Bien que les États membres restent, en dernier ressort, responsables de la définition de leurs politiques dans le domaine des infrastructures d'information critiques, la mise en œuvre de ces politiques dépend de l'engagement du secteur privé, qui possède ou contrôle un grand nombre de ces infrastructures.
Hoewel in laatste instantie de lidstaten voor het vaststellen van KII-gerelateerd beleid verantwoordelijk blijven, hangt de uitvoering ervan af van het hierbij betrekken van de marktsector, die een groot aantal KII’s bezit of controleert.