Denne internationale standard specificerer kravene til etablering, implementering, vedligeholdelse og løbende forbedring af et ledelsessystem for informationssikkerhed (ISMS) inden for virksomhedens rammer. Denne internationale standard indeholder også krav til vurdering og håndtering af informationssikkerhedsrisici, som passer til virksomhedens behov. Kravene i denne internationale standard er generiske og er beregnet til at gælde for alle virksomheder, uanset type, størrelse og art. At undlade at opfylde et af kravene i pkt. 4 til 10 kan ikke accepteres, hvis en virksomhed påberåber sig overensstemmelse med denne internationale standard.