Organisasjonens øverste ledelse skal gjennomgå ledelsesystemet for informasjonsikkerhet med planlagte intervaller for å sikre at det fortsatt er velegnet, tilstrekkelig og virkningsfullt.