O uznaniu danego podmiotu za operatora usługi kluczowej zdecydują, kompetentne dla danego sektora, organy właściwe (w drodze decyzji administracyjnej).
Zgodnie z ustawą, operatorem jest podmiot, który spełnia (łącznie) poniższe wymagania:
został wskazany (jako rodzaj podmiotu) w załączniku do ustawy;
świadczy usługę kluczową określoną w rozporządzeniu;
świadczenie tej usługi zależy od systemów informacyjnych;
usługa jest świadczona powyżej określonego progu istotności – najczęściej jest to wielkość produkcji, zasięg geograficzny świadczenia usługi albo liczba odbiorców.
Usługi kluczowe wymienione w Rozporządzeniu Rady Ministrów z dnia 11 września 2018 r. w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych obejmują następujące sektory:
energia (m.in. energia elektryczna, ciepło, ropa i gaz);
transport (z podziałem na wodny, lądowy i powietrzny);
bankowość i infrastruktura rynków finansowych;
uzdatnianie wody i odprowadzanie ścieków;
ochrona zdrowia (w tym szpitale i przemysł farmaceutyczny);
