Det kan till exempel avse hur det systematiska informationssäkerhetsarbetet ska bedrivas men också hur sektorsspecifika föreskrifter ska tillämpas .