2. Ao implementarem e aplicarem os requisitos técnicos e metodológicos das medidas de gestão dos riscos de cibersegurança estabelecidos no anexo do presente regulamento, as entidades pertinentes garantem um nível de segurança dos sistemas de rede e informação adequado aos riscos que se colocam. Para o efeito, ao cumprirem os requisitos técnicos e metodológicos das medidas de gestão dos riscos de cibersegurança estabelecidos no anexo do presente regulamento, essas entidades devem ter em devida conta o seu grau de exposição aos riscos, a sua dimensão e a probabilidade de ocorrência de incidentes, bem como a gravidade destes, incluindo o seu impacto societal e económico.
Se o anexo do presente regulamento previr que um requisito técnico ou metodológico de uma medida de gestão de riscos de cibersegurança seja aplicado «se for caso disso», «quando aplicável» ou «na medida do possível», e se uma entidade pertinente considerar que a aplicação de alguns desses requisitos técnicos e metodológicos não é adequada, aplicável ou possível, a entidade pertinente documenta de forma compreensível a sua fundamentação nesse sentido.