Erfahrungsgemäß gibt es zwei kritische Erfolgsfaktoren beim Aufbau eines Informationssicherheitsmanagementsystems (ISMS): Die Unterstützung durch die Geschäftsleitung und eine Person, die die Rolle des Informationssicherheitsbeauftragten (ISB) ausfüllt. Ohne die Geschäftsleitung stehen die notwendigen Ressourcen nicht bereit und es fehlt die Bereitschaft der anderen Managementebenen, das ISMS-Projekt zu unterstützen. Der ISB wiederum ist das „Gesicht“ der Informationssicherheit und repräsentiert sie nach innen und außen. Er integriert die unterschiedlichen Anforderungen und vermittelt bei Zielkonflikten. Weder die Unternehmensgröße (es gibt auch zertifizierte Unternehmen mit nur einem Mitarbeiter) noch die Branche oder der zur Verfügung stehende Zeitraum (auch in acht Wochen kann ein ISMS aufgebaut werden) haben einen wesentlichen Einfluss auf den Erfolg.