Até 17 de outubro de 2027, e, subsequentemente, a intervalos de 36 meses, a Comissão avalia a aplicação da presente diretiva e apresenta um relatório ao Parlamento Europeu e ao Conselho. O relatório avalia, em particular, a pertinência da dimensão das entidades em causa e dos setores, dos subsetores e dos tipos de entidades referidas nos anexos I e II para o funcionamento da economia e da sociedade no que diz respeito à cibersegurança. Para esse efeito, e a fim de promover a cooperação estratégica e operacional, a Comissão tem em conta os relatórios do grupo de cooperação e da rede de CSIRT sobre a experiência adquirida a nível estratégico e operacional. O relatório deve ser acompanhado, se necessário, de uma proposta legislativa.