Podstawą prawną opracowania PBI są obowiązujące ustawy oraz rozporządzenia dotyczące m.in.: ochrony informacji niejawnych, podstawowych wymagań bezpieczeństwa systemów i sieci teleinformatycznych, krajowego systemu cyberbezpieczeństwa, Krajowych Ram Interoperacyjności, ochrony danych osobowych, ochrony praw autorskich, normy ISO 27001, standardów krajowych i unijnych.
Funkcje PBI Polityka bezpieczeństwa informacji spełnia trzy podstawowe funkcje: informacyjną: dostarcza pracownikom organizacji komunikat, że jej władze przykładają wagę do kwestii bezpieczeństwa, co przekłada się na podniesienie ogólnego poziomu świadomości i skłania do odpowiedzialnego postępowania, prewencyjną: chroni organizację przed zagrożeniami wynikającymi z celowych działań intruzów, jak i przypadkowych, wynikających z niewiedzy bądź braku ostrożności działań jej pracowników oraz partnerów biznesowych i klientów niecelowych, wynikających z niewiedzy bądź braku ostrożności działań jej pracowników, dostosowawczą: zapewnia zgodność z przepisami prawa lub standardami, których celem jest ochrona informacji i infrastruktury służącej do ich przetwarzania.