Člen 28 3.

Finančni subjekti iz odstavka 1 lahko v skladu s sektorskim pravom Unije in nacionalnim sektorskim pravom naloge preverjanja skladnosti z zahtevami glede obvladovanja tveganj na področju IKT oddajo v zunanje izvajanje ponudnikom storitev IKT znotraj skupine ali tretjim ponudnikom storitev IKT. V primerih tovrstnega zunanjega izvajanja finančni subjekti ostanejo v celoti odgovorni za preverjanje skladnosti z zahtevami glede obvladovanja tveganj na področju IKT.