Artykuł 2

1. W odniesieniu do odpowiednich podmiotów wymogi techniczne i metodyczne dotyczące środków zarządzania ryzykiem w cyberbezpieczeństwie, o których mowa w art. 21 ust. 2 lit. a)–j) dyrektywy (UE) 2022/2555, określono w załączniku do niniejszego rozporządzenia.

2. Odpowiednie podmioty zapewniają poziom bezpieczeństwa sieci i systemów informatycznych stosowny do ryzyka związanego z wdrażaniem i stosowaniem wymogów technicznych i metodycznych dotyczących środków zarządzania ryzykiem w cyberbezpieczeństwie określonych w załączniku do niniejszego rozporządzenia. W tym celu przy spełnianiu wymogów technicznych i metodycznych dotyczących środków zarządzania ryzykiem w cyberbezpieczeństwie określonych w załączniku do niniejszego rozporządzenia odpowiednie podmioty należycie uwzględniają stopień narażenia na ryzyko, swoją wielkość oraz prawdopodobieństwo wystąpienia incydentów i ich dotkliwość, w tym ich skutki społeczne i gospodarcze.

Jeżeli załącznik do niniejszego rozporządzenia stanowi, że wymóg techniczny lub metodyczny dotyczący środka zarządzania ryzykiem w cyberbezpieczeństwie stosuje się „w stosownych przypadkach” lub „w zakresie, w jakim jest to możliwe”, a odpowiedni podmiot uzna, że stosowanie przez niego niektórych takich wymogów technicznych i metodycznych nie jest właściwe, nie ma zastosowania lub nie jest wykonalne, odpowiedni podmiot w zrozumiały sposób dokumentuje swoje uzasadnienie w tym zakresie.