La norma ISO 71502 exige una serie de documentación que deberá ser desarrollada o no en función de las necesidades del cliente como por ejemplo certificación, etc.:

· Evidencia de las acciones llevadas a cabo para definir la Política de Seguridad,  el alcance del SGSI, análisis de riesgos, aprobación por parte de Dirección de los riesgos residuales resultantes, selección y aplicabilidad de controles.

· Un resumen ejecutivo del entorno de gestión, incluyendo la política de seguridad de la información, los objetivos que se pretenden alcanzar por los controles y los controles implantados de acuerdo con lo especificado en el documento de selección de controles.

· Procedimientos adoptados para implantar los controles. En este punto se deben especificar las responsabilidades, así como cualquier acción relevante

· Los procedimientos, propios o relacionados, del SGSI para su gestión y operación. En este punto se deben especificar las responsabilidades, así como cualquier acción relevante

· El documento de selección de controles