Artigo 28.o 3.

As entidades financeiras a que se refere o n.o 1 podem, em conformidade com o direito da União e o direito setorial nacional, subcontratar as tarefas de verificação do cumprimento dos requisitos de gestão do risco associado às TIC a prestadores de serviços de TIC intragrupo ou a terceiros prestadores de serviços de TIC. Nesse caso, as entidades financeiras continuam a ser plenamente responsáveis pela verificação do cumprimento dos requisitos de gestão do risco associado às TIC.