Części obowiązków nie zamyka projekt. Weryfikacja dostawców, ponowna ocena ryzyka, sprawdzanie dowodów działania zabezpieczeń i monitorowanie muszą się powtarzać, a typowa porażka nie polega na złym wykonaniu, lecz na całkowitym zaprzestaniu tych działań po odejściu osoby, która je prowadziła. Usługa zarządzana zamienia cykliczne zabezpieczenie w przepływ pracy z określonym wyzwalaczem, określonym produktem i zapisem potwierdzającym wykonanie.
Powierzenie prac nie powierza jednak pozycji prawnej. Gdy w grę wchodzą dane osobowe, dostawca staje się podmiotem przetwarzającym, a art. 28 ust. 3 wymaga umowy pisemnej określającej osiem konkretnych elementów — od przetwarzania wyłącznie na udokumentowane polecenie po udostępnianie informacji na potrzeby audytów. Nie są to negocjowalne formułki; organ nadzorczy je przeczyta, a katalog poniżej wymienia wszystkie osiem.
Ta sama logika sięga wyżej w łańcuchu. Art. 21 ust. 2 lit. d dyrektywy NIS 2 czyni podmioty objęte przepisami odpowiedzialnymi za bezpieczeństwo łańcucha dostaw, a ISO 27001 poświęca relacjom z dostawcami pięć zabezpieczeń Załącznika A, od A.5.19 do A.5.23, w tym szczególny przypadek usług chmurowych. Organizacja kupująca usługę zarządzaną nabywa więc jednocześnie pozycję we własnym rejestrze dostawców, o którą zapytają jej audytorzy i klienci.
Wewnątrz pozostaje decyzja. Dostawca może zbierać dowody, oceniać je względem uzgodnionych kryteriów, prowadzić zapisy i eskalować to, co wykracza poza ścieżkę standardową — ale akceptacja ryzyka, zatwierdzenie odstępstwa i zaangażowanie budżetu pozostają czynnościami kierownictwa. Definicja usługi niewskazująca osoby decydującej jedynie przenosi wąskie gardło, a odstępstwa po cichu narastają, aż znajdzie je audyt.
