Der internationale Standard ISO 27001 beschreibt die grundsätzlichen Anforderungen an ein Informationssicherheitsmanagement (ISMS). Dieser Best Practice-Ansatz lässt sich auf Unternehmen aller Größen und Branchen anwenden. Er ist generisch – das Unternehmen hat alle Freiheiten, die Anforderungen durch eigene angepassten Verfahren umzusetzen. Die Konformität seines ISMS bezüglich der Norm kann das Unternehmen dann durch international anerkannte Verfahren feststellen und zertifizieren lassen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterfüttert die ISO 27001 seit 20 Jahren mit seinen BSI-Standards zur Informationssicherheit (BSI 200‑1, BSI 200‑2, BSI 200‑3) und dem IT‑Grundschutzkompendium (früher IT‑Grundschutzkatalog). Damit erhält das Unternehmen eine aufeinander aufbauende Systematik mit Vorgaben, die die Umsetzung im Detail sehr unterstützt, aber das Unternehmen auch auf dieses Vorgehensmodell festlegt und Freiheiten einschränkt.