On the one hand, therefore, businesses lack effective incentives to conduct serious risk management, involving risk assessment and taking appropriate steps to ensure NIS. On the other hand, a large proportion of incidents does not reach the competent authorities and go unnoticed.
Par conséquent, d'une part, faute d'incitations efficaces, les entreprises ne mettent pas en place de politique sérieuse de gestion des risques prévoyant notamment une évaluation des risques et l'adoption de mesures appropriées pour garantir la SRI et, d'autre part, une large proportion d'incidents n'est pas signalée aux autorités compétentes et passe inaperçue.