Настоящий стандарт устанавливает требования к разработке, внедрению, поддержанию и постоянному улучшению системы менеджмента информационной безопасности в контексте 
организации. Настоящий стандарт также включает требования по оценке и обработке рисков информационной безопасности в соответствии с потребностями организации. Требования, изложенные в настоящем стандарте, носят общий характер и предназначены для применения всеми организациями,независимо от типа, размера или характера деятельности. Не допускается исключение любого из требований, установленных в разделах 4-10, если организация заявляет о соответствии настоящему 
стандарту.