(1) Jede Einrichtung der Union ergreift unverzüglich, in jedem Fall aber bis zum 8. September 2025 unter der Aufsicht ihrer höchsten Managementebene geeignete und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen, um die im Rahmen des Rechtsrahmens ermittelten Cybersicherheitsrisiken zu bewältigen und um Sicherheitsvorfälle zu verhindern bzw. deren Auswirkungen zu minimieren. Unter Berücksichtigung des Stands der Technik und gegebenenfalls einschlägiger europäischer und internationaler Normen wird mit diesen Maßnahmen für ein Sicherheitsniveau von Netz- und Informationssystemen in der gesamten IKT-Umgebung gesorgt, das den bestehenden Cybersicherheitsrisiken gerecht wird. Bei der Bewertung der Verhältnismäßigkeit dieser Maßnahmen sind das Ausmaß der Exposition der Einrichtung der Union gegenüber Cybersicherheitsrisiken, ihre Größe und die Wahrscheinlichkeit des Eintretens von Sicherheitsvorfällen und deren Schwere, einschließlich ihrer gesellschaftlichen, wirtschaftlichen und institutionellen Auswirkungen, gebührend zu berücksichtigen.