De kritieke entiteit identificeert haar rechtstreekse leveranciers en rechtstreekse dienstverleners, voor zover zij gerelateerd zijn aan de essentiële dienst, en heeft vastgesteld beleid over de rol van deze rechtstreekse leveranciers en rechtstreekse dienstverleners ten aanzien van de weerbaarheid en instandhouding van de essentiële dienst. Die identificatie en vaststelling geschiedt op basis van de risicobeoordeling, bedoeld in artikel 14 van de wet, met inachtneming van het bepaalde in artikel 3, tweede lid. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.