Dotychczasowych operatorów usług kluczowych, a także przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i podmioty krytyczne minister wpisuje do wykazu z urzędu.
Do obowiązków podmiotów kluczowych i ważnych należy wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) obejmującego m.in. szacowanie ryzyka i zarządzanie nim oraz obsługę i zgłaszanie incydentów. Podmioty kluczowe muszą ponadto co najmniej raz na trzy lata przeprowadzać audyt bezpieczeństwa, a podmiotom ważnym audyt może w określonych przypadkach nakazać organ właściwy. Kierownik podmiotu podejmuje decyzje dotyczące systemu zarządzania bezpieczeństwem informacji, planuje środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie. Raz w roku musi przejść szkolenie z zakresu tych obowiązków i może zostać ukarany karą pieniężną w wysokości do 300% wynagrodzenia (w przypadku podmiotów publicznych do 100%).