Wenn alle durch die Norm ISO/IEC 27001 vorgeschriebenen Auflagen erfüllt sind, können Sie die Durchführung eines entsprechenden externen Audits beantragen. Dieses sollte durch eine firmenexterne Instanz, ein akkreditiertes Zertifizierungsinstitut, durchgeführt werden. In Großbritannien sollte die Institution durch das UKAS zugelassen sein (halten Sie nach dem 'Krone-und-Haken'-Logo Ausschau).

Das gewählte Zertifizierungsinstitut wird zunächst alle relevanten Dokumente prüfen. Dazu gehören normalerweise die bekanntgegebene Security Policy (Sicherheitspolitik), der Scope (Anwendungsrahmen) des Informationssicherheitsmanagementsystems (ISMS), Dokumente zum Risiokobewertungsprozess, der Risikobehandlungsplan, das Applicability Statement (AS) und dokumentierte Sicherheitsverfahren. Die Auditoren werden auch prüfen, ob Sie die für die Größe und den Typ Ihrer Firma nötigen und angemessenen Kontrollmechanismen identifiziert und implementiert haben. Dieser Vorgang findet normalerweise auf Ihrem Betriebsgelände statt, da dies für beide Parteien die beste Lösung darstellt.

Danach folgt zu einem späteren Zeitpunkt ein volles Audit in der Firma/Organisation, bei dem festgestellt wird, ob die beschriebenen Verfahren und erklärten Zielsetzungen auch in den bestehenden Arbeitspraktiken umgesetzt werden und ob dazu angemessene Aufzeichnungen geführt werden.

Nach einem erfolgreich bestandenen Audit erhalten Sie ein Zertifikat der Registrierung nach Norm ISO/IEC 27001. In der Folge finden (gewöhnlich ein mal oder zwei mal im Jahr) zusätzliche Überprüfungsbesuche statt, mit denen sicher gestellt werden soll, dass das System auch weiterhin seinen Zweck erfüllt.