Som med andre ISO-standarder er en sertifisering i ISO/IEC 27001/2 en mulighet og dermed ikke et lovkrav som organisasjoner er forpliktet til å implementere.
Noen organisasjoner velger å implementere standarden for å dra nytte av god ISO-praksis og konkurransefortrinnene og anseelsene som også er forbundet med å følge ISO-standarden.