2. Príslušné subjekty pri vykonávaní a uplatňovaní technických a metodických požiadaviek na opatrenia na riadenie kybernetických rizík stanovených v prílohe k tomuto nariadeniu zabezpečia úroveň bezpečnosti sietí a informačných systémov zodpovedajúcu rizikám. Na tento účel pri dodržiavaní technických a metodických požiadaviek na opatrenia na riadenie kybernetických rizík stanovených v prílohe k tomuto nariadeniu náležite zohľadnia svoj stupeň vystavenia rizikám, svoju veľkosť a pravdepodobnosť výskytu incidentov a ich závažnosť vrátane ich spoločenského a hospodárskeho vplyvu.
Ak sa v prílohe k tomuto nariadeniu stanovuje, že technická alebo metodická požiadavka na opatrenie na riadenie kybernetických rizík sa má uplatňovať „v prípade potreby“, „v náležitých prípadoch“ alebo „pokiaľ to je možné“, a ak príslušný subjekt nepovažuje za potrebné, náležité ani možné, aby uplatňoval určité technické a metodické požiadavky, svoje odôvodnenie v tejto súvislosti zrozumiteľným spôsobom zaznamená.