Hjemmel brukes for å beskrive kravet om rettsgrunnlag, og krever dermed en lov (eller tilsvarende) som ligger til grunn. Nå er ikke meg bekjent ISO/27001 eller andre ISO-sertifiseringer gjeldende norsk lovgivning, og selv om arbeidsgiver tolker denne standarden på en streng måte gir det ikke automatisk hjemmel til politiattest.

ISO/27001-sertifiseringen blir dermed å anse som en intern rettningslinje for bedriften, ikke noe mer.