Concerne les produits (matériel, logiciel) ou les services (IaaS, PaaS, SaaS)

• Exprimer les exigences de sécurité avant d'acheter un produit ou un service
• Lorsque c'est une relation spécifique, contractualiser les engagements du fournisseur (a5.21)
• Sinon, contrôler les engagements contractuels et les certifications du fournisseur
• Comprendre les logiciels et composants qui constituent le produit ou le service
• Tester le produit ou le service au regard des exigences de sécurité
• Gérer les obsolescences