2. Pri provedbi i primjeni tehničkih i metodoloških zahtjeva za mjere upravljanja kibernetičkosigurnosnim rizicima iz Priloga ovoj Uredbi relevantni subjekti osiguravaju razinu sigurnosti mrežnih i informacijskih sustava koja je primjerena rizicima. U tu svrhu pri ispunjavanju tehničkih i metodoloških zahtjeva za mjere upravljanja kibernetičkosigurnosnim rizicima iz Priloga ovoj Uredbi uzimaju u obzir stupanj svoje izloženosti rizicima, svoju veličinu, vjerojatnost pojave incidenata i njihovu ozbiljnost, uključujući njihove društvene i gospodarske posljedice.
Ako je u Prilogu ovoj Uredbi uređeno da se određeni tehnički ili metodološki zahtjev neke mjere upravljanja kibernetičkosigurnosnim rizicima ispunjava „prema potrebi”, „ako je to primjenjivo” ili „u mjeri u kojoj je to izvedivo” i ako relevantni subjekt smatra da određene tehničke i metodološke zahtjeve iz Priloga ovoj Uredbi nema potrebe ispunjavati, da to nije izvedivo ili da se oni na njega ne primjenjuju, relevantni subjekt dužan je jasno dokumentirati svoje razloge za to.