La commission interministérielle pour la sécurité des systèmes d'information se réunit au moins deux fois par an en formation plénière sur convocation de son président. En fonction de la nature des sujets traités, elle peut être réunie en formation restreinte aux ministères intéressés, à l'initiative de son président.
Le président fixe l'ordre du jour des réunions. Les départements ministériels adressent au secrétariat de la commission les points qu'ils souhaitent y voir figurer.