L'Agence nationale de la sécurité des systèmes d'information élabore et propose au Premier ministre les règles de sécurité prévues à l'article L. 1332-6-1. Ces règles sont établies par arrêté du Premier ministre pris après avis des ministres coordonnateurs des secteurs d'activités d'importance vitale concernés. Lorsque l'arrêté n'est pas publié, il est notifié aux personnes ayant besoin d'en connaître.
Les arrêtés mentionnés au premier alinéa peuvent prévoir des règles de sécurité différentes selon le secteur ou le type d'activité de l'opérateur. Ils fixent les délais dans lesquels les opérateurs d'importance vitale sont tenus d'appliquer les règles de sécurité. Ces délais peuvent être différents selon les règles de sécurité, le type de systèmes d'information concernés ou la date de mise en service de ces systèmes.