Som med andra ISO-standarder är en certifiering enligt ISO/IEC 27001/2 en möjlighet, och därmed inte ett lagkrav som organisationer är skyldiga att följa.
Vissa organisationer väljer att implementera standarden för att dra nytta av ISO:s bästa praxis och de konkurrensfördelar och det goda anseende som också är förknippade med att följa ISO-standarden.