Trzeba zapewnić sprawny przepływ informacji o incydentach

Dotyczy to m.in. jednostek samorządu terytorialnego. Część z nich zaliczana jest dodatkowo do grupy operatorów usługi kluczowej, o czym powinny zostać poinformowane pismem zawierającym decyzję administracyjną ministra odpowiadającego za dany sektor gospodarki lub usług (np. Ministra Zdrowia). To rozróżnienie jest ważne ze względu na obowiązek składania informacji o incydencie cyberbezpieczeństwa. Podmioty publiczne są zobligowane do informowania o wszystkich incydentach, które powodują lub mogą spowodować obniżenie jakości lub przerwanie realizacji zadania publicznego. Natomiast podmioty publiczne, które jednocześnie są operatorami usług kluczowych, muszą zgłaszać incydenty poważne. To, czy incydent jest uznawany za poważny, zależy np. od liczby użytkowników dotkniętych incydentem oraz czasu oddziaływania na świadczoną usługę. Kryteria dla poszczególnych sektorów określa rozporządzenie Rady Ministrów.