Skytjenester kan ikke omhandles under ett. Den enkelte skytjeneste må vurderes konkret ut fra den aktuelle tjenesten og den aktuelle leverandøren. Sikkerheten må vurderes i forhold til ulike aspekter og risikoer, for eksempel vil tilgjengelighet og rutiner for sikkerhetskopiering ofte være svært gode ved skytjenester, samtidig som skytjenester og transport på offentlige nett kan medføre en større risiko for lekkasjer og tapping enn ved lokal lagring. Det kan være vanskelig for den jevne brukeren av slike tjenester å foreta tilstrekkelige vurderinger. Mange vil ikke ha nødvendig teknisk kompetanse til å foreta slike vurderinger, og for internasjonale skytjenester med lokasjoner og tjenester i andre land kan det være praktisk 249 vanskelig å gjennomføre en konkret risikovurdering.

Justisdepartementet skriver i Meld. St. 38 (2016 - 2017) , punkt 6.4: IKT-sikkerhet - Et felles ansvar

Tjenesteutsetting av IKT-tjenester til profesjonelle aktører vil kunne gi bedre sikkerhet og mer stabile og tilgjengelige tjenester. Det kan også gi lavere og mer forutsigbare kostnader og bidra til bedre prioritering av virksomhetens kjerneområder. Dette fordrer at virksomheten besitter kompetanse til å følge opp leverandører de setter ut tjenester til. Samtidig må virksomheten være bevisst hvilke verdier som eksponeres ved tjenesteutsetting, og iverksette nødvendige tiltak. Behovet for konfidensialitet, integritet og tilgjengelighet bør særlig vektlegges i vurderingene, og hvilke lover, krav og regler som gjelder for sektoren nasjonalt og internasjonalt.

Direktoratet for e-helse mener at det ikke er grunnlag for å konkludere med at noen typer tjenester 250 aldri kan overlates til private leverandører:

Det må alltid foretas en risikovurdering av alle tjenester som kan gi tilgang til pasientinformasjon, og en rekke kriterier må være tilfredsstilt på et tilstrekkelig nivå. Direktoratet for e-helse mener at helse- og omsorgssektoren generelt må ha en relativt lav risikoappetitt, også lavere enn i mange andre bransjer. Tillit fra innbyggerne til at helse- og omsorgssektoren behandler helseopplysninger på en sikker måte, er en forutsetning for å lykkes med digitalisering. Andre forhold som bør påvirke risikoappetitten er at det generelt er høy IKT-kompleksitet i sektoren og at det behandles store mengder sensitive personopplysninger. Flere virksomheter i sektoren har komplekse og gamle løsninger der tekniske sikkerhetstiltak er utfordrende å implementere. Det er viktig at man tar høyde for slike forhold i risikoanalyser og vurderinger av hva man setter ut til private leverandører. Risikoanalyser må også inkludere vurdering av virksomhetens egen bestillerkompetanse. Direktoratet for e-helse mener at man ved vurdering av land skal gjøre en grundig landrisikovurdering, og spesielt gjelder dette for land utenfor EU/EØS-området.

Utvalget understreker at selv om utkontraktering og bruk av skytjenester kan bidra til økt teknisk informasjonssikkerhet, fritas ikke virksomheten for informasjonssikkerhetsansvaret. Det er samme behov for å holde «orden i eget hus» og gjennomføre risikovurderinger med eller uten tjenesteutsetting. Alle offentlige virksomheter skal i utgangspunktet ha et internkontrollsystem for informasjonssikkerhet og ha dette i orden. Det er like viktig å gjøre disse analysene før en bestemmer seg for å etablere et datasenter i kjelleren på rådhuset, som før en setter ut til en ekstern 251 leverandør. Se også kravene til databehandleravtaler i personvernforordningen artikkel 28. Det