9.2.1 Postanowienia ogólne

Organizacja powinna przeprowadzać audyty wewnętrzne w zaplanowanych odstępach czasu w celu uzyskania informacji na temat tego, czy system zarządzania bezpieczeństwem informacji:

a) jest zgodny z:

1. wewnętrznymi wymaganiami organizacji dotyczącymi systemu zarządzania bezpieczeństwem informacji;
2. wymaganiami określonymi w niniejszym dokumencie;

b) jest skutecznie wdrożony i utrzymywany.