ISO 27002

Q: Ist ISO 27002 zertifizierbar?

Nein, ISO 27002 ist kein zertifizierbarer Standard. Die ISO-Zertifizierung erfolgt nach ISO 27001, während ISO 27002 als Vorlage hilft, Maßnahmen auditfähig auszugestalten und Nachweise für die Wirksamkeit des Informationssicherheitsmanagementsystems vorzubereiten.

Die ISO 27002 macht Informationssicherheit praktisch anwendbar. Sie ergänzt ISO 27001 um konkrete Empfehlungen für Controls, Richtlinien und Nachweise, damit Sicherheitsmaßnahmen geplant, umgesetzt und im Unternehmensalltag belastbar geprüft werden können.

ISO 27002 – Auf einen Blick

Wofür wird ISO 27002 genutzt?

ISO 27002 dient als Praxisleitfaden für Informationssicherheit und beschreibt, wie Unternehmen Sicherheitsmaßnahmen aus ISO 27001 konkret ausgestalten können.

Worin unterscheidet sich ISO 27002 von ISO 27001?

Während ISO 27001 die zertifizierbaren Anforderungen an ein ISMS vorgibt, liefert ISO 27002 konkrete Umsetzungshinweise, Empfehlungen und Best Practices.

Warum ist ISO 27002 für Annex A wichtig?

Aus den kompakten Controls aus ISO-27001-Annex A werden mit ISO 27002 konkrete Maßnahmen, Zuständigkeiten und Nachweise für die praktische Umsetzung.

Wie unterstützt ISO 27002 bei Audit und SoA?

Maßnahmen lassen sich mit ISO 27002 fachlich begründen, Nachweise strukturieren und Entscheidungen im Statement of Applicability nachvollziehbarer dokumentieren.

Was ist die ISO 27002?

Die ISO/IEC 27002 ist der praxisnahe Leitfaden für Informationssicherheit. Sie hilft Unternehmen dabei, aus den Controls der ISO 27001 konkrete Sicherheitsmaßnahmen abzuleiten und so ein wirksames Information Security Management System (ISMS) aufzubauen.

Als Teil der ISO-27000-Familie richtet sich die ISO-Norm an jede Organisation, die ein ISMS nach ISO 27001 aufbauen oder verbessern möchte. Innerhalb dieser Reihe ergänzt ISO 27002 die Anforderungen der ISO 27001 um praktische Umsetzungshinweise.

ISO 27002 betrachtet alles rund um Informationssicherheit ganzheitlich:

organisatorisch: Richtlinien, Rollen und Verantwortlichkeiten

technisch: Netzwerksicherheit, Zugriffsschutz und Verschlüsselung

physisch: Zutrittsschutz, Räumlichkeiten und Hardware-Sicherheit

personell: Schulungen, Awareness und klare Regeln für Mitarbeiter

Beratung zur ISO 27001 und ISO 27002

ISO 27002 hilft dabei, aus Controls konkrete Maßnahmen, Nachweise und Verantwortlichkeiten abzuleiten. CSM unterstützt Sie dabei, Ihr ISMS nach ISO 27001 strukturiert aufzubauen und die Empfehlungen der ISO 27002 praxisnah in Richtlinien, Prozesse und auditfähige Nachweise zu übersetzen.

ISO 27001 und ISO 27002: Was ist der Unterschied?

Die ISO 27001 gibt den verbindlichen Rahmen für ein Informationssicherheitsmanagementsystem vor und bildet die Grundlage für das Zertifikat. Die ISO 27002 geht näher an die Umsetzung. Sie nimmt die kompakten Controls aus Annex A und erklärt, welche technischen, organisatorischen und prozessualen Aspekte bei der Umsetzung wichtig sind.

Für den Vergleich der beiden ISO-Normen hilft ein Blick auf ihre Funktion:

ISO 27001: das „Was“ mit Anforderungen, ISMS und Zertifizierung

ISO 27002: das „Wie“ mit Umsetzungshinweisen, Empfehlungen und Best Practices

Beispiel: Wo ISO 27001 den generellen Schutz vor Malware fordert, liefert ISO 27002 konkrete Ansatzpunkte für Software-Updates, E-Mail-Sicherheit, Administratorrechte, Awareness, sichere Download-Regeln und den Umgang mit externen Speichermedien.

ISO 27002 als Leitfaden für Annex A

Die ISO/IEC 27002 macht aus den kompakten Controls aus Annex A konkrete Umsetzungshilfen. Ohne diesen Leitfaden bleibt der Anhang A schnell abstrakt, weil jedes Kapitel darin nur knapp vorgibt, welcher Bereich der Informationssicherheit geregelt werden soll. Dort steht lediglich, welche Information Security Controls grundsätzlich zu berücksichtigen sind. Die ISO 27002 erklärt dagegen, wie diese Controls technisch, organisatorisch und prozessual ausgestaltet werden können.

Vom Control zur konkreten Maßnahme

Die ISO 27002 übersetzt die strategischen Ziele der ISO 27001 in operative Maßnahmen. Annex A nennt die Maßnahme, die ISO 27002 beschreibt die praktische Ausgestaltung.

Ein anschauliches Beispiel ist das Thema Identitätsmanagement. Annex A fordert, dass Benutzerzugänge kontrolliert werden. Die ISO 27002 beschreibt stattdessen den gesamten Lebenszyklus eines Zugangs – von der Einrichtung über die regelmäßige Überprüfung bis zur schnellen Deaktivierung, wenn Mitarbeiter das Unternehmen verlassen oder die Rolle wechseln.

