Artikel 28 3.

De i stk. 1 omhandlede finansielle enheder kan i overensstemmelse med sektorspecifik EU-ret og national ret outsource de opgaver, der er forbundet med efterprøvning af overholdelsen af kravene til IKT-risikostyring, til tredjepartsudbydere af IKT-tjenester. I tilfælde af en sådan outsourcing har den finansielle enhed fortsat det fulde ansvar for at efterprøve overholdelsen af kravene til IKT-risikostyring.