Die Norm ISO/IEC 27002:2022 verstehen
ISO 27002 ist der Leitfaden für bewährte Verfahren, der die Sicherheitsmaßnahmen aus Anhang A derISO 27001. 4 Themen, 93 Maßnahmen, 5 Attribute: So behalten Sie den Überblick und setzen sie richtig um.
Was ist ISO/IEC 27002?
ISO/IEC 27002:2022 ist der Leitfaden für bewährte Verfahren, der erklärt, wie die 93 Maßnahmen aus Anhang A derISO 27001 — sie ist selbst nicht zertifizierbar.
ISO/IEC 27002:2022 ist ein Leitfaden für bewährte Verfahren: ein Leitfaden, der Informationssicherheitsmaßnahmen ausführlich beschreibt. Während ISO 27001 die Anforderungen des ISMS, erklärt ISO 27002 das Wie: Für jede Maßnahme beschreibt sie das Ziel, Umsetzungsempfehlungen und praktische Hinweise. Eine offizielle Vorstellung des Standards finden Sie auf der ISO/IEC-27002-Seite von PECB, einer mit BCIT kooperierenden Zertifizierungsstelle.
Veröffentlicht von derISO im Februar 2022, 8 Monate vor ISO 27001:2022. Die aktuelle Ausgabe beschreibt 93 Maßnahmen in 4 Themen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Maßnahmen, also 37 % technische Maßnahmen. Die Ausgabe von 2013 umfasste 114 Maßnahmen in 14 Bereichen. 11 Maßnahmen sind neu:
- 5.7 Informationen zu Bedrohungen
- 5.23 Informationssicherheit bei der Nutzung von Cloud-Diensten
- 5.30 Bereitschaft der IKT für die Betriebskontinuität
- 7.4 Überwachung der physischen Sicherheit
- 8.9 Konfigurationsmanagement
- 8.10 Löschung von Informationen
- 8.11 Datenmaskierung
- 8.12 Verhinderung von Datenlecks
- 8.16 Überwachungsaktivitäten
- 8.23 Webfilterung
- 8.28 Sichere Programmierung
Diese Maßnahmen entsprechen der Anforderung eines ganzheitlichen Ansatzes, den die Richtlinie NIS 2 wie folgt formuliert: „Die in Absatz 1 genannten Maßnahmen beruhen auf einem All-Gefahren-Ansatz, der darauf abzielt, Netze und Informationssysteme sowie deren physische Umgebung vor Zwischenfällen zu schützen“ (Richtlinie (EU) 2022/2555, Artikel 21 Absatz 2). Für eine praxisorientierte Lektüre auf Französisch bilden die 42 Maßnahmen des Leitfadens der ANSSI zur IT-Hygiene einen guten Ausgangspunkt, bevor Sie den gesamten Anhang A abdecken.
Wichtig: ISO 27002 ist nicht zertifizierbar. Sie ist ein unterstützender Leitfaden. Man lässt sich nicht nach „ISO 27002“ zertifizieren, sondern nutzt sie, um die im Rahmen eines ISMS konformen ISO 27001.
Was sind die 4 Themen der Maßnahmen?
Organisatorische (37)
Richtlinien, Rollen und Verantwortlichkeiten, Asset-Management, Lieferantenbeziehungen, Incident-Management und Kontinuität.
Personenbezogene (8)
Sensibilisierung, Schulung, Überprüfung des Hintergrunds, mobiles Arbeiten, Disziplinarverfahren und Verwaltung von Austritten.
Physische (14)
Sicherheit von Räumlichkeiten, Sicherheitszonen, Schutz von Geräten, Speichermedien und Wartung.
Technologische (34)
Zugriffskontrolle, Verschlüsselung, Protokollierung, Schutz vor Malware sowie Entwicklungs- und Netzwerksicherheit.
| Thema | Anzahl der Maßnahmen |
|---|---|
| Organisatorische | 37 |
| Personenbezogene | 8 |
| Physische | 14 |
| Technologische | 34 |
| Gesamt | 93 |
Wie hängt die Norm mit Anhang A von ISO 27001 zusammen?
Die Überarbeitung von 2022 hat die beiden Normen vollständig aufeinander abgestimmt: Die 93 Maßnahmen der ISO 27002:2022 entsprechen jeweils den Maßnahmen aus Anhang A derAnhang A derISO 27001:2022. Anhang A nennt den Titel und eine kurze Beschreibung; ISO 27002 liefert die vollständige Anleitung. Konkret nutzen Sie ISO 27002, um jede Maßnahme zu begründen, zu gestalten und umzusetzen, die Ihre Risikobeurteilung zur Auswahl empfohlen hat, in Ihrer Anwendbarkeitserklärung (SoA).
Vor 2022 umfasste die Norm 114 Maßnahmen in 14 Kategorien; mit der Überarbeitung von 2022 wurden diese auf 93 Maßnahmen und 4 Themenbereiche verdichtet. Die oben beschriebene Angleichung besteht erst seit dieser Ausgabe.
Was sind die 5 Attribute der Ausgabe 2022?
