Alle EU-medlemsstater vil dertil bl.a. blive pålagt at udarbejde en national strategi for kritisk infrastruktur og udarbejde nationale risikovurderinger. Ud fra risikovurderingen skal medlemsstaterne identificere kritiske enheder (fx virksomheder eller offentlige myndigheder) bl.a. ved hjælp af EU-fælleskriterier. Samtidig pålægges det de kritiske enheder at implementere visse tekniske og organisatoriske tiltag, som medlemdsstaterne gennem kompetente myndigheder skal føre tilsyn med.

Et af disse tiltag er såkaldt sikkerhedsstyring af medarbejdere, herunder baggrundskontrol på udvalgte medarbejdergrupper i kritiske enheder. Disse enheder vil være underlagt et skærpet tilsyn, hvor Kommissionen bl.a. kan anmode om at få udleveret risikovurderingen og implementeringsplanen for de tekniske og organisatoriske foranstaltninger, og gennemføre rådgivende missioner for at vurdere disse foranstaltninger.

Der er med andre ord krav om, at en baggrundskontrol som minimum skal bekræfte identiteten af den person, der er genstand for baggrundskontrollen, kontrollere strafferegistrene for den pågældende person for så vidt angår lovovertrædelser, der ville være relevante for en bestemt stilling.

Deruder kan der komme sektorspecifikke krav, alt efter hvordan de sektoransvarlige myndigheder vælger at udforme deres implementeringsdirektiver.