Do 5 kwietnia 2027 r. dyrektor instytucji kultury powinien zapewnić wdrożenie najważniejszych obowiązków wynikających z przepisów o krajowym systemie cyberbezpieczeństwa. W szczególności musi:

• Sprawdzić status instytucji - Ustalić, czy instytucja jest podmiotem kluczowym lub ważnym oraz czy dane w wykazie PKW zostały prawidłowo wpisane, uzupełnione i zaktualizowane.
• Wdrożyć System Zarządzania Bezpieczeństwem Informacji - Przygotować i zatwierdzić procedury dotyczące ochrony systemów, zarządzania ryzykiem, reagowania na incydenty oraz nadzoru nad dokumentacją.
• Wyznaczyć osoby odpowiedzialne za kontakt i incydenty - Wskazać wymagane osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa oraz ustalić, kto przyjmuje i obsługuje zgłoszenia cyberzagrożeń.
• Zapewnić strukturę odpowiedzialną za cyberbezpieczeństwo - Powołać odpowiednie osoby lub komórkę wewnętrzną albo zawrzeć umowę z zewnętrznym dostawcą usług cyberbezpieczeństwa.
• Przygotować procedurę zgłaszania incydentów - Zapewnić pracownikom i użytkownikom usług, np. osobom kupującym bilety online, możliwość zgłaszania incydentów, podatności i cyberzagrożeń.
• Przeszkolić siebie i pracowników - Odbyć wymagane szkolenie dla kierownika oraz zapewnić pracownikom wiedzę o zasadach bezpieczeństwa i sposobie reagowania na zagrożenia.
• Zaplanować środki finansowe - Uwzględnić w budżecie koszty zabezpieczeń technicznych, szkoleń, usług zewnętrznych, dokumentacji i przyszłego audytu.
• Przydzielić zadania i udokumentować nadzór - Wskazać osoby odpowiedzialne za poszczególne działania, ustalić terminy i regularnie kontrolować postęp prac. Zlecenie obowiązków informatykowi, JST lub firmie zewnętrznej nie zwalnia dyrektora z odpowiedzialności za nadzór.
• Sprawdzić możliwość wspólnej obsługi - Ustalić, czy minister albo jednostka samorządu terytorialnego zapewnia wspólne rozwiązania informatyczne lub organizacyjne dla instytucji kultury.
• Przygotować dokumenty potwierdzające wykonanie obowiązków - Zachować uchwały, zarządzenia, protokoły szkoleń, umowy, potwierdzenia przeglądów, harmonogramy i inne dowody pokazujące, że obowiązki zostały faktycznie wdrożone i są nadzorowane.