Alla EU-medlemsstater kommer bland annat att behöva utarbeta en nationell strategi för kritisk infrastruktur och utarbeta nationella riskbedömningar. Från riskbedömningen måste medlemsstaterna identifiera kritiska enheter (t.ex. företag eller offentliga myndigheter) med hjälp av bland annat gemensamma EU-kriterier. Samtidigt är kritiska enheter skyldiga att genomföra vissa tekniska och organisatoriska åtgärder som medlemsstaterna ska övervaka genom behöriga myndigheter.

En av dessa åtgärder är så kallad medarbetarsäkerhetshantering, inklusive bakgrundskontroller av utvalda medarbetargrupper i kritiska enheter. Dessa enheter kommer att omfattas av förstärkt tillsyn, där kommissionen bland annat kan begära att riskbedömningen och genomförandeplanen för de tekniska och organisatoriska åtgärderna läggs fram och genomföra rådgivande uppdrag för att bedöma dessa åtgärder.

Det finns med andra ord ett krav på att en bakgrundskontroll som ett minimum måste bekräfta identiteten på den person som är föremål för bakgrundskontrollen kontrollera den personens brottsregister för brott som skulle vara relevanta för en viss position.

Detta kan leda till sektorspecifika krav beroende på hur sektorsmyndigheterna väljer att utforma sina genomförandedirektiv.