Článek 28 3.

Finanční subjekty uvedené v odstavci 1 mohou v souladu s unijním a vnitrostátním odvětvovým právem svěřit úkoly v oblasti ověřování souladu s požadavky na řízení rizika v oblasti IKT poskytovatelům služeb IKT v rámci skupiny nebo poskytovatelům služeb IKT z řad třetích stran. V případě takového externího zadání nesou za ověřování souladu s požadavky na řízení rizika v oblasti IKT i nadále plnou odpovědnost finanční subjekty.