Denne internasjonale standarden spesifiserer kravene til etablering, implementering, vedlikehold og kontinuerlig forbedring av et ledelsessystem for informasjonssikkerhet innenfor konteksten til en organisasjon. Denne internasjonale standarden inneholder også krav til vurdering og håndtering av informasjonssikkerhetsrisikoer, tilpasset behovene i organisasjonen. Kravene i denne internasjonale standarden er generelle og er ment å være anvendelige for alle organisasjoner, uavhengig av type, størrelse eller art. Det er ikke akseptabelt å ekskludere noen av kravene i punkt 4 til 10 dersom en organisasjon vil hevde at den er i samsvar med denne standarden.