Gesetzliche, regulatorische und vertragliche Regelungen eingeschlossen, definiert die ISO/IEC 27001 die Anforderungen, die an den Aufbau, die Einführung, Umsetzung, betriebliche Überwachung und Dokumentation des Information Security Management Systems gestellt werden. Dabei werden vorhandene Risiken eines Unternehmens identifiziert, analysiert und durch qualifizierte Maßnahmen behoben. Das betrifft neben Hackerangriffen auch andere Störungen, die zu ungeplanten Unterbrechungen von Prozessen führen oder gar das Unternehmen zum Stillstand bringen können.
Die ISO 27001 ist nicht auf IT-Prozesse beschränkt. Sie berücksichtigt auch Aspekte der Infrastruktur, wie Organisation, Personal und Gebäude. Die Datensicherheit im Unternehmen hat sich zu einem immer bedeutsameren Wettbewerbsfaktor entwickelt. Das gilt insbesondere für Betreiber Kritischer Infrastrukturen (KRITIS), die laut BSI-Gesetz dazu verpflichtet sind, ein Mindestmaß an IT-Sicherheit zu gewährleisten.