En este paso, debes realizar un anlisis de riesgo, definir objetivos e implementan las polticas y procedimientos necesarios para establecer un SGSI eficaz, los cuales se encuentran detallados en la norma. Esto implica definir las responsabilidades y roles dentro de la organizacin, establecer procesos para la gestin de riesgos y la respuesta a incidentes, y establecer controles de seguridad adecuados, entre otras cosas.