§ 31
Pokud se na provozu, rozvoji nebo zajištění informační bezpečnosti podílí dodavatel, analýza rizik stanoví
a) zásady hodnocení rizik dodavatele,
b) náležitosti smlouvy s dodavatelem, kterými jsou smluvní ujednání o úrovni dodávaných služeb, o realizaci bezpečnostních opatření a o určení vzájemné smluvní odpovědnosti, a
c) pravidla pro ověření bezpečnostních opatření zavedených dodavatelem.