Artykuł 40
Do dnia 17 października 2027 r., a następnie co 36 miesięcy Komisja przeprowadza przegląd funkcjonowania niniejszej dyrektywy i składa Parlamentowi Europejskiemu i Radzie sprawozdanie na ten temat. W sprawozdaniu ocenia się w szczególności znaczenie wielkości danych podmiotów oraz sektorów, podsektorów, rodzaju podmiotu, o którym mowa w załącznikach I i II, dla funkcjonowania gospodarki i społeczeństwa w kontekście cyberbezpieczeństwa. W tym celu oraz z myślą o dalszym rozwijaniu współpracy strategicznej i operacyjnej Komisja bierze pod uwagę sprawozdania Grupy Współpracy i sieci CSIRT na temat doświadczeń zdobytych na poziomie strategicznym i operacyjnym. Sprawozdaniu towarzyszy w razie potrzeby wniosek ustawodawczy.