Ustawa o krajowym systemie cyberbezpieczeństwa, przyjęta w 2018 r., tworzy podstawy prawno-instytucjonalne dla cyberbezpieczeństwa na poziomie krajowym. Krajowy system cyberbezpieczeństwa składa się m.in. z operatorów usług kluczowych, operatorów usług cyfrowych oraz podmiotów publicznych, na które nałożono obowiązki związane z zapewnieniem bezpieczeństwa informacji, a także obsługą incydentów bezpieczeństwa.
Projekt nowelizacji zakłada przebudowę obecnego modelu, powołanie krajowych sektorowych zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSRIT sektorowe) i sektorowych operacyjnych centrów bezpieczeństwa (SOC), które zastąpią dotychczasowe sektorowe zespoły cyberbezpieczeństwa i podmioty świadczące usługi z zakresu cyberbezpieczeństwa. Ma zostać dodany nowy rodzaj podmiotu - ISAC - który ma umożliwić nawet niewielkim, wyspecjalizowanym podmiotom na dołączenie się do krajowego systemu cyberbezpieczeństwa. Projekt zakłada wzmocnienie pozycji pełnomocnika rządu ds. cyberbezpieczeństwa poprzez nadanie konkretnych uprawnień do wydawania ostrzeżeń i poleceń zabezpieczających.
Z projektu wynika, że dostawcy sprzętu lub oprogramowania będą mogli zostać poddani procedurze sprawdzającej pod kątem zagrożeń dla społeczno-ekonomicznego bezpieczeństwa państwa. Jeżeli zostaną zidentyfikowani jako źródło zagrożenia, zostaną wyłączeni z systemu zamówień publicznych w Polsce. Taka ocena będzie też mogła skutkować zobowiązaniem podmiotów krajowego systemy cyberbezpieczeństwa do ograniczenia z korzystania produktów, oprogramowania i usług danego dostawcy sprzętu lub oprogramowania.
Zgodnie z projektem, ustawa (dotycząca cyberbezpieczeństwa) weszłaby w życie 21 grudnia 2020 r. wraz z ustawą prawo komunikacji elektronicznej, natomiast przepisy z zakresu prawa zamówień publicznych od 1 stycznia 2021 roku. Założono, że powołanie CSIRT sektorowych nastąpi w ciągu 18 miesięcy od wejścia ustawy w życie.
