(1) Povinná osoba zavede a udržuje zásady a postupy pro vyhodnocování a ovlivňování míry podstupovaného operačního rizika, včetně rizika z přímých a nepřímých expozic v kryptoaktivech a vůči poskytovatelům služeb souvisejících s kryptoaktivy a rizika outsourcingu a včetně zohlednění málo častých významných událostí. Povinná osoba stanoví, co tvoří operační riziko pro účely těchto zásad a postupů, aniž by tímto bylo dotčeno vymezení operačního rizika podle článku 4 odst. 1 bodu 52 nařízení.