Nowelizacja ustawy KSC określa szczegóły postępowania administracyjnego, w którym minister cyfryzacji może uznać konkretne produkty lub usługi ICT za pochodzące od dostawcy wysokiego ryzyka; na razie w Polsce nie ma żadnej takiej listy.