Według nowego projektu zmian w ustawie o krajowym systemie cyberbezpieczeństwa operatorzy telekomunikacyjni zostali dopuszczeni do postępowania w zakresie oceny ryzyka dostawców sprzętu, oprogramowania i usług ICT. Problem w tym, że ustawodawca proponuje w projekcie kryterium przychodowe. W praktyce więc swoją opinię w postępowaniu będzie mogło wyrazić kilkanaście największych podmiotów, osiągających przychody ponad 110 mln zł, a małe i średnie przedsiębiorstwa zostaną z tej procedury wykluczone.