Esta fase mantiene el SGSI en funcionamiento una vez implantados los controles principales. En esta fase se realizan actividades de revisión, monitorización, continuidad, protección de registros, gestión de cambios, tratamiento de bajas o cambios de puesto y comprobación del cumplimiento. El objetivo es asegurar que el SGSI se mantiene actualizado, genera evidencias de forma periódica y mejora cuando se detectan desviaciones o cambios relevantes.