2. Съответните субекти осигуряват ниво на сигурност на мрежовите и информационните системи, което съответства на съществуващите рискове при изпълнението и прилагането на техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността, посочени в приложението към настоящия регламент. За тази цел, когато спазват техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността, посочени в приложението към настоящия регламент, те надлежно отчитат степента на своята експозиция на рискове, своя размер и вероятността от възникване на инциденти и тяхната сериозност, включително тяхното въздействие върху обществото и икономиката.
Когато в приложението към настоящия регламент се предвижда, че дадено техническо или методологично изискване на мярка за управление на риска в областта на киберсигурността се прилага, „когато е целесъобразно“, „когато е приложимо“ или „доколкото е осъществимо“, и когато съответният субект счита, че не е целесъобразно, не е приложимо или не е осъществимо да прилага някои от тези технически и методологични изисквания, той документира по разбираем начин мотивите си за това.