Do takiego usuwania będą zobowiązane m.in. samorządy, sądy, szpitale, przedsiębiorcy telekomunikacyjni oraz uczelnie, jeśli firma dostarczająca sprzęt zostanie uznana za dostawcę wysokiego ryzyka.
Takie rozwiązanie zakłada projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa. Jan Pilewski, ekspert BCC ds. polityki publicznej rynku cyfrowego, tłumaczy, że projekt wprowadza pojęcie dostawcy wysokiego ryzyka w odniesieniu do produktów i usług ICT (informacyjno-telekomunikacyjnych). Jak zaznacza, w projekcie nie określono w sposób precyzyjny kraju pochodzenia, z którego produkty i oprogramowanie mogą zostać uznane za zagrażające bezpieczeństwu państwa, natomiast jeśli minister cyfryzacji oraz kolegium cyberbezpieczeństwa stwierdzą, że dany produkt lub oprogramowanie są zagrożeniem i zostaną uznane za niebezpieczne z punktu widzenia bezpieczeństwa państwa, to wtedy będą musiały zostać wyeliminowane z użytku. Podmioty posiadające taki sprzęt czy oprogramowanie będą musiały wycofać je w okresie czterech–siedmiu lat.