Tento dokument specifikuje požadavky na ustavení, zavedení, udržování a neustálé zlepšování systému managementu informační bezpečnosti v rámci kontextu organizace. Tento dokument také zahrnuje požadavky na posuzování a ošetření rizik informační bezpečnosti, přizpůsobené potřebám organizace. Požadavky tohoto dokumentu jsou obecné a jsou určené pro použití ve všech organizacích bez ohledu na jejich typ, velikost a povahu činností. Vyloučení jakýchkoli požadavků specifikovaných v kapitolách 4 až 10 je nepřijatelné, pokud organizace prohlašuje shodu s tímto dokumentem.