Alle relevante wettelijke en contractuele eisen behoren voor elk informatiesysteem expliciet te worden geidentificeerd en gedocumenteerd.

Er behoren passende procedures te worden geimplementeerd om te waarborgen dat wordt voldaan aan eisen in verband met intellectuele eigendomsrechten.

Registraties behoren te worden beschermd tegen verlies, vernietiging, vervalsing en onbevoegde toegang.

Privacy en bescherming van persoonsgegevens behoren te worden gewaarborgd overeenkomstig relevante wet- en regelgeving.

Cryptografische beheersmaatregelen behoren te worden gebruikt in overeenstemming met alle relevante overeenkomsten en wet- en regelgeving.

De aanpak van de organisatie voor het beheer van informatiebeveiliging behoort met geplande tussenpozen onafhankelijk te worden beoordeeld.

Managers behoren regelmatig de naleving van de informatieverwerking en procedures in hun verantwoordelijkheidsgebied te beoordelen.

Informatiesystemen behoren regelmatig te worden beoordeeld op naleving van de beleidsregels en normen voor informatiebeveiliging.