Theo dự luật, các doanh nghiệp quy mô trung bình và lớn cung cấp dịch vụ như quản lý công nghệ thông tin, hỗ trợ kỹ thuật và an ninh mạng cho khu vực công – tư sẽ chịu sự giám sát của cơ quan quản lý nhà nước. Bộ Khoa học, Đổi mới và Công nghệ (DSIT) nhấn mạnh các công ty này cần tuân thủ nghiêm các quy định về bảo đảm an ninh, do có quyền truy cập vào hệ thống của chính phủ, hạ tầng trọng yếu và mạng lưới doanh nghiệp.

Nếu được thông qua, quy định mới sẽ yêu cầu doanh nghiệp báo cáo ngay cho cả chính phủ và khách hàng các sự cố mạng nghiêm trọng hoặc có nguy cơ gây ảnh hưởng lớn, đồng thời xây dựng kế hoạch ứng phó cụ thể nhằm giảm thiểu thiệt hại. Các cơ quan quản lý cũng sẽ có thêm thẩm quyền chỉ định nhà cung cấp dịch vụ trọng yếu và áp dụng mức phạt cao hơn đối với vi phạm nghiêm trọng. Ngoài ra, Chính phủ Anh dự kiến cấm các cơ quan khu vực công và đơn vị vận hành hạ tầng thiết yếu – gồm NHS, hội đồng địa phương và trường học – trả tiền chuộc cho tội phạm mạng trong bất kỳ trường hợp nào.

Kế hoạch được đưa ra sau hàng loạt vụ tấn công mạng nghiêm trọng, trong đó có vụ tin tặc xâm nhập hệ thống quản lý lương của Bộ Quốc phòng năm 2024 và các vụ tấn công gần đây làm gián đoạn hơn 11.000 cuộc hẹn khám, điều trị tại NHS. Một số thương hiệu lớn như Marks & Spencer, Co-op và Jaguar Land Rover cũng từng là mục tiêu của các cuộc tấn công mạng.