ISO 27002.
Retningslinjerne for informationssikkerhedsforanstaltninger: hvad ISO 27002 strukturerer, hvordan De anvender dem, og hvilken dokumentation der opstår.
- ISO/IEC 27002:2022
- Af Jonathan Bezdek
- Status: 22.10.2026
- Læsetid: 6 min.
Kort svar.
ISO 27002 er den internationale implementeringsvejledning til informationssikkerhedsforanstaltninger. ISO/IEC 27002:2022 ordner sine kontroller i organisatoriske, personrelaterede, fysiske og teknologiske emner og forklarer anvendelsen. Organisationer bruger retningslinjerne efter egne risici og drift. Selvstændig ISO 27002-certificering findes ikke; ISO 27001 indeholder certificerbare krav til et ISMS.
ISO 27002:2022 som implementeringsvejledning.
ISO 27002 forklarer sikkerhedsforanstaltninger, mens ISO 27001 beskriver krav til et ledelsessystem for informationssikkerhed, forkortet ISMS. Den engelske betegnelse Controls betyder foranstaltninger til at påvirke sikkerhedsrisici. Det omfatter organisatoriske procedurer såvel som tekniske eller fysiske tiltag. Et foranstaltningskatalog beskriver derfor hverken en ren produktliste eller kun IT-afdelingens arbejde.
Den offentlige udgiverside angiver ISO/IEC 27002:2022 som tredje udgave fra februar 2022 og nævner en korrigeret engelsk udgave fra marts 2022. Redaktørartiklen i SC 27 Journal, decemberudgaven 2022, forklarer på side 13 til 15 strukturen med 93 foranstaltninger i fire emner og de supplerende attributter. Denne orientering erstatter ikke arbejdet med den lovligt anskaffede standard.
Retningslinjerne anvendes i egen organisations kontekst. IEC’s produktbeskrivelse nævner både brug inden for et ISMS og udvikling af organisationsspecifikke sikkerhedsretningslinjer. Et overtaget katalog fastlægger endnu ikke alene, hvilket miljø der beskyttes, hvem der driver en foranstaltning, eller om den faktisk fungerer.
Hvem ISO 27002 egner sig til.
Ifølge den offentlige ISO-beskrivelse henvender ISO 27002 sig til organisationer af forskellige størrelser og i forskellige brancher. Den kan støtte arbejdet med foranstaltninger i et eksisterende ISMS eller vejlede sikkerhedsarbejdet. Planlagt certificering er ikke en forudsætning. Før indførelsen bør det stå klart, om der er behov for et fælles fagsprog, bedre implementering eller dokumentation over for en bestemt modtager.
Flere funktioner deltager normalt i anvendelsen. Som praktisk arbejdsdeling kan sikkerhedsansvarlige koordinere valget, tjenesteansvarlige forklare det berørte miljø og fagområderne overtage implementeringen. Indkøb, HR, bygningsdrift og udvikling inddrages, når den konkrete foranstaltning berører deres processer. Denne fordeling er en anbefaling om arbejdets organisering og ikke en universel rollebesætning fra standarden.
ISO 27002-kontroller som arbejdsgrundlag.
Fire emner strukturerer foranstaltningerne; valg og attributter hjælper ved anvendelsen. Følgende seks arbejdsområder forbinder strukturen med praktiske beslutninger uden at udgøre seks officielle standardkapitler eller en fuldstændig foranstaltningsliste.
Organisatorisk ansvar.
Organisatoriske foranstaltninger udgør et selvstændigt emne. Afklar ved praktisk implementering, hvor en beslutning træffes, godkendes og kontrolleres. En forståelig bestemmelse forbinder den beskyttede tjeneste med den ansvarlige funktion; tilstedeværelsen af et politikdokument alene forklarer endnu ikke sammenhængen.
Mennesker og arbejdsgange.
Personrelaterede foranstaltninger betragter sikkerhed i sammenhæng med mennesker og deres arbejde. Undersøg ved anvendelsen, hvilke begivenheder i hverdagen der udløser handling, og hvem der udfører den. En uddannelse og et rolleskifte kræver forskellig implementering, selv om begge ledsages af samme fagområde.
Fysiske omgivelser.
