Taki obowiązek ciąży na firmach i podmiotach, które są kluczowe i ważne dla funkcjonowania państwa. Chodzi między innymi o produkcję i dystrybucję żywności, czy produkcję sprzętu transportowego.

Znowelizowana ustawa o Krajowym Systemie Cyberbezpieczeństwa nakłada obowiązek samorejestracji w tym wykazie. Oznacza to, że firmy same muszą ocenić czy spełniają te kryteria. Jednostki publiczne oraz podmioty objęte statusem operatora usług kluczowych zostały wpisane do wykazu z urzędu.

Zmieniają się również przepisy dotyczące zgłaszania poważnych incydentów w zakresie cyberbezpieczeństwa. Firmy albo instytucje uznane za ważne muszą wysłać wczesne ostrzeżenie o takim incydencie nie później niż 24 godziny od wykrycia. Mają również 72 godziny na zgłoszenie incydentu poważnego, czyli takiego, który może spowodować obniżenie jakości lub przerwanie ciągłości usług.