「経営陣は、情報セキュリティ管理システム（ISMS）に関して、必要なリソースが確保されていること、およびISMSの有効性に貢献できる人材を支援することによって、リーダーシップとコミットメントを示すものとする。」これは、経営陣がISMSに貢献できるよう人材を支援する責任を負っていることを明確に示している。

第9.3.2項（経営陣によるレビューのインプット）では、経営陣によるレビューには以下が含まれると規定されています。
c) 情報セキュリティのパフォーマンスに関する情報。これには、(1)不適合および是正措置、(2)監視および測定結果、(3)監査結果、(4)情報セキュリティ目標の達成状況の傾向が含まれる。

条項 6.1.3 (d) では、組織が「必要な管理策（附属書 A を参照）と、実施されているか否かにかかわらず、それらの包含の正当性、および除外の正当性を含む適用性宣言書を作成する」ことを要求しています。これは SoA の決定的な要件であり、附属書 A の管理策のうちどれが関連しているか、どれが実施されているか、そして包含/除外の正当性が文書化されています。ISMS の適用範囲 (A) は条項 4.3 に文書化され、リスク評価基準 (C) は条項 6.1.2 に定義されていますが、これらは SoA には含まれません。SoA は完全なリスク評価アプローチ (B) を記述していません。それはリスク評価方法論の一部です。
したがって、SoA（サービス運用計画）に必須となる要件は、各情報セキュリティ管理策を含める（または除外する）理由を説明することである。

条項6.1.3（d）では、組織が「必要な管理策（付録A参照）と、実施されているか否かにかかわらず、含める理由、および除外する理由を記載した適用性に関する声明書を作成する」ことを要求している。

ISO/IEC 27002:2022規格からの正確な抜粋に基づく包括的かつ詳細な説明：
ISO/IEC 27002:2022は、ISO/IEC 27001の附属書Aに対する管理策のガイダンスを提供しており、条項5.19のタイトルは「サプライヤー関係における情報セキュリティ」です。この管理策は、組織がサプライヤーとの契約および関係において情報セキュリティが適切に扱われることを保証することを求めています。これは組織的管理策のテーマの一部です。その他の選択肢は、附属書Aの管理策のタイトルではありません。
* 「責任と手順」(B) は ISO/IEC 27001:2005 のような古い規格で使用されていましたが、現在は存在しません。
* 「文書の保護」(C)は文書管理に関連するが、附属書Aの特定の管理策ではない。
* 「変更管理」(D)はITIL/ITSMに関連していますが、付属書Aでは管理項目として記載されていません。
したがって、付属書Aの正しい管理タイトルは「A：サプライヤー関係における情報セキュリティ」です。