Die Einschätzung der Cyber Academy
ISO 27002 is the implementation guidance for ISO 27001's Annex A controls. Not certifiable on its own. Auditors use it when they want to challenge HOW you operate a control, not just whether it is "in place". Treat it as the operational playbook beside the certification standard.
Was die Norm ISO/IEC 27002 tatsächlich ist
ISO/IEC 27002 ist der Umsetzungsleitfaden, der neben ISO 27001 steht. Während ISO 27001 die zertifizierbare Managementsystem-Norm ist, die die Maßnahmen aus Anhang A auflistet und verlangt, die anwendbaren zu begründen, erläutert ISO 27002 jede dieser Maßnahmen im Detail: ihren Zweck, wie gute Praxis aussieht und die praktischen Erwägungen ihrer Inbetriebnahme. Sie ist ein Verhaltenskodex (Code of Practice), keine Checkliste von Anforderungen. Man zertifiziert sich nicht gegen ISO 27002, und ein Auditor kann nicht unmittelbar eine Abweichung dagegen aussprechen. Er nutzt sie, um den Geist einer Maßnahme aus Anhang A auszulegen und zu hinterfragen, ob Ihre Umsetzung wirklich zweckmäßig ist.
Diese Unterscheidung ist bei realen Audits von Bedeutung. Eine oberflächliche Prüfung fragt, ob eine Maßnahme "vorhanden" ist. Ein Auditor, der zu ISO 27002 greift, fragt, wie Sie sie betreiben: ob die Zugriffsüberprüfung tatsächlich in dem von Ihnen behaupteten Rhythmus stattfindet, ob Ihre Protokollierung die Ereignisse erfasst, die Ihnen die Erkennung eines Vorfalls ermöglichen würden, ob Ihre Lieferantenklauseln dem Kontakt mit einer realen Verletzung standhalten. Die Norm gibt beiden Seiten ein gemeinsames Vokabular für dieses Gespräch, weshalb Fachleute sie als das operative Handbuch behandeln und nicht als ergänzende Lektüre.
Wie sie sich zu ISO 27001, der SoA und dem ISMS verhält
Die drei Dokumente bilden eine Kette. Ihr ISMS ist das Managementsystem, das das gesamte Programm steuert. ISO 27001 definiert, was dieses System leisten muss, und liefert den Maßnahmensatz. Die Erklärung zur Anwendbarkeit (SoA) hält Maßnahme für Maßnahme fest, welche Sie aufgenommen, welche Sie ausgeschlossen haben und warum. ISO 27002 ist das, worauf Sie für den Inhalt jeder Maßnahme zurückgreifen, sobald die SoA Ihnen sagt, dass sie anwendbar ist. In der Praxis erstellen Teams die SoA mit geöffneter ISO 27001 für die Anforderung und geöffneter ISO 27002 für den Umsetzungsleitfaden und gestalten dann die tatsächliche Maßnahme anhand des Leitfadens.
Moderne Ausgaben von ISO 27002 ordnen die Maßnahmen in vier Themen, organisatorisch, personenbezogen, physisch und technologisch, und kennzeichnen jede mit Attributen wie dem Maßnahmentyp, der Sicherheitseigenschaft, die sie schützt, und dem relevanten Cybersicherheitskonzept. Diese Attribute erlauben es Ihnen, den Maßnahmensatz auf unterschiedliche Weise zu zerlegen, etwa indem Sie alle präventiven Maßnahmen oder alle Maßnahmen, die die Erkennung unterstützen, herausziehen, was hilft, wenn Sie auf andere Rahmenwerke abbilden oder einen Risikobehandlungsplan erstellen.
Was Fachleute tatsächlich damit tun
In einem laufenden Programm taucht ISO 27002 in einigen wiederkehrenden Aufgaben auf:
- Maßnahmen gestalten: Wenn die SoA eine Maßnahme als anwendbar kennzeichnet, prägt der Umsetzungsleitfaden die Richtlinie, das Verfahren oder die technische Konfiguration, die Sie aufbauen.
- Entscheidungen begründen: Wenn Sie eine Maßnahme anpassen oder im Umfang abgrenzen, liefert Ihnen der Leitfaden die Begründung, die Sie festhalten müssen, damit ein Auditor Ihrer Argumentation folgen kann.
- Auf das Audit vorbereiten: Teams nutzen den Leitfaden, um ihre eigenen Maßnahmen unter Druck zu setzen, bevor es der Begutachter tut, und schließen so die Lücke zwischen "dokumentiert" und "wirksam betrieben".
- Rahmenwerke abbilden: Die Maßnahmenstruktur und die Attribute machen ISO 27002 zu einem nützlichen Rückgrat für das Überleiten auf Maßnahmensätze wie die CIS Controls oder die Leitlinien des NIST.
Da ISO 27002 ein Leitfaden und keine strikte Anforderung ist, liegt das Urteil bei Ihnen. Die Norm beschreibt Absicht und gute Praxis; Sie entscheiden, wie weit Sie gehen, basierend auf Ihrer Risikobewertung. Diese Freiheit ist der Sinn der Sache. Sie erlaubt es einer kleinen Beratung und einem multinationalen Konzern, beide die Konformität mit derselben Maßnahme zu beanspruchen, während sie diese in sehr unterschiedlicher Tiefe umsetzen, jeweils angemessen für ihr Risiko.
Häufig gestellte Fragen
01Kann man sich nach ISO 27002 zertifizieren lassen?
Nein. ISO 27002 ist ein Verhaltenskodex und nicht zertifizierbar. Die Zertifizierung wird gegen ISO 27001 erteilt, die die auditierbaren Anforderungen an das Managementsystem definiert. ISO 27002 liefert den Umsetzungsleitfaden, auf den Sie beim Aufbau der Maßnahmen zurückgreifen, die ISO 27001 auditiert.
02Was ist der Unterschied zwischen ISO 27001 und ISO 27002?
ISO 27001 ist die Anforderungsnorm, gegen die Sie sich zertifizieren; sie listet die Maßnahmen aus Anhang A auf und zwingt Sie, deren Aufnahme oder Ausschluss in der Erklärung zur Anwendbarkeit zu begründen. ISO 27002 ist der begleitende Leitfaden, der erläutert, wie jede dieser Maßnahmen umgesetzt und betrieben werden soll.
03Muss ich jede Maßnahme aus ISO 27002 umsetzen?
Nein. Sie wählen die Maßnahmen anhand Ihrer Risikobewertung aus und halten die Entscheidungen in der Erklärung zur Anwendbarkeit fest. ISO 27002 beschreibt, wie eine Maßnahme funktionieren sollte, falls Sie sie anwenden; sie schreibt nicht vor, alle anzuwenden.
04Wie verwenden Auditoren ISO 27002?
Sie verwenden sie als Referenz dafür, wie eine kompetente Umsetzung aussieht. Statt eine Abweichung gegen ISO 27002 selbst auszusprechen, nutzt ein Auditor deren Leitfaden, um zu beurteilen, ob Ihre Umsetzung einer Maßnahme aus Anhang A das Maßnahmenziel wirklich erfüllt, und nicht nur, ob etwas nominell vorhanden ist.