Zakres

Norma dotyczy każdej organizacji, niezależnie od branży, wielkości i formy — od jednoosobowej firmy po administrację publiczną. Opisuje wymagania wobec ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia SZBI oraz wobec oceny ryzyka i postępowania z nim.

Czego nie można wyłączyć

Organizacja, która deklaruje zgodność z normą, nie może wyłączyć żadnego wymagania z rozdziałów 4–10.

Inaczej jest z Załącznikiem A: pojedyncze zabezpieczenia można uznać za niepotrzebne, ale trzeba to uzasadnić w Deklaracji Stosowania (zob. 6.1.3). Przykład: firma bez własnego zespołu programistów może wyłączyć zabezpieczenia dotyczące tworzenia oprogramowania, jeśli nie zleca też jego tworzenia na zewnątrz.

Zakres normy a zakres SZBI

To dwie różne rzeczy:

• zakres normy — do kogo norma może mieć zastosowanie (do wszystkich);
• zakres SZBI — którą część swojej działalności organizacja obejmuje systemem. Może to być cała firma, jedna lokalizacja albo jedna usługa. Określa się go w 4.3 i to on jest wpisany na certyfikat.