Es adecuado para proveedores de servicios de TI, empresas de servicios gestionados y departamentos internos de TI. Los clientes que compran servicios de TI externalizados pueden solicitarlo.

• Una evaluación de brechas compara la práctica actual con los requisitos.
• La alta dirección aprueba el alcance, la política y los objetivos.
• Los niveles de servicio, los incidentes, los cambios y la capacidad quedan bajo control.
• Los procesos se ejecutan el tiempo suficiente para producir evidencia para el auditor.
• Se completan una auditoría interna y una revisión por la dirección.
• Las auditorías de Etapa 1 y Etapa 2 por el organismo de certificación conducen al certificado.

La plantilla, el número de sedes y el alcance del sistema determinan la mayor parte del costo. La práctica existente importa, porque cada brecha requiere tiempo del personal y apoyo externo para cerrarla. Los días de auditoría son establecidos por el organismo de certificación a partir de la plantilla y la complejidad conforme a las reglas de acreditación. El número de servicios y proveedores dentro del alcance determina el esfuerzo. Las auditorías de seguimiento se realizan en cada uno de los dos años posteriores a la certificación.

El tiempo depende del tamaño, el alcance y el grado de preparación. Las organizaciones pequeñas con buenas prácticas suelen finalizar en cuatro a seis meses. Las organizaciones más grandes o con varios emplazamientos suelen necesitar de nueve a doce meses. Un certificado tiene una vigencia de tres años antes de la recertificación.

Los certificados son emitidos por organismos de certificación acreditados conforme a ISO/IEC 17021-1. Su implementador y su auditor son siempre diferentes, de modo que la auditoría se mantiene independiente.