(2) Az érintett szervezetek biztosítják, hogy a kiberbiztonsági kockázatkezelési intézkedésekre vonatkozó, e rendelet mellékletében meghatározott technikai és módszertani követelmények végrehajtása és alkalmazása során a hálózati és információs rendszerek biztonsági szintje arányos legyen a felmerülő kockázatokkal. E célból a kiberbiztonsági kockázatkezelési intézkedések e rendelet mellékletében meghatározott műszaki és módszertani követelményeinek való megfelelés során kellően figyelembe veszik a kitettségük mértékét, a méretüket, valamint a biztonsági események bekövetkezésének valószínűségét és súlyosságát, beleértve azok társadalmi és gazdasági hatását.
Amennyiben e rendelet melléklete úgy rendelkezik, hogy valamely kiberbiztonsági kockázatkezelési intézkedésre vonatkozó technikai vagy módszertani követelmény akkor alkalmazandó, „ha indokolt”, „ha releváns” vagy „ha megvalósítható”, de az érintett szervezet úgy ítéli meg, hogy az adott technikai vagy módszertani követelmény alkalmazása nem indokolt, nem releváns vagy nem megvalósítható, az érintett szervezetnek érthető módon dokumentálnia kell az erre vonatkozó érvelését.