Jeśli firma posiada certyfikat zewnętrzny, to został on zakupiony/wystawiony w konkretnym celu, na przykład dla serwera WWW. Służy on tylko i wyłącznie do ochrony ruchu i identyfikacji serwera, nie można go użyć do podpisania certyfikatu dla urzędu podrzędnego.

Jeśli firma wykorzystuje certyfikaty, powinna postawić własną strukturę PKI. W jakiej konfiguracji, to zależy od ilości certyfikatów, ich zastosowania, ale również od struktury fizycznej i logicznej firmy, a przede wszystkim od potrzeb. W rozwiązaniu najprostszym - jeden CA - jest to wtedy Root Enterprise CA, do najbardziej skomplikowanego - Standalone Root CA + wiele podrzędnych zarówno Enterprise, jak i Standalone CA.