Articolo 28 3.

Le entità finanziarie di cui al paragrafo 1 possono, conformemente alla normativa settoriale dell’Unione e nazionale, esternalizzare a fornitori infragruppo di servizi TIC o a fornitori terzi di servizi TIC i compiti di verifica della conformità ai requisiti in materia di gestione dei rischi informatici. In caso di esternalizzazione, le entità finanziarie rimangono pienamente responsabili di verificare la conformità ai requisiti in materia di gestione dei rischi informatici.