Das Projekt startet in der Regel mit einer GAP-Analyse. Anschließend erfolgen Risikoanalyse, Aufbau des ISMS, Erstellung der erforderlichen Dokumentation sowie die Vorbereitung auf das Zertifizierungsaudit.