En typisk erklæring om omfanget af en ISMS-certificering omfatter aktiviteter i forbindelse med levering af produkter og tjenester. Det behøver ikke at omfatte interne aktiviteter eller ISMS-processer. Formålet er at sikre læseren, at de oplysninger, der gives ved modtagelse af produktet eller tjenesten, er beskyttet.
Erklæringen om anvendelighed henviser til listen over valgte kontroller. Den indeholder ikke nærmere oplysninger om disse kontroller, men en sporbar henvisning til en kontrolerklæring, der blev anvendt som grundlag for den seneste ISO 27001-revision. Nogle gange har organisationer en offentlig udgave, der kan deles, og som blot indeholder en liste over de kontroller, der er valgt i ISO 27001-bilaget, men dette er ikke et obligatorisk krav.