Les opérateurs de services essentiels établissent et tiennent à jour la liste des réseaux et systèmes d'information mentionnés au premier alinéa de l'article 5 de la loi du 26 février 2018 précitée, auxquels s'appliquent les règles de sécurité prévues à l'article 6 de la même loi. Cette liste comprend, le cas échéant, les réseaux et systèmes d'information dont ils ont confié l'exploitation à un tiers lorsque ces réseaux et systèmes d'information sont nécessaires à la fourniture des services essentiels de l'opérateur.

Dans un délai de trois mois à compter de sa désignation comme opérateur de services essentiels, l'opérateur communique à l'Agence nationale de la sécurité des systèmes d'information, selon des modalités fixées par arrêté du Premier ministre, la liste mentionnée à l'article 7 ainsi que, pour chaque réseau et système d'information, les informations précisées par cet arrêté.
L'opérateur communique une fois par an à l'Agence nationale de la sécurité des systèmes d'information les mises à jour de la liste et des informations mentionnées au premier alinéa. Il tient cette liste et ces informations à la disposition de l'agence, notamment en vue des contrôles prévus à la section 5 du présent chapitre. Il justifie tout retrait de réseau et système d'information figurant précédemment dans cette liste.

L'Agence nationale de la sécurité des systèmes d'information peut, après avis des ministres concernés, faire des observations à l'opérateur de services essentiels sur la liste mentionnée à l'article 7 et les informations mentionnées à l'article 8. Dans ce cas, l'opérateur modifie sa liste et les informations conformément à ces observations et communique, à l'agence, la liste et les informations modifiées, dans un délai de deux mois à compter de la réception des observations.