2. Asianomaisten toimijoiden on varmistettava, että verkko- ja tietojärjestelmien turvallisuuden taso on oikeassa suhteessa aiheutuviin riskeihin, kun ne panevat täytäntöön ja soveltavat tämän asetuksen liitteessä vahvistettuja kyberturvallisuusriskien hallintatoimenpiteiden teknisiä ja menetelmiin liittyviä vaatimuksia. Tätä varten asianomaisten toimijoiden on otettava asianmukaisesti huomioon se, missä määrin ne altistuvat riskeille, kokonsa sekä poikkeamien esiintymisen todennäköisyys ja vakavuus, mukaan lukien yhteiskunnalliset ja taloudelliset vaikutukset, kun ne noudattavat tämän asetuksen liitteessä vahvistettuja kyberturvallisuusriskien hallintatoimenpiteiden teknisiä ja menetelmiin liittyviä vaatimuksia.
Jos tämän asetuksen liitteessä säädetään, että jotakin kyberturvallisuusriskien hallintatoimenpiteen teknistä tai menetelmiin liittyvää vaatimusta on sovellettava ”tarvittaessa”, ”tapauksen mukaan” tai ”mahdollisuuksien mukaan”, ja jos asianomainen toimija katsoo, että joidenkin tällaisten teknisten ja menetelmiin liittyvien vaatimusten soveltaminen ei ole tarpeellista, asianmukaista tai mahdollista, asianomaisen toimijan on dokumentoitava tätä koskevat perustelunsa ymmärrettävällä tavalla.