Článek 28 5.

Finanční subjekty uvedené v odstavci 1 zajistí, aby jejich zjednodušený rámec pro řízení rizika v oblasti IKT podléhal internímu auditu prováděnému auditory v souladu s plánem auditu finančních subjektů. Auditoři musí mít dostatečné znalosti, dovednosti a odborné znalosti, pokud jde o rizika v oblasti IKT, a musí být nezávislí. Četnost a zaměření auditů IKT musí být úměrné riziku finančního subjektu v oblasti IKT.