2. Įgyvendindami ir taikydami šio reglamento priede nustatytus kibernetinio saugumo rizikos valdymo priemonių techninius ir metodinius reikalavimus, atitinkami subjektai užtikrina tinklų ir informacinių sistemų saugumo lygį, atitinkantį kylančią riziką. Tuo tikslu jie, laikydamiesi šio reglamento priede nustatytų kibernetinio saugumo rizikos valdymo priemonių techninių ir metodinių reikalavimų, deramai atsižvelgia į jiems kylančios rizikos dydį, savo dydį ir incidentų tikimybę bei sunkumą, be kita ko, jų socialinį ir ekonominį poveikį.
Tais atvejais, kai šio reglamento priede numatyta, kad tam tikras kibernetinio saugumo rizikos valdymo priemonės techninis ar metodinis reikalavimas yra taikomas, kai tikslinga, kai taikytina ir tiek, kiek įmanoma, ir kai atitinkamas subjektas mano, kad taikyti tokius techninius ir metodinius reikalavimus jo atveju nėra tikslinga, taikytina ar įmanoma, jis dokumentuose suprantamai užfiksuoja su tuo susijusius savo argumentus.