På samme måte var den sentrale informasjonsbeskyttelsesgruppen ved forsyningsselskapet pålagt å godta alle nye søknader for å indikere at risikoene var blitt tilstrekkelig vurdert.
En oversikt over risikostyring og risikovurdering kreves som en del av søknaden.