Medlemsstaterna är inte skyldiga att identifiera leverantörer av digitala tjänster men däremot att se till att även dessa aktörer vidtar tekniska och organisatoriska åtgärder för att hantera säkerhetsrisker mot nätverk och informationssystem och att de rapporterar allvarliga it-incidenter till tillsynsmyndigheten .