Odniesienia normatywne

ISO/IEC 27001 ma jedno odniesienie normatywne: ISO/IEC 27000 (Information security management systems — Overview and vocabulary).

„Normatywne” znaczy, że treść tej normy jest częścią wymagań 27001. W praktyce chodzi o definicje: gdy 27001 mówi o „ryzyku”, „incydencie” czy „właścicielu ryzyka”, rozumie się je tak, jak definiuje je ISO/IEC 27000.

Odniesienie jest bez daty, więc obowiązuje najnowsze wydanie ISO/IEC 27000 wraz z poprawkami.

Normy wymienione w bibliografii (27002, 27003, 27005, ISO 31000 i inne) są tylko informacyjne — pomagają, ale nie są wymaganiami.