Für ISO 27001 muss ein Informationssicherheitsmanagementsystem vorhanden sein. Der Geltungsbereich der Zertifizierung ist eindeutig festzulegen. Relevante Prozesse und Verantwortlichkeiten müssen definiert sein. Risiken zur Informationssicherheit sind systematisch erfasst. Die Anforderungen der ISO 27001 müssen im festgelegten Umfang erfüllt werden.