Der er ikke noget krav om en certificering efter noget særligt regime, men forordningen anbefaler at man, hvor det er muligt, vælger certificeringer som værktøj til at kunne dokumentere organisationens evne til at opfylde forordningens artikler, og her altså også artiklerne om informationssikkerhed og styring af risici for brud på