Medlemsstaterna ska enligt direktivet införa regler som innebär att dessa aktörer ska vidta tekniska och organisatoriska åtgärder för att hantera säkerhetsrisker i sina nätverk och informationssystem och att rapportera allvarliga it-incidenter .