Denna standard specificerar kraven för upprättande, införande, underhåll och ständig förbättring av ett led-ningssystem för informationssäkerhet inom ramarna för organisationen. Denna standard innehåller också krav på bedömning och behandling av informationssäkerhetsrisker, anpassat till organisationens behov. Kraven som anges i denna standard är generiska och är avsedda att vara tillämpliga i alla organisationer, oavsett typ, storlek och slag. Att undanta något av kraven specificerade i avsnitt 4 till 10 är inte acceptabelt när en organisation avser efterleva denna standard.