Co to v praxi znamená? Organizace, které by mohly spadat pod zákon, se zatím pohybují v legislativním provizoriu. Plnohodnotné právní posouzení vlastních povinností není možné, protože bez nařízení nelze jednoznačně určit, zda organizace splňuje kritéria pro zařazení na seznam subjektů kritické infrastruktury. Příprava „naslepo" je sice možná – a u větších organizací pravděpodobně probíhá – ale je spojena s rizikem, že se některá opatření budou muset po vydání nařízení přehodnotit.

Přesto je jeden vztah jasný už nyní: každý subjekt zařazený na seznam kritické infrastruktury se automaticky stává poskytovatelem regulované služby ve vyšším režimu podle zákona o kybernetické bezpečnosti. Opačně to neplatí – zákon o kritické infrastruktuře je užší než zákon o kybernetické bezpečnosti. Organizace, které jsou regulovány DORA nebo které zákon o kritické infrastruktuře přímo vyjímá (bankovnictví, infrastruktura finančních trhů, digitální infrastruktura), navíc plní z nového zákona pouze minimální povinnosti – v podstatě pouze registraci a oznamování změn.

Zákon nicméně přináší i praktický princip pro ty, kdo pod oba zákony spadají: jednou a dost. Dokumentace připravená pro zákon o kybernetické bezpečnosti – pokud splňuje předepsané náležitosti – může sloužit i pro účely zákona o kritické infrastruktuře. To výrazně snižuje administrativní zátěž, pokud se na ni přípravy zaměří správně od začátku.