Le autorità di settore sono enti pubblici o regolatori designati che aiutano ad applicare le regole di cybersecurity a un settore specifico, come energia, trasporti, sanità, finanza o infrastrutture digitali. Trasformano requisiti nazionali o dell'UE di ampio respiro in aspettative specifiche per il settore, coerenti con il modo in cui i servizi operano realmente.
Nella sicurezza informatica, questo è importante perché un elenco generico di controlli è spesso troppo vago per essere utile. Le autorità di settore possono convalidare quali organizzazioni rientrano nel perimetro, chiarire cosa si intende per servizi critici e definire requisiti pratici per la registrazione dei log, la segnalazione degli incidenti, la resilienza dei backup, il controllo degli accessi e la supervisione dei fornitori. In un reale scenario di attacco o difesa, le loro indicazioni aiutano le organizzazioni a decidere quali evidenze conservare, con quale rapidità far escalare gli incidenti e quali sistemi operativi debbano essere protetti per primi. Questo riduce l'ambiguità e migliora il coordinamento tra autorità di regolamentazione, operatori e team di risposta agli incidenti.