Ein ISMS kann für ein ganzes Unternehmen gelten. Sie können den Anwendungsbereich für Ihr ISMS aber auch an die spezifischen Bedürfnisse und Anforderungen Ihres Unternehmens anpassen. Beispielsweise kann der Anwendungsbereich ein (SaaS-)Produkt, bestimmte Prozesse, bestimmte Standorte, oder Geschäftsbereiche umfassen. Dabei sollte der Anwendungsbereich regelmäßig überwacht und aktualisiert werden, um sicherzustellen, dass er noch relevant und konsistent ist.