2. Asjaomased üksused tagavad käesoleva määruse lisas sätestatud küberturvalisuse riskijuhtimismeetmete tehnilisi ja metoodilisi nõudeid rakendades ja kohaldades võrgu- ja infosüsteemide turvalisuse taseme, mis vastab riskidele. Selleks võtavad nad käesoleva määruse lisas sätestatud küberturvalisuse riskijuhtimismeetmete tehnilisi ja metoodilisi nõudeid järgides nõuetekohaselt arvesse enda riskidele avatuse ulatust, nende suurust ning intsidentide esinemise tõenäosust ja tõsidust, kaasa arvatud nende ühiskondlikku ja majanduslikku mõju.
Kui käesoleva määruse lisas on sätestatud, et mõnd küberturvalisuse riskijuhtimismeetmete tehnilist või metoodilist nõuet kohaldatakse, kui see on otstarbekas, kui see on kohaldatav või niivõrd, kui see on teostatav, ning kui asjaomane üksus ei pea teatavate selliste tehniliste ja metoodiliste nõuete kohaldamist otstarbekaks, kohaldatavaks või teostatavaks, dokumenteerib asjaomane üksus oma sellekohased põhjendused arusaadavalt.