L'organizzazione deve motivare quali di questi controlli non sono applicabili all'interno del suo ISMS, per esempio un'organizzazione che non attua al suo interno 'commercio elettronico' pu dichiarare non applicabili i controlli 1-2-3 del A.10.9 che si riferiscono appunto all'e-commerce.