2. Zadevni subjekti zagotovijo raven varnosti omrežnih in informacijskih sistemov, ki ustreza nastalim tveganjem pri izvajanju in uporabi tehničnih in metodoloških zahtev ukrepov za obvladovanje tveganj za kibernetsko varnost iz Priloge k tej uredbi. V ta namen pri izpolnjevanju teh tehničnih in metodoloških zahtev ustrezno upoštevajo stopnjo svoje izpostavljenosti tveganjem, svojo velikost ter verjetnost pojava incidentov in njihovo resnost, vključno z njihovim družbenim in gospodarskim vplivom.
Kadar Priloga k tej uredbi določa, da se tehnična ali metodološka zahteva ukrepa za obvladovanje tveganj za kibernetsko varnost uporablja „kadar je ustrezno“, „kadar je relevantno“ ali „kolikor je izvedljivo“ in zadevni subjekt meni, da uporaba nekaterih takih tehničnih in metodoloških zahtev zanj ni ustrezna, relevantna ali izvedljiva, v ta namen na razumljiv način dokumentira svojo utemeljitev.