Organisasi harus menentukan batasan dan aplikabilitas sistem manajemen keamanan informasi guna menetapkan ruang lingkup.

Ruang lingkup harus mempertimbangkan:

• isu eksternal dan internal (lihat 4.1);

• pihak berkepeniningan dan persyaratannya  (lihat 4.2)

• interaksi dan ketergantungan antarktivitas organisasi, termasuk aktivitas yang dilakukan oleh organisasi lain.

Ruang lingkup harus terdokumentasi.