Start med de bindende krav, som gælder for organisationen og leverancen. Brug derefter relevante standarder og rammeværk til at strukturere kontroller og dokumentation. En international standard ophæver ikke danske eller sektorspecifikke krav.

Lav en oversigt, som forbinder hvert relevant krav med ansvarlig kontrol og dokumentation. Registrér områder, som standardens omfang ikke dækker, og planlæg supplerende tiltag. Undgå at love ”fuld compliance” alene på baggrund af et certifikat. Ved offentlige udbud skal henvisninger til standarder og krav om dokumentation desuden udformes i overensstemmelse med udbudsreglerne.

Kilder og faglig baggrund: ISO/IEC 27001:2022 · Udbudsloven, LBK nr. 116 af 3. februar 2025