Gesetzlich verpflichtet sind Unternehmen im Bereich kritischer Infrastrukturen (KRITIS) sowie Unternehmen der Luftsicherheitsbranche. Häufig werden auch von Kunden und Partnern Anforderungen an ein ISMS gestellt, um beispielsweise die kontinuierliche Funktion der Lieferkette sicherzustellen.