2. Het beleid specificeert het vereiste zekerheidsniveau met betrekking tot de doeltreffendheid van het kader voor risicobeheer van derde aanbieders van ICT-diensten die cruciale of belangrijke functies ondersteunen die door een derde aanbieder van ICT-diensten moeten worden verricht. Het beleid vereist dat het zorgvuldigheidsproces een beoordeling omvat van het bestaan van risicobeperkende en bedrijfscontinuïteitsmaatregelen en van de wijze waarop de werking ervan binnen de derde aanbieder van ICT-diensten wordt gewaarborgd.