Medlemsstaterna uppmanas att fastställa relevanta åtgärder i fråga om ansvar inom ramen för nationell lagstiftning när det är uppenbart att en juridisk person inte har haft en lämplig skyddsnivå mot it-angrepp .