Was ist ISO/IEC 27002?
ISO/IEC 27002:2022 ist die dritte Ausgabe der Internationalen Norm und bietet Organisationen Leitlinien für Informationssicherheitsmaßnahmen – eigenständig oder zur Unterstützung eines ISO/IEC-27001-konformen ISMS.
Technische Einordnung: Die Norm hilft dabei, Informationssicherheitsmaßnahmen zu strukturieren, auszuwählen und in ein Informationssicherheitsmanagementsystem (ISMS) einzuordnen. Sie erfüllt eine Leitlinienfunktion.
Für wen ist ISO/IEC 27002 relevant?
Die Leitlinien sind für Organisationen relevant, die Informationssicherheitsmaßnahmen strukturieren oder ein ISMS aufbauen, betreiben beziehungsweise verbessern wollen. Sie können dabei eigenständig als Orientierung oder zur Unterstützung eines ISO/IEC-27001-konformen ISMS eingesetzt werden.
Wann wird ISO/IEC 27002 angewendet?
Eine Organisation kann die Leitlinien nutzen, wenn sie Informationssicherheitsmaßnahmen oder ihr ISMS einrichten, umsetzen oder verbessern will. Auswahl und Ausgestaltung richten sich nach ihrem Kontext, den zu schützenden Informationswerten und den jeweiligen Risiken.
Wie ist die Ausgabe 2022 aufgebaut?
ISO/IEC 27002:2022 ordnet 93 Maßnahmen vier Themenbereichen zu: organisatorischen, personellen, physischen und technologischen Maßnahmen. Diese Gliederung gehört zur dritten Ausgabe.
Die Maßnahmenzahl und die vier Themenbereiche beschreiben die Struktur der Ausgabe 2022. Sie bestimmen für sich allein nicht, welche Maßnahmen eine bestimmte Organisation auswählen und wie sie diese ausgestalten sollte.
Wie unterscheiden sich ISO/IEC 27002 und ISO/IEC 27001?
ISO/IEC 27001 enthält Anforderungen an ein ISMS. ISO/IEC 27002 stellt dagegen Leitlinien für Informationssicherheitsmaßnahmen bereit und unterstützt deren praktische Auswahl und Umsetzung.
ISO/IEC 27002 kann somit ein ISO/IEC-27001-konformes ISMS unterstützen, erfüllt aber eine andere Funktion als die Anforderungsnorm und ersetzt sie nicht.
Müssen alle 93 Maßnahmen identisch umgesetzt werden?
Nein. Auswahl und Ausgestaltung der Maßnahmen richten sich nach dem Kontext, den Informationswerten und den Risiken der jeweiligen Organisation. Die Zahl 93 ist daher keine Vorgabe für eine überall identische Umsetzung.
Eine bloße Übernahme der Maßnahmenliste zeigt nicht, wie diese organisationsbezogene Auswahl vorgenommen und konkret ausgestaltet wurde.
Was hat sich gegenüber der Ausgabe 2013 geändert?
Die Ausgabe 2013 umfasste 114 Maßnahmen. Für die Ausgabe 2022 wurden Struktur und Attribute überarbeitet; sie umfasst 93 Maßnahmen in vier Themenbereichen. Die Strukturangaben beider Ausgaben dürfen deshalb nicht gleichgesetzt werden.
Maßnahmenzahlen, Gruppierungen und Attribute in Bestandsdokumentationen sollten eindeutig der jeweils verwendeten Ausgabe zugeordnet werden.
Wie werden geeignete Maßnahmen ausgewählt?
Maßgeblich sind der Organisationskontext, die zu schützenden Informationswerte und die jeweiligen Risiken. Auf dieser Grundlage werden geeignete organisatorische, personelle, physische und technologische Maßnahmen bestimmt und ausgestaltet.
Die Leitlinien können sowohl bei einem eigenständigen Maßnahmenrahmen als auch beim Aufbau, Betrieb oder bei der Verbesserung eines ISO/IEC-27001-konformen ISMS eingesetzt werden.
Häufige Fehlannahmen
Die folgenden Abgrenzungen verhindern typische Fehlinterpretationen:
- „Jede Organisation muss alle 93 Maßnahmen identisch umsetzen.“ Nein. Auswahl und Ausgestaltung richten sich nach Organisationskontext, Informationswerten und Risiken.
- „ISO/IEC 27002 und ISO/IEC 27001 erfüllen dieselbe Funktion.“ Nein. ISO/IEC 27001 enthält ISMS-Anforderungen; ISO/IEC 27002 stellt Maßnahmenleitlinien bereit.
- „Die Ausgabe 2013 hat dieselbe Struktur wie die Ausgabe 2022.“ Nein. Die Ausgabe 2013 umfasste 114 Maßnahmen; die Ausgabe 2022 verwendet 93 Maßnahmen in vier Themenbereichen und überarbeitete Attribute.
- „Die Zahl 93 bestimmt bereits die richtige Maßnahmenauswahl.“ Nein. Die Auswahl bleibt kontext-, informationswert- und risikobezogen.
- „Eine übernommene Maßnahmenliste zeigt automatisch eine angemessene Umsetzung.“ Nein. Die Liste zeigt für sich allein weder die organisationsbezogene Auswahlbegründung noch die konkrete Ausgestaltung.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte sind redaktionelle Managementableitungen aus der Leitlinienfunktion der Norm, keine wörtlichen ISO-Anweisungen und keine individuelle Pflichtbewertung.
- Festlegen lassen, ob ISO/IEC 27002 eigenständig als Orientierung oder zur Unterstützung eines ISO/IEC-27001-konformen ISMS genutzt werden soll.
- Organisationskontext, Informationswerte und Risiken bewerten lassen, bevor Maßnahmen ausgewählt werden.
- Geeignete organisatorische, personelle, physische und technologische Maßnahmen bestimmen und in Aufbau, Betrieb und Verbesserung des ISMS einordnen.
- Auswahlgrundlage und konkrete Ausgestaltung nachvollziehbar dokumentieren. Das ist eine redaktionelle Nachweisempfehlung, keine wörtliche ISO-Vorgabe und für sich allein kein Konformitätsnachweis.
- Bei Bestandsdokumentationen prüfen lassen, auf welche Ausgabe sich Maßnahmenzahlen, Gruppierungen und Attribute beziehen.
Für die Geschäftsleitung
ISO/IEC 27002:2022 strukturiert 93 organisatorische, personelle, physische und technologische Maßnahmen. Zu entscheiden ist, ob die Leitlinien eigenständig oder zur Unterstützung eines ISO/IEC-27001-konformen ISMS eingesetzt werden und welche Maßnahmen zum Kontext, zu den Informationswerten und zu den Risiken passen. Als redaktionelle Nachweisempfehlung sollten Auswahlgrundlage und Ausgestaltung dokumentiert werden, ohne diese Dokumentation als wörtliche ISO-Vorgabe oder eigenständigen Konformitätsnachweis zu behandeln.
Quellen
- ISO/IEC JTC 1/SC 27: Special issue on ISO/IEC 27002:2022 – autoritative Übersicht zur Reichweite und Leitlinienfunktion, zur organisationsbezogenen Auswahl, zur Abgrenzung gegenüber ISO/IEC 27001 sowie zu Maßnahmenzahl, Themenbereichen und Änderungen gegenüber der Ausgabe 2013.