Wichtige Neuerung der Ausgabe 2022: Jede Maßnahme verfügt nun über 5 Attribute, anhand derer sie nach verschiedenen Governance-Aspekten sortiert und gefiltert werden kann. Diese Attribute sind: der Maßnahmentyp (präventiv, detektiv, korrektiv), die Sicherheitseigenschaften (Vertraulichkeit, Integrität, Verfügbarkeit), die Cybersicherheitskonzepte (Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen), die operativen Fähigkeiten und die Sicherheitsbereiche. Sie erleichtern die Zuordnung zu anderen Referenzwerken (NIST usw.) und die Steuerung.
Wie gelangen Sie von der Maßnahme zur Umsetzung?
Von den Risiken ausgehen
Die zu behandelnden Risiken ermitteln, die sich aus der Risikobewertung des ISMS.
Maßnahmen auswählen
Aus den 93 Maßnahmen diejenigen auswählen, die Ihre Risiken tatsächlich verringern, und die SoA.
Umsetzen
Jede Maßnahme gemäß den detaillierten Empfehlungen der ISO 27002 umsetzen.
Messen & verbessern
Die Wirksamkeit der Maßnahmen bewerten und sie im Sinne der kontinuierlichen Verbesserung anpassen.
Dokumentieren (SoA)
Jede ausgewählte oder ausgeschlossene Maßnahme in der Anwendbarkeitserklärung, dem zentralen Dokument des Audits, begründen.
Auditieren & überprüfen
Regelmäßig prüfen, ob die Maßnahmen angesichts der Entwicklung der Risiken und des Kontexts weiterhin angemessen sind.
Warum mit BCIT zusammenarbeiten?
Passende Auswahl
Wir helfen Ihnen, die für Ihre Risiken relevanten Maßnahmen auszuwählen – ohne unnötigen Aufwand und ohne blinde Flecken.
Konkrete Umsetzung
Eine praxisnahe Umsetzung, abgestimmt auf Ihre Tools, Ihre Teams und Ihren tatsächlichen Reifegrad.
Fundierte SoA
Eine Anwendbarkeitserklärung klar und nachvollziehbar, bereit für dasZertifizierungsaudit.
Benötigen Sie Unterstützung bei der Auswahl und Umsetzung Ihrer Maßnahmen?
BCIT Formation unterstützt Sie bei der Auswahl und Umsetzung der Maßnahmen nach ISO 27002, abgestimmt auf Ihr ISMS — mit 4,7/5 auf Trustpilot bewertet. Lassen Sie uns über Ihre Situation sprechen.
Die Norm ISO/IEC 27002:2022 verstehen
ISO 27002 ist der Leitfaden für bewährte Verfahren, der die Sicherheitsmaßnahmen aus Anhang A derISO 27001. 4 Themen, 93 Maßnahmen, 5 Attribute: So behalten Sie den Überblick und setzen sie richtig um.
Was ist ISO/IEC 27002?
ISO/IEC 27002:2022 ist der Leitfaden für bewährte Verfahren, der erklärt, wie die 93 Maßnahmen aus Anhang A derISO 27001 — sie ist selbst nicht zertifizierbar.
ISO/IEC 27002:2022 ist ein Leitfaden für bewährte Verfahren: ein Leitfaden, der Informationssicherheitsmaßnahmen ausführlich beschreibt. Während ISO 27001 die Anforderungen des ISMS, erklärt ISO 27002 das Wie: Für jede Maßnahme beschreibt sie das Ziel, Umsetzungsempfehlungen und praktische Hinweise. Eine offizielle Vorstellung des Standards finden Sie auf der ISO/IEC-27002-Seite von PECB, einer mit BCIT kooperierenden Zertifizierungsstelle.
Veröffentlicht von derISO im Februar 2022, 8 Monate vor ISO 27001:2022. Die aktuelle Ausgabe beschreibt 93 Maßnahmen in 4 Themen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Maßnahmen, also 37 % technische Maßnahmen. Die Ausgabe von 2013 umfasste 114 Maßnahmen in 14 Bereichen. 11 Maßnahmen sind neu:
- 5.7 Informationen zu Bedrohungen
- 5.23 Informationssicherheit bei der Nutzung von Cloud-Diensten
- 5.30 Bereitschaft der IKT für die Betriebskontinuität
- 7.4 Überwachung der physischen Sicherheit
- 8.9 Konfigurationsmanagement
- 8.10 Löschung von Informationen
- 8.11 Datenmaskierung
- 8.12 Verhinderung von Datenlecks
- 8.16 Überwachungsaktivitäten
- 8.23 Webfilterung
- 8.28 Sichere Programmierung
Diese Maßnahmen entsprechen der Anforderung eines ganzheitlichen Ansatzes, den die Richtlinie NIS 2 wie folgt formuliert: „Die in Absatz 1 genannten Maßnahmen beruhen auf einem All-Gefahren-Ansatz, der darauf abzielt, Netze und Informationssysteme sowie deren physische Umgebung vor Zwischenfällen zu schützen“ (Richtlinie (EU) 2022/2555, Artikel 21 Absatz 2). Für eine praxisorientierte Lektüre auf Französisch bilden die 42 Maßnahmen des Leitfadens der ANSSI zur IT-Hygiene einen guten Ausgangspunkt, bevor Sie den gesamten Anhang A abdecken.
