L'empresa està obligada a invertir un percentatge dels seus beneficis en millora i formació de la cyberseguretat.

Si una empresa és atacada i es demostra que no ha invertit prou en seguretat, el hacker queda alliberat de culpa.

Si una empresa és atacada i es demostra que no ha invertit prou en seguretat, pot ser responsable penal també.