Згідно з інформацією відомства, до Переліку включаються ПЗ та обладнання, якщо їх правовласники або кінцеві бенефіціари перебувають під українськими чи міжнародними санкціями або якщо це передбачено рішенням суду. Тобто ключовим критерієм є не технічна оцінка безпечності продукту, а санкційний статус осіб, які володіють майновими правами на нього. Цей перелік не є вичерпним і продовжує наповнюватися. Пріоритетно включаються ті продукти, які прямо зазначені у відповідних санкційних рішеннях.

Законодавство не розмежовує ПЗ за моделлю використання (локальне встановлення, SaaS тощо). Вирішальним є сам факт використання програмного забезпечення у складі інформаційно-комунікаційної системи.

Таким чином, якщо програмне забезпечення включено до Переліку, його використання у вигляді хмарного сервісу (SaaS) у системах, на які поширюються вимоги законодавства, також підпадає під встановлені обмеження.

Що стосується програмного забезпечення «1С» та «BAS», правовласником яких є ТОВ «1С», то згідно вимог Закону України «Про захист інформації в інформаційно-комунікаційних системах» державні органи і державні підприємства мають обробляти інформацію в авторизованих системах, які отримали сертифікат відповідності стандарту інформаційної безпеки. При використанні в системі підсанкційного ПЗ або обладнання пройти авторизацію або отримати сертифікат відповідності стандарту інформаційної безпеки така система не зможе. Для вже авторизованих/сертифікованих систем виявлення факту використання підсанкційного ПЗ або обладнання в системі буде означати скасування авторизації/сертифікації на підставі невідповідності нормам законодавства у сфері захисту інформації та кіберзахисту. 

Також при виявленні факту використання підсанкційного ПЗ або обладнання під час проведення заходів державного контролю в сфері захисту інформації власник системи буде зобов’язаний провести заміну такого ПЗ або обладнання, а в разі невиконання припису – буде складено протокол про адміністративне правопорушення, який в подальшому буде направлено до суду.