Wichtig: ISO 27002 ist nicht zertifizierbar. Sie ist ein unterstützender Leitfaden. Man lässt sich nicht nach „ISO 27002“ zertifizieren, sondern nutzt sie, um die im Rahmen eines ISMS konformen ISO 27001.
Was sind die 4 Themen der Maßnahmen?
Organisatorische (37)
Richtlinien, Rollen und Verantwortlichkeiten, Asset-Management, Lieferantenbeziehungen, Incident-Management und Kontinuität.
Personenbezogene (8)
Sensibilisierung, Schulung, Überprüfung des Hintergrunds, mobiles Arbeiten, Disziplinarverfahren und Verwaltung von Austritten.
Physische (14)
Sicherheit von Räumlichkeiten, Sicherheitszonen, Schutz von Geräten, Speichermedien und Wartung.
Technologische (34)
Zugriffskontrolle, Verschlüsselung, Protokollierung, Schutz vor Malware sowie Entwicklungs- und Netzwerksicherheit.
| Thema | Anzahl der Maßnahmen |
|---|---|
| Organisatorische | 37 |
| Personenbezogene | 8 |
| Physische | 14 |
| Technologische | 34 |
| Gesamt | 93 |
Wie hängt die Norm mit Anhang A von ISO 27001 zusammen?
Die Überarbeitung von 2022 hat die beiden Normen vollständig aufeinander abgestimmt: Die 93 Maßnahmen der ISO 27002:2022 entsprechen jeweils den Maßnahmen aus Anhang A derAnhang A derISO 27001:2022. Anhang A nennt den Titel und eine kurze Beschreibung; ISO 27002 liefert die vollständige Anleitung. Konkret nutzen Sie ISO 27002, um jede Maßnahme zu begründen, zu gestalten und umzusetzen, die Ihre Risikobeurteilung zur Auswahl empfohlen hat, in Ihrer Anwendbarkeitserklärung (SoA).
Vor 2022 umfasste die Norm 114 Maßnahmen in 14 Kategorien; mit der Überarbeitung von 2022 wurden diese auf 93 Maßnahmen und 4 Themenbereiche verdichtet. Die oben beschriebene Angleichung besteht erst seit dieser Ausgabe.
Was sind die 5 Attribute der Ausgabe 2022?
Wichtige Neuerung der Ausgabe 2022: Jede Maßnahme verfügt nun über 5 Attribute, anhand derer sie nach verschiedenen Governance-Aspekten sortiert und gefiltert werden kann. Diese Attribute sind: der Maßnahmentyp (präventiv, detektiv, korrektiv), die Sicherheitseigenschaften (Vertraulichkeit, Integrität, Verfügbarkeit), die Cybersicherheitskonzepte (Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen), die operativen Fähigkeiten und die Sicherheitsbereiche. Sie erleichtern die Zuordnung zu anderen Referenzwerken (NIST usw.) und die Steuerung.
Wie gelangen Sie von der Maßnahme zur Umsetzung?
Von den Risiken ausgehen
Die zu behandelnden Risiken ermitteln, die sich aus der Risikobewertung des ISMS.
Maßnahmen auswählen
Aus den 93 Maßnahmen diejenigen auswählen, die Ihre Risiken tatsächlich verringern, und die SoA.
Umsetzen
Jede Maßnahme gemäß den detaillierten Empfehlungen der ISO 27002 umsetzen.
Messen & verbessern
Die Wirksamkeit der Maßnahmen bewerten und sie im Sinne der kontinuierlichen Verbesserung anpassen.
Dokumentieren (SoA)
Jede ausgewählte oder ausgeschlossene Maßnahme in der Anwendbarkeitserklärung, dem zentralen Dokument des Audits, begründen.
Auditieren & überprüfen
Regelmäßig prüfen, ob die Maßnahmen angesichts der Entwicklung der Risiken und des Kontexts weiterhin angemessen sind.
Warum mit BCIT zusammenarbeiten?
Passende Auswahl
Wir helfen Ihnen, die für Ihre Risiken relevanten Maßnahmen auszuwählen – ohne unnötigen Aufwand und ohne blinde Flecken.
Konkrete Umsetzung
Eine praxisnahe Umsetzung, abgestimmt auf Ihre Tools, Ihre Teams und Ihren tatsächlichen Reifegrad.
Fundierte SoA
Eine Anwendbarkeitserklärung klar und nachvollziehbar, bereit für dasZertifizierungsaudit.
Benötigen Sie Unterstützung bei der Auswahl und Umsetzung Ihrer Maßnahmen?
BCIT Formation unterstützt Sie bei der Auswahl und Umsetzung der Maßnahmen nach ISO 27002, abgestimmt auf Ihr ISMS — mit 4,7/5 auf Trustpilot bewertet. Lassen Sie uns über Ihre Situation sprechen.