2. Attiecīgās vienības, īstenojot un piemērojot šīs regulas pielikumā izklāstītās kiberdrošības risku pārvaldības pasākumu tehniskās un metodiskās prasības, nodrošina tādu tīklu un informācijas sistēmu drošības līmeni, kurš atbilst riskiem, kas rodas. Šajā nolūkā attiecīgās vienības, ievērojot šīs regulas pielikumā izklāstītās kiberdrošības risku pārvaldības pasākumu tehniskās un metodiskās prasības, pienācīgi ņem vērā savu eksponētības riskiem pakāpi, lielumu un incidentu rašanās varbūtību un to smagumu, ieskaitot to sabiedrisko un ekonomisko ietekmi.
Ja šīs regulas pielikumā ir norādīts, ka kiberdrošības risku pārvaldības pasākuma tehnisko vai metodisko prasību piemēro “atbilstošā gadījumā”, “attiecīgā gadījumā” vai “ciktāl iespējams” un ja attiecīgā vienība uzskata, ka attiecīgajai vienībai nav atbilstoši vai nav iespējams piemērot šīs konkrētās tehniskās un metodiskās prasības vai uz to šīs prasības neattiecas, attiecīgā vienība saprotami dokumentē sava uzskata pamatojumu.