2. De relevante enheder sikrer et i forhold til risiciene passende niveau af sikkerhed i net- og informationssystemer, når de gennemfører og anvender de tekniske og metodologiske krav til foranstaltninger til styring af cybersikkerhedsrisici, der er fastsat i bilaget til denne forordning. Med henblik herpå tager de relevante enheder behørigt hensyn til graden af deres eksponering for risici, deres størrelse samt sandsynligheden for hændelser og disses alvor, herunder deres samfundsmæssige og økonomiske indvirkning, i forbindelse med overholdelsen af de tekniske og metodologiske krav til foranstaltninger til styring af cybersikkerhedsrisici, der er fastsat i bilaget til denne forordning.
Hvis det i bilaget til denne forordning fastsættes, at et teknisk eller metodologisk krav til en foranstaltning til styring af cybersikkerhedsrisici skal anvendes »hvor det er relevant«, »hvis det er relevant« eller »i det omfang, det er muligt«, og hvis en relevant enhed finder, at det ikke er relevant eller muligt for den relevante enhed at anvende visse af disse tekniske og metodologiske krav, dokumenterer den relevante enhed på en forståelig måde sin begrundelse herfor.