(2) Entitățile relevante asigură un nivel de securitate a rețelelor și a sistemelor informatice adecvat riscurilor prezentate atunci când implementează și aplică cerințele tehnice și metodologice ale măsurilor de gestionare a riscurilor în materie de securitate cibernetică prevăzute în anexa la prezentul regulament. În acest scop, entitățile relevante țin seama în mod corespunzător de gradul lor de expunere la riscuri, de dimensiunea lor și de probabilitatea apariției unor incidente, precum și de gravitatea acestora, inclusiv de impactul lor societal și economic, atunci când respectă cerințele tehnice și metodologice ale măsurilor de gestionare a riscurilor în materie de securitate cibernetică prevăzute în anexa la prezentul regulament.
În cazul în care anexa la prezentul regulament prevede că o cerință tehnică sau metodologică a unei măsuri de gestionare a riscurilor în materie de securitate cibernetică se aplică „dacă este adecvat”, „dacă este aplicabil” sau „în măsura în care este fezabil”, iar în cazul în care o entitate relevantă consideră că nu este adecvat, nu este aplicabil sau nu este fezabil ca entitatea relevantă să aplice astfel de cerințe tehnice și metodologice, entitatea relevantă documentează într-un mod inteligibil raționamentul său în acest sens.