Obvyklé prohlášení rozsahu certifikátu systému managementu bezpečnosti informací zahrnuje aktivity související s poskytováním výrobků a služeb. Nemusí zahrnovat interní aktivity nebo procesy systému managementu bezpečnosti informací. Cílem je ujistit čtenáře, že informace poskytnuté při přijetí výrobku či služby jsou chráněny.
Prohlášení o aplikovatelnosti odkazuje na seznam zvolených kontrolních prostředků. Neuvádí podrobnosti o těchto kontrolních prostředcích, nýbrž sledovatelný odkaz na kontrolní prohlášení použité jako základ pro poslední audit dle ISO 27001. Někdy mají organizace veřejnou verzi určenou ke sdílení, která jednoduše uvádí kontrolní prostředky zvolené z Přílohy A standardu ISO 27001, to však není povinný požadavek.