Kibernetinio saugumo įstatymas reikalauja, kad kibernetinio saugumo subjektai imtųsi tinkamų techninių ir organizacinių priemonių, siekdami valdyti savo informacijos saugumo riziką. Vienas iš kibernetinio saugumo reikalavimų, keliamų kibernetinio saugumo subjektams, yra užtikrinti tiekimo grandinės saugumą.
Kibernetinio saugumo subjektai privalo nuolat stebėti ir peržiūrėti visus aspektus, kylančius iš savo ir tiesioginių tiekėjų ar paslaugų teikėjų sutartinių santykių. Kibernetinio saugumo subjektai privalo reikalauti ir įsitikinti, jog tiekėjai atitinka kibernetinio saugumo reikalavimus, pavyzdžiui, turi incidentų valdymo planus, atitinkamus saugumo sertifikatus, įvykus kibernetiniam incidentui bendradarbiaus su kibernetinio saugumo subjektu ir pan. Atsižvelgiant į tai, numatoma, kad bus daug organizacijų, veikiančių vieno ar daugiau kibernetinio saugumo subjektų tiekimo grandinėje. Tokioms organizacijoms naujasis teisinis reguliavimas turės netiesioginį poveikį.
Kibernetinio saugumo subjektų identifikavimo pagal specialiuosius kriterijus metodikoje, patvirtintoje Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, numatyta, kad vienas iš specialiųjų kriterijų skirtas identifikuoti esminio subjekto tam tikrai teikiamai paslaugai ir (ar) vykdomai veiklai įtaką turinčius subjektus, kuriems teikiant paslaugą ilgiau nei 12 mėn. jie tampa esminiu ar svarbiu subjektu.
