W ustawie o KSC określono organy właściwe nadzorujące ww. sektory:

• Minister właściwy ds. energii (Ministerstwo Klimatu i Środowiska) – dla sektora energii;
• Minister właściwy ds. transportu i gospodarki wodnej (Ministerstwo Infrastruktury) - dla sektora transportu (włącznie z podsektorem transport wodny) i gospodarki wodnej;
• Komisja Nadzoru Finansowego - dla sektora bankowego i infrastruktury rynków finansowych;
• Minister właściwy ds. zdrowia (Ministerstwo Zdrowia) - dla sektora ochrony zdrowia;
• Minister właściwy ds. informatyzacji (Kancelaria Prezesa Rady Ministrów) - dla sektora infrastruktury cyfrowej;
• Minister obrony narodowej (Ministerstwo Obrony Narodowej) dla sektora zdrowia i infrastruktury cyfrowej w zakresie podmiotów podległych Ministrowi obrony narodowej.

Zadania Organu Właściwego:

• na bieżąco prowadzi analizę podmiotów w danym sektorze lub podsektorze pod katem uznania ich za operatora usługi kluczowej;
• wydaje decyzje o uznaniu podmiotu za operatora usługi kluczowej;
• przygotowuje rekomendacje działań mających na calu wzmocnienie cyberbezpieczeństwa, w tym wytyczne sektorowe dotyczące działania incydentów (współpraca z CSIRT NASK, CSIRT GOV, CSIRT MON i sektorowymi zespołami cyberbezpieczeństwa);
• prowadzi kontrole operatorów usług kluczowych i dostawców usług cyfrowych (monitoruje stosowanie przez nich przepisów ustawy);
• na wniosek CSIRT NASK, CSIRT GOV LUB CSIRT MON wzywa operatorów usług kluczowych lub dostawców usług cyfrowych do usunięcia w wyznaczonym terminie podatności które doprowadziły lub mogły doprowadzić do incydentu poważnego, istotnego lub krytycznego;
• uczestniczy w ćwiczeniach w zakresie cyberbezpieczeństwa organizowanych w RP lub UE;
• dla danego sektora lub podsektora może organ właściwy może ustanowić, sektorowy zespół cyberbezpieczeństwa (organy właściwe decydują jak je ustanawiają i w jakiej formie prawnej).

W zakresie wyznaczenia przez dany organ właściwy operatorów usług kluczowych obowiązuje następująca procedura:

• organ właściwy bada rynek w celu identyfikacji potencjalnych operatorów usług kluczowych,
• organ właściwy zaczyna postepowanie administracyjne i zbiera informacje o podmiocie,
• organ właściwy sprawdza, czy podmiot spełnia wymogi rozporządzenia,
• organ właściwy wskazuje operatora usługi kluczowej poprzez wydanie decyzji administracyjnej,
• operator usługi kluczowej ma od 3 do 12 miesięcy na dostosowanie się do wymogów zawartych w rozporządzeniu,
• operator usługi kluczowej realizuje obowiązki wynikające z ustawy.