Die Norm nennt kein „Handbuch“, verlangt aber zahlreiche dokumentierte Informationen aus den Kapiteln 4 bis 10 - darunter Geltungsbereich, Informationssicherheitspolitik, Rollen, Ziele und Verfahren. Ein Handbuch ist die übliche Form, diese Nachweise zusammenzuführen. Zwingend eigenständig sind dagegen das Risikoregister und das Statement of Applicability.

Für kleine und mittlere Unternehmen sind 20 bis 40 Seiten üblich. Entscheidend ist nicht der Umfang, sondern dass jede Aussage der gelebten Praxis entspricht. Ein knappes, zutreffendes Handbuch besteht das Audit; ein umfangreiches, das den tatsächlichen Betrieb nicht abbildet, erzeugt Abweichungen.

Bei jeder wesentlichen Änderung an Geltungsbereich, Organisation, Rollen oder Prozessen sowie mindestens einmal jährlich im Rahmen des Management-Reviews. Jede Fassung sollte eine Versionsnummer, ein Datum und eine Freigabe durch die Leitung tragen.

Die Organisationseinheiten, Standorte, Prozesse und IT-Systeme, für die das ISMS gilt, sowie die Schnittstellen zu allem, was außerhalb liegt. Der Geltungsbereich muss so formuliert sein, dass ein Außenstehender die Grenze erkennt - pauschale Formulierungen wie „das gesamte Unternehmen“ sind nur tragfähig, wenn sie wirklich zutreffen.