Ein ISMS nach ISO/IEC 27001 wird grundsätzlich in vier Phasen eingeführt, die wieder in einzelnen Schritten unterverteilt sind. In der fünften Phase erfolgt das Zertifizierungsaudit.

1. Initiierung des Sicherheitsprozesses

• Definieren der Verantwortung der Leitung
• Definieren der Sicherheitsziele
• Erstellung einer Leitlinie
• Die Aufbau einer Sicherheitsorganisation im Unternehmen
• Bereitstellung von Ressourcen 

2. Erstellung der Sicherheitskonzeption

• Strukturanalyse
• Schutsbedarfsfeststellung
• Auswahl und Anpassung von Maßnahmen

3. Umsetzung der Sicherheitskonzeption

4. Aufrechterhaltund und Verbesserung

Die vierte Phase ist die Aufrechterhaltung und Verbesserung des Managementsystems. In dieser Phase ist das Managementsystem implementiert und wird kontinuierlich verbessert. Dazu gehört, ob die gesetzten Ziele des Systems erreicht werden bzw. ob diese angemessen sind oder angepasst werden müssen.

Das Ergebnis ist ein Managementsystem, das auf dem klassischen Plan-Do-Check-Act Zyklus basiert: die geplante Maßnahmen („plan“) werden umgesetzt („do“), evaluiert („check“) und ggf. angepasst („act“). 

5. Zertifizierungsaudit

Durchführung des externen Zertifizierungsaudits durch die spezialisierten Auditoren der ZER-QMS, um die Erfüllung der Anforderung gemäß ISO/IEC 27001 zu bewerten.