Convém a bancos, telecomunicações, empresas de software, fornecedores de terceirização e qualquer organização que detenha dados de clientes ou pessoais. Clientes e licitações frequentemente solicitam.

• Uma avaliação de lacunas compara a prática atual com os requisitos.
• A alta administração aprova o escopo, a política e os objetivos.
• Os riscos de informação são avaliados e os controlos são escolhidos do Anexo A, listados numa Declaração de Aplicabilidade.
• Os processos funcionam tempo suficiente para produzir evidências para o auditor.
• Uma auditoria interna e uma revisão de gestão são concluídas.
• Auditorias Estágio 1 e Estágio 2 pelo organismo de certificação levam ao certificado.

Número de funcionários, número de sites e escopo do sistema impulsionam a maior parte do custo. A prática existente é importante, porque cada lacuna requer tempo de pessoal e apoio externo para ser fechada. Os dias de auditoria são definidos pelo organismo de certificação com base no número de funcionários e complexidade sob regras de acreditação. O número de sistemas, locais e serviços terceirizados no escopo aumenta o esforço. Auditorias de vigilância ocorrem em cada um dos dois anos após a certificação.

O tempo depende do tamanho, escopo e preparação. Pequenas organizações com prática sólida frequentemente terminam em quatro a seis meses. Organizações maiores ou multi-sítio comumente precisam de nove a doze meses. Um certificado tem validade de três anos antes da recertificação.

Certificados são emitidos por organismos de certificação acreditados a ISO/IEC 17021-1. Seu implementador e seu auditor são sempre diferentes, para que a auditoria permaneça independente.