Člen 21 3.

Države članice zagotovijo, da subjekti pri preučevanju ustreznih ukrepov iz odstavka 2, točka (d), tega člena, upoštevajo ranljivosti, ki so specifične za posameznega neposrednega dobavitelja in ponudnika storitev ter splošno kakovost proizvodov ter praks svojih dobaviteljev in ponudnikov storitev na področju kibernetske varnosti, vključno z njihovimi varnimi razvojnimi postopki. Države članice zagotovijo tudi, da morajo subjekti pri ugotavljanju, kateri ukrepi iz navedene točke so ustrezni, upoštevati rezultate usklajenih ocen tveganja za kritične dobavne verige, izvedenih v skladu s členom 22(1).