Operatorzy usług kluczowych i dostawcy usług cyfrowych (2018–2026) W pierwotnym kształcie ustawy operatorów usług kluczowych wyznaczały decyzjami organy właściwe w poszczególnych sektorach. Podstawą był wykaz usług kluczowych oraz progów istotności skutku zakłócającego incydentu, określony w rozporządzeniu Rady MinistrówRozporządzenie Rady Ministrów z dnia 11 września 2018 r. w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych (). Przykładowo w sektorze ochrony zdrowia operatorami miały zostać m.in. podmioty lecznicze posiadające szpitalny oddział ratunkowy i należące do tzw. sieci szpitali. Obowiązki operatorów obejmowały wdrożenie systemu zarządzania bezpieczeństwem, prowadzenie dokumentacji, przeprowadzanie audytu bezpieczeństwa co najmniej raz na dwa lata oraz obsługę i zgłaszanie incydentów poważnych do właściwych zespołów CSIRT.
Dostawcy usług cyfrowych – przedsiębiorstwa świadczące usługi internetowej platformy handlowej, wyszukiwarki internetowej albo przetwarzania w chmurze – nie podlegali wyznaczeniu i sami identyfikowali swój status, mając obowiązek zgłaszania incydentów istotnych do właściwego zespołu CSIRT.