2. Příslušné subjekty při provádění a uplatňování technických a metodických požadavků opatření k řízení kybernetických bezpečnostních rizik stanovených v příloze tohoto nařízení zajistí úroveň bezpečnosti sítí a informačních systémů odpovídající existujícím rizikům. Za tímto účelem při plnění technických a metodických požadavků opatření k řízení kybernetických bezpečnostních rizik stanovených v příloze tohoto nařízení náležitě zohlední míru své expozice rizikům, svou velikost a pravděpodobnost výskytu incidentů a jejich závažnost, včetně jejich společenského a hospodářského dopadu.
Pokud příloha tohoto nařízení stanoví, že technický nebo metodický požadavek opatření k řízení kybernetických bezpečnostních rizik se použije, „v případě potřeby“, „v příslušných případech“ nebo „v proveditelném rozsahu“ a pokud se příslušný subjekt domnívá, že pro něj není vhodné, použitelné nebo proveditelné použít takové určité technické a metodické požadavky, příslušný subjekt srozumitelným způsobem zdokumentuje své odůvodnění v tomto smyslu.