Identique à la sécurité de l'information dans les accords conclus avec les fournisseurs (a5.21), avec quelques points de vigilance particuliers:

• La répartition des responsabilités en matière de sécurité entre le fournisseur et l'organisation (attribution de droits, sauvegardes, modifications des configurations, etc.)
• La réversibilité en fin de contrat
• La transparence dans les changements apportés
• Les canaux de communication en cas d'incident de sécurité