Det finns dock en viktig skillnad – det är ett lagkrav att ha ett systematiskt arbetsmiljöarbete som omfattar alla arbetsgivare , medan kravet på ett systematiskt och riskbaserat informationssäkerhetsarbete endast omfattar statliga myndigheter genom en föreskrift .