Direktivet hindrar inte medlemsstaterna från att anta mer långtgående bestämmelser om säkerhet i nätverk och informationssystem än vad direktivet kräver .