Bezpečnostní dokumentace je v oblasti informační bezpečnosti středobodem organizačních opatření. V rámci zákona o kybernetické bezpečnosti a režimu vyšších povinností se této oblasti věnuje § 6 vyhlášky, vzniká povinnost stanovit bezpečnostní politiku a bezpečnostní dokumentaci a vést ji k relevantním bezpečnostním opatřením.
Stanovení rozsahu regulovaných služeb je na první pohled obdobné, jaké bylo dle původního kybernetického zákona nebo dle ISO 27001. Nastala však zásadní změna. Pokud regulovaná osoba žádná aktiva neurčí nebo nevede evidenci, stává se regulovaným rozsahem celá organizace.