Organisasi harus menetapkan, menerapkan, memelihara, dan meningkatkan kinerja sistem manajemen keamanan informasi SMKI secara terus-menerus dengan mematuhi persyaratan ISO/IEC 27001.
Subklausul ini bertujuan untuk memastikan bahwa perusahaan menetapkan, menerapkan, memelihara, dan melakukan peningkatan berkelanjutan terhadap Sistem Manajemen Keamanan Informasi sesuai dengan persyaratan ISO/IEC 27001:2022.
Hal ini mencakup penetapan proses-proses yang diperlukan agar sistem dapat berjalan secara efektif, seperti proses penilaian dan penanganan risiko, pemantauan kinerja, audit internal, tinjauan manajemen, serta proses lain yang dipersyaratkan dalam ISO/IEC 27001:2022.