С 1 сентября операторы государственных информационных систем, систем государственных органов, учреждений и унитарных предприятий должны будут сообщать о компьютерных инцидентах в НКЦКИ не позднее 24 часов после обнаружения. Основным каналом станет личный кабинет в технической инфраструктуре центра, а при сбое разрешено использовать резервную электронную или почтовую связь. За сутки потребуется также отвечать на запросы НКЦКИ и сообщать о мерах, принятых после предупреждения о готовящейся атаке.
С 1 сентября программы, базы данных и оборудование, используемые для государственных информационных систем, должны находиться в России. В договоре с поставщиком потребуется определить сроки восстановления после сбоев, порядок резервного копирования и возврата данных. О компьютерной атаке или нарушении защиты поставщик сообщает сразу, а сведения о принятых мерах направляет не позднее трёх часов. Передача закрытой информации соисполнителю допускается только с письменного согласия государственного заказчика.