Sección 4. En esta parte inicia la fase de Planificación del ciclo PDCA (Plan, Do, Check y Act = Planificar, Hacer, Verificar y Actuar) que es una herramienta que se utiliza en la gestión de calidad de los procesos con enfoque en la resolución de problemas, siguiendo las cuatro fases y muestra los requerimientos para atender temas internos y externos, además también define las partes interesadas, sus requisitos y el alcance del SGSI.

Sección 5. Se desarrolla dentro del ciclo PDCA; define las responsabilidades de la alta dirección, la delegación de roles y responsabilidades, además del contenido de la política sobre seguridad de la información.

Sección 6. En esta sección se da la evaluación de riesgos posibles, el tratamiento para evitarlos, su aplicabilidad, y la determinación de los objetivos.

Sección 7. Aquí se definen las exigencias sobre disponibilidad de recursos, las competencias del personal, el proceso de concientización, la comunicación y el control de documentación.

Sección 8. Es donde se establecen tratamientos de riesgos y controles necesarios para cumplir los objetivos de seguridad.

Sección 9. Entra la Revisión del ciclo PDCA y concreta los puntos de la norma para el monitoreo, la medición, la evaluación, el ejercicio de auditoría interna y revisión de la dirección.

Sección 10. Se toma en cuenta la mejora del ciclo PDCA y se define el tratamiento de no conformidades, correcciones, medidas correctivas y mejora continua que pueden presentarse en auditorías internas y auditorías de certificación.