2. Nell’attuare e nell’applicare i requisiti tecnici e metodologici delle misure di gestione dei rischi di cibersicurezza di cui all’allegato del presente regolamento, i soggetti pertinenti garantiscono un livello di sicurezza dei sistemi informativi e di rete adeguato ai rischi esistenti. A tal fine, nel conformarsi ai requisiti tecnici e metodologici delle misure di gestione dei rischi di cibersicurezza di cui all’allegato del presente regolamento, tali soggetti tengono debitamente conto del grado di esposizione ai rischi, delle proprie dimensioni, della probabilità che si verifichino incidenti e della relativa gravità, compreso l’impatto sociale ed economico.
Qualora l’allegato del presente regolamento preveda l’applicazione di un requisito tecnico o metodologico di una misura di gestione dei rischi di cibersicurezza «se opportuno», «se applicabile» o «nella misura del possibile», e qualora un soggetto pertinente ritenga che l’applicazione di determinati requisiti tecnici e metodologici non sia opportuna, applicabile o possibile, il soggetto pertinente documenta in modo comprensibile le ragioni di tale decisione.