2. A política deve especificar o nível de garantia exigido no que respeita à eficácia do quadro de gestão dos riscos associados aos terceiros prestadores de serviços de TIC para os serviços de TIC de apoio a funções críticas ou importantes a prestar por um terceiro prestador de serviços de TIC. A política deve exigir que o processo de devida diligência inclua uma avaliação da existência de medidas de atenuação dos riscos e de continuidade das atividades e da forma como é assegurado o seu funcionamento no âmbito do terceiro prestador de serviços de TIC.