Artikel 28 5.

De in lid 1 bedoelde financiële entiteiten bewaken dat voor hun vereenvoudigde raamwerk voor ICT-risicobeheersing interne audits door auditors plaatsvinden, in lijn met het auditplan van de financiële entiteiten. Deze auditors beschikken over voldoende kennis, vaardigheden en deskundigheid op het gebied van ICT-risico en zijn onafhankelijk. De frequentie en de focus van de ICT-audits staan in verhouding tot het ICT-risico van de financiële entiteit.