie wiążące:
RTS w sprawie ram zarządzania ryzykiem ICT (art. 15), RTS w sprawie uproszczonych ram zarządzania ryzykiem ICT (art. 16 ust. 3), RTS w sprawie klasyfikacji incydentów związanych z technologiami informatycznymi i zagrożeniami cybernetycznymi (art. 18 ust. 3), RTS w sprawie treści raportów dotyczących poważnych incydentów związanych z ICT (art. 20 (a)), ITS w sprawie standardowych formularzy, szablonów i procedur umożliwiających podmiotom finansowym zgłaszanie poważnych incydentów związanych z technologiami ICT (art. 20 (b)), RTS w zakresie testów penetracyjnych opartych na zagrożeniach (art.