2. Politikken skal indeholde en beskrivelse af den krævede grad af garanti med hensyn til effektiviteten af risikostyringsrammen for tredjepartsudbydere af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og som skal leveres af en tredjepartsudbyder af IKT-tjenester. Politikken skal indeholde krav om, at due diligence-processen omfatter en vurdering af, hvorvidt der findes risikobegrænsende foranstaltninger og foranstaltninger til driftsstabilitet, og af, hvordan det sikres, at de fungerer hos tredjepartsudbyderen af IKT-tjenester.