(2) A kritikus vagy fontos funkciókat vagy azok érdemi részeit támogató IKT-szolgáltatásokat alvállalkozásba adó, harmadik fél IKT-szolgáltatókat igénybe vevő pénzügyi szervezeteknek rendszeresen el kell végezniük az üzleti környezetük esetleges – többek között a támogatott üzleti funkciókban bekövetkező – változásaival kapcsolatos, az (1) bekezdés f)–j) pontjában említett kockázatértékelést, az IKT-fenyegetésekre, az IKT-koncentrációs kockázatokra és a geopolitikai kockázatokra is kiterjedő kockázatértékelések útján.