Sikkerhetsloven gjelder for statlige, fylkeskommunale og kommunale organer, jf sikkerhetsloven § 1-2. Etter vedtak i det enkelte departement kan loven med hjemmel i § 1-3 også gis anvendelse for andre rettssubjekter dersom virksomheten:

  1. behandler sikkerhetsgradert informasjon, jf sikkerhetsloven § 1-3 bokstav a)
  2. råder over informasjon og/eller informasjonssystemer, objekter eller infrastruktur som har avgjørende betydning for grunnleggende nasjonale funksjoner, jf. sikkerhetsloven § 1-3 bokstav b)
  3. driver aktivitet som har avgjørende betydning for grunnleggende nasjonale funksjoner, jf. sikkerhetsloven § 1-3 bokstav c).

Sikkerhetsloven gjør et skille mellom virksomheter av avgjørende betydning, de som faller inn under 2. og 3. over, og virksomheter av vesentlig betydning for GNF. Departementet skal identifisere og holde oversikt over virksomheter av vesentlig betydning jf sikkerhetsloven § 2-1. Virksomheter pålegges ikke imidlertid ikke plikter etter loven på grunnlag av at de er av «vesentlig betydning». Virksomheter av vesentlig betydning for GNF kan imidlertid være underlagt loven etter §§ 1-2 eller 1-3.

Virksomheter av avgjørende og vesentlig betydning for GNF kan være både offentlige og private virksomheter. Virksomheter av avgjørende betydning kan med andre ord både være virksomheter utpekt etter sikkerhetsloven § 1-3 b og c og offentlige virksomheter omfattet av loven etter § 1-2.

Hverken lov eller forskrift detaljerer hvordan departementet skaffer seg oversikt over virksomheter av vesentlig betydning for GNF, men det kan være gjennom

  • å definere og anvende egne grenseverdier og kriterier, kvantitative eller kvalitative, dersom det er hensiktsmessig for en god oversikt over virksomheter av vesentlig betydning. For eksempel kan et departement definere en konkret grenseverdi for en produksjonskapasitet som departementet legger til grunn for sin oversikt over virksomheter av vesentlig betydning. Dersom endringer oppstår, for eksempel at en virksomhets andel av total leveranse øker over en definert grenseverdi, kan departementet vurdere virksomheten til å være av avgjørende betydning.
  • at myndighetene (sektordepartement og NSM) får rapportert avhengigheter gjennom virksomhetens risikovurdering, og at dette kan danne grunnlag for departementenes oversikt, og eventuelt vedtak etter § 1-3.

Departementene må fatte vedtak etter § 1-3 for de virksomhetene som er av avgjørende betydning for GNF, men som ikke er omfattet av loven etter sikkerhetsloven § 1-2. I forbindelse med GNFprosessen vil det være bokstavene b og c i § 1-3 som vil være relevante å benytte som hjemmelsgrunnlag for vedtak.