Podmioty publiczne Przed nowelizacją podmioty publiczne tworzyły w systemie odrębną kategorię. Ich podstawowym obowiązkiem było wyznaczenie osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa oraz zgłaszanie incydentów do właściwego zespołu CSIRT. Od 2026 roku podmioty publiczne należą do sektora „podmioty publiczne”. Podmioty publiczne wskazane w załączniku nr 1 są podmiotami kluczowymi niezależnie od wielkości, a m.in. samorządowe jednostki budżetowe, samorządowe zakłady budżetowe, samorządowe instytucje kultury i spółki komunalne wykonujące zadania użyteczności publicznej, które nie są podmiotami kluczowymi, są podmiotami ważnymi.
Organy właściwe Organy właściwe do spraw cyberbezpieczeństwa sprawują nadzór nad poszczególnymi sektorami zgodnie z art. 41 i 41a ustawy.