Operator IKT sistema od posebnog značaja, shodno ovom zakonu, u obavezi je da:
1)
podnese prijavu za upis u evidenciju IKT sistema od posebnog značaja;
2)
preduzme odgovarajuće tehničke, operativne, organizacione i fizičke mere zaštite IKT sistema od posebnog značaja, upravljanje rizicima i prevenciju i smanjenje štetnih posledica incidenata;
3)
izvrši procenu rizika i donese akt o proceni rizika;
4)
donese akt o bezbednosti IKT sistema od posebnog značaja;
5)
vrši proveru usklađenosti mera zaštite IKT sistema koje se primenjuju sa aktom o bezbednosti IKT sistema i to najmanje jednom godišnje;
6)
uredi odnos sa trećim licima na način koji obezbeđuje preduzimanje mera zaštite tog IKT sistema u skladu sa zakonom, ukoliko poverava aktivnosti u vezi sa IKT sistemom od posebnog značaja trećim licima;
7)
dostavlja obaveštenja, bez odlaganja, o svakom incidentu koji značajno narušava bezbednost IKT sistema od posebnog značaja;
8)
prijavi izbegnute incidente koji predstavljaju ozbiljnu pretnju u skladu sa ovim zakonom;
9)
dostavlja statističke podatke o incidentima i izbegnutim incidentima u IKT sistemima.