Nonostante l’ampia portata prevista dal presente regolamento, l’applicazione delle norme in materia di resilienza operativa digitale dovrebbe tener conto delle differenze significative che si registrano tra le entità finanziarie in termini di dimensioni e profilo di rischio complessivo. Come principio generale, al momento di distribuire risorse e capacità per l’attuazione del quadro per la gestione dei rischi informatici, le entità finanziarie dovrebbero trovare il giusto equilibrio tra le proprie esigenze nel campo delle TIC, da un lato, e le loro dimensioni e il loro profilo di rischio complessivo, nonché la natura, la portata e la complessità dei loro servizi, delle loro attività e della loro operatività, dall’altro; le autorità competenti dovrebbero invece valutare e riesaminare costantemente l’approccio che guida tale distribuzione.