2. Las entidades pertinentes garantizarán un nivel de seguridad de los sistemas de redes y de información adecuado a los riesgos que se planteen al llevar a la práctica y aplicar los requisitos técnicos y metodológicos de las medidas para la gestión de riesgos de ciberseguridad establecidos en el anexo del presente Reglamento. Para ello, tendrán debidamente en cuenta su grado de exposición a los riesgos, su tamaño y la probabilidad de que se produzcan incidentes y su gravedad, especialmente sus repercusiones sociales y económicas, a la hora de cumplir los requisitos técnicos y metodológicos de las medidas para la gestión de riesgos de ciberseguridad establecidos en el anexo del presente Reglamento.
Cuando el anexo del presente Reglamento establezca que los requisitos técnicos y metodológicos de las medidas de gestión de riesgos de ciberseguridad se aplicarán «según proceda», «cuando proceda» o «en la medida de lo posible», y la entidad pertinente considere que no procede, que no resulta de aplicación o que no es posible aplicar determinados requisitos técnicos y metodológicos, la entidad redactará de manera comprensible su razonamiento a tal efecto.