Genau diese Detailtiefe macht den Leitfaden wertvoll. Verantwortliche erhalten eine klare Orientierung, welche Regeln, Freigaben, Prüfintervalle und Nachweise notwendig sind, damit aus einem allgemeinen Control ein belastbarer Prozess wird.

Nachweise für Audit und Statement of Applicability

Für die ISO-27001-Zertifizierung braucht ein Unternehmen ein Statement of Applicability. Darin wird dokumentiert, welche Controls aus Annex A angewendet, ausgeschlossen oder bereits umgesetzt wurden.

Die ISO 27002 hilft dabei, diese Entscheidungen fachlich sauber zu begründen und die ISO-27001-Compliance nachvollziehbarer vorzubereiten. Sie liefert eine anerkannte Best Practice, an der sich Maßnahmen, Nachweise und Auditargumentation für das Zertifizierungsaudit ausrichten lassen. Das stärkt die Nachweisführung gegenüber Auditoren und macht das SoA deutlich robuster.

DIN EN ISO/IEC 27002:2022 – Was hat sich geändert?

Mit der Revision der ISO/IEC 27002:2022 im Jahr 2022 wurde die Norm deutlich moderner. Der Titel der English Edition lautet „Information Security, Cybersecurity and Privacy Protection – Information Security Controls“ und zeigt bereits, wohin das zuständige Komitee den Standard weiterentwickelt hat. Die aktuelle deutsche Fassung wird dabei unter der Bezeichnung DIN EN ISO/IEC 27002:2024-01 geführt.

Die ISO-Norm verbindet Informationssicherheit, Cybersicherheit und den Schutz personenbezogener Daten in einem gemeinsamen Rahmen. Damit passt die neue Version besser zu Cloud-Infrastrukturen, hybrider Arbeit, Datenschutzanforderungen und aktuellen Angriffsszenarien.

Die wichtigsten Änderungen im Überblick:

Verschlankung: Die frühere Ausgabe mit 114 Controls wurde auf ein Set aus 93 Controls reduziert. Viele Inhalte wurden zusammengeführt, damit Überschneidungen wegfallen und die Struktur leichter nutzbar wird.

Neue Struktur: Statt 14 Domänen gibt es jetzt vier Kategorien. Dazu gehören Organizational Controls, People Controls, Physical Controls und Technological Controls. Das hilft in der Praxis, Verantwortlichkeiten klarer zuzuordnen.

Attribute für bessere Steuerung: Jedes Control ist mit zusätzlichen Schlagworten versehen. Unternehmen können Maßnahmen dadurch nach Kriterien wie präventiv, detektiv, korrektiv oder nach Cybersecurity-Konzepten filtern.

Neue Controls für moderne Risiken: Die Norm greift aktuelle Bedrohungen stärker auf. Zu den 11 neuen Maßnahmen zählen unter anderem Threat Intelligence, Cloud-Sicherheit, Data Leakage Prevention, Data Masking, Web Filtering, Secure Coding für sichere Software-Entwicklung und die IT-Bereitschaft für die Geschäftskontinuität (Business Continuity).

So nutzen Unternehmen ISO 27002 im ISMS

Die ISO 27002 ist weit mehr als ein Begleitdokument. Im ISMS dient sie als praktischer Werkzeugkasten, um Informationssicherheit in Richtlinien, Prozesse und konkrete Maßnahmen zu übersetzen.

Einsatzbereiche sind:

Interne Richtlinien: Unternehmen nutzen ISO 27002 als Grundlage für Security-Policies und die Informationssicherheitsleitlinie, etwa zu Passwörtern, Verschlüsselung, Homeoffice, Zugriffen, der sicheren Nutzung von Websites (inkl. Browser-Einstellungen und Cookies) oder dem Umgang mit sensiblen Werten.

Risikominimierung: Wenn im Risikomanagement Schwachstellen sichtbar werden, liefert die ISO-Norm passende technische und organisatorische Gegenmaßnahmen. So entsteht aus einem Risiko schneller eine umsetzbare Schutzmaßnahme.

Lieferantenmanagement: Die Controls helfen dabei, Sicherheitsanforderungen an Dienstleister, Cloud-Provider oder externe IT-Partner präziser zu formulieren. Das schafft klare Erwartungen an Sicherheit, Performance und Zusammenarbeit.

Auditvorbereitung: ISO 27002 unterstützt dabei, Nachweise strukturiert aufzubauen. Verantwortliche sehen schneller, welche Dokumente, Protokolle oder technischen Einstellungen später für Auditoren relevant werden.

Häufige Fragen und Antworten

Wie hängen Information Security Controls und ISO/IEC 27001 Annex A zusammen?

Der Annex A (Anhang A) der ISO/IEC 27001 nennt die Controls als kompakten Maßnahmenkatalog. Die ISO 27002 beschreibt die Information Security Controls deutlich ausführlicher und zeigt, wie Unternehmen sie in ihrem ISMS praktisch umsetzen können.

Wie verbindet ISO 27002 Information Security, Cybersecurity und Privacy Protection Information Security?

ISO 27002 betrachtet Informationssicherheit ganzheitlich und verbindet klassische Information Security mit Cybersecurity und dem Schutz personenbezogener Daten. Damit deckt die Norm auch den Schutz der Privatsphäre ab, etwa durch Controls zu Zugriffsschutz, Datenmaskierung, Monitoring und sicherer Verarbeitung.

Ist ISO 27002 zertifizierbar?

Nein, ISO 27002 ist kein zertifizierbarer Standard. Die ISO-Zertifizierung erfolgt nach ISO 27001, während ISO 27002 als Vorlage hilft, Maßnahmen auditfähig auszugestalten und Nachweise für die Wirksamkeit des Informationssicherheitsmanagementsystems vorzubereiten.