在斯里蘭卡設有伺服器的VPN

服務業者必須對要求保密（第 24(2) 條）；未能提供協助可被處以最高 Rs 200,000 罰款、監禁一至兩年，或兩者兼施（第 23(2) 條）。部長可透過規例訂明資料留存及截取的方式（第 18(4) 條）。《2024 年第 9 號網上安全法》就其所涵蓋的罪行重申手令權力（第 35 條）。這些法例是否適用於 VPN 營運商，尚未確認。

一項由私人議員提出、旨在廢除《2024 年第 9 號網上安全法》的法案，已於 2025 年 4 月在憲報刊登，並於 2025 年 5 月 8 日提交國會。

網上安全委員會可向任何互聯網服務業者或互聯網中介發出通知，要求其為斯里蘭卡的終端使用者停用對含有受禁止陳述的網上位置的存取權，或移除該陳述（第 11(c) 條）。「互聯網中介服務」包括向終端使用者傳送第三方材料的服務。此類服務的業者如透過其網上位置傳播受禁止陳述，可獲豁免承擔責任（第 27(1) 條）。

委員會由五名成員組成，由總統在憲法委員會批准下委任（第 5 條）。

傳達威脅國家安全、公共衞生或公共秩序，或助長不同階層人士之間敵意的虛假陳述，可被判處最高五年監禁或 Rs 500,000 罰款（第 12 條）。其他罪行包括構成藐視法庭、肆意挑釁、傷害宗教感情及網上欺詐的虛假陳述（第 13–17 條）。

可憑裁判官手令取得訂戶資料，以追查帖文背後的帳戶（第 35 條）；如陳述是從不真實帳戶或機械人發出，則可由地方法院命令中介披露該人的身分或位置（第 26 條）。

《電腦罪案法》要求截取通訊及取得流量資料須有裁判官手令，但第 18(2) 條在警務人員判斷調查屬緊急時免除手令要求，而其保密責任（第 24(2) 條）則令有關人士無法得知該要求。

國際法律師委員會在 2025 年 9 月 12 日的觀察中，將委員會及獲委任專家權力過於廣泛列為關注事項之一，並促請廢除或大幅修訂相關法例。各列的次序是安全分數，而伺服器的位置並不代表建議。