Denne internationale standard indeholder retningslinjer for virksomheders informationssikkerhedsstandarder og informationssikkerhedsledelse, herunder valg, implementering og styring af foranstaltninger, idet virksomhedens informationssikkerhedsmæssige risikomiljø(er) tages i betragtning.
Denne internationale standard er beregnet til at blive anvendt af virksomheder, der har til hensigt at:
a) vælge foranstaltninger i implementeringsprocessen for et ledelsessystem for informationssikkerhed baseret på ISO/IEC 27001;
b) implementere anerkendte informationssikkerhedsforanstaltninger
c) udforme deres egne retningslinjer for informationssikkerhedsledelse.