Virksomheten som skal sette ut en IKT-tjeneste vurderer sikkerhetsrisiko både før en beslutning tas, og så lenge tjenesteutsettingen varer. Sikkerhetsrisikoen og andre former for risiko må sees opp mot de verdier og tjenester som forvaltes og leveres av virksomheten. Likevel er NSMs erfaring at virksomheter setter ut tjenester til utlandet, som både er kritiske for virksomheten og for Norge, uten å vurdere tilstrekkelig hvilken sikkerhetsrisiko dette medfører.

NSM anbefaler at virksomheter som skal tjenesteutsette til utlandet vurderer vertslandet som en del av den totale risikovurderingen.