Fysiske foranstaltninger vedrører omgivelserne, hvor informationer og understøttende midler bruges. Skeln i den praktiske afgrænsning mellem egne lokationer og leverandørydelser. Dokumentation for datacentret besvarer eksempelvis ikke automatisk spørgsmål om håndtering af enheder på eget kontor.
Teknologisk implementering.
Teknologiske foranstaltninger udgør det fjerde emne. Beskriv først, hvilke systemer og informationer et teknisk tiltag skal dække. Derefter kan det undersøges, om konfiguration, driftsprocedure og overvågning passer sammen. En aktiveret funktion er et udgangspunkt for kontrollen og ikke et fuldstændigt udsagn om effektivitet.
Forbind valget med risikoen.
Anvendelsen bør tage udgangspunkt i beskyttelsesbehovet og risiciene i den betragtede drift. Som praktisk anbefaling bør De dokumentere, hvilken beslutning en foranstaltning understøtter, og hvilke afhængigheder der er medregnet. Dermed forbliver det sporbart, hvorfor to tjenester kan have brug for forskellig implementering, selv om samme retningslinje bruges som orientering.
Brug attributter til forståelige visninger.
Ifølge redaktørartiklen giver attributter forskellige visninger af foranstaltningerne. Brug eksempelvis sådanne visninger i koordineringen mellem sikkerhedsorganisationen og driftsansvarlige. Sorteringen letter navigationen; den erstatter hverken beslutningen om anvendelse eller bevis for, at en foranstaltning er gennemført eller effektiv.
Anvend ISO 27002 i driften.
Vælg et overskueligt omfang.
Afgræns som praktisk begyndelse en tjeneste med dens informationer, systemer og deltagere, så den senere implementering får en kontrollerbar grænse.
Dokumenter beslutningsgrundlaget.
Beskriv relevante risici og forretningsmæssige, juridiske eller kontraktlige krav, før De inddrager passende retningslinjer i arbejdet med foranstaltninger.
Læs retningslinjerne i sammenhæng.
Undersøg i den lovligt anskaffede standard, hvilke råd der passer til Deres miljø, og behandl ikke en kort beskrivelse som en fuldstændig implementeringsbestemmelse.
Fastlæg implementering og ansvar.
Aftal, hvad der skal ske i den betragtede drift, hvem der er ansvarlig, og hvilken eksisterende proces arbejdet knytter sig til.
Efterprøv udsagnet med beviser.
Vælg registreringer eller test, der faktisk omfatter det beskrevne område, og dokumenter resultat, kontroldato samt nødvendige opfølgende foranstaltninger.
Vurder ændringer på ny.
Fastlæg passende anledninger til gennemgang, såsom en ændret tjeneste eller hændelse, og opdater implementeringsbeslutningen med de berørte ansvarlige.
Dokumentation uden ISO 27002-certifikat.
Ifølge ISO’s produkt-FAQ er en selvstændig certificering efter ISO 27002 ikke mulig. Har De brug for certificeret ISMS-dokumentation, skal De se på ISO 27001 og det konkrete certificeringsomfang. ISO udfører ikke selv sådanne certificeringer; ifølge ISO’s certificeringsside varetager eksterne organer dette. Derfor er der heller ingen generel certifikatgyldighed for implementeringsvejledningen.
Til eget dokumentationsarbejde anbefales et klart udsagn: Hvilken implementering skal dokumenteres i hvilket miljø? En procedure kan beskrive den planlagte arbejdsform, mens en registrering viser gennemførelsen. En test undersøger derimod en konkret forventning. Disse bevisformer kan supplere hinanden, men besvarer forskellige spørgsmål.
Undersøg dokumentationens oprindelse, periode og omfang før videregivelse. En aktuel indstilling dokumenterer ikke historisk drift; en stikprøve forklarer ikke automatisk alle undtagelser. Dokumenter begrænset dækning og det efterfølgende arbejde frem for at udlede et fuldstændigt sikkerheds- eller overensstemmelsestilsagn af et enkelt dokument.
Forstå andre rammeværker.
ISO 27001 beskriver krav til ISMS’et, mens ISO 27002 understøtter arbejdet med foranstaltninger i det. IT-Grundschutz giver sin egen BSI-metode med standarder og kompendium. Lovpligterne for omfattede enheder efter BSIG skal fortsat undersøges særskilt; brugen af en implementeringsvejledning bekræfter ikke NIS2-overensstemmelse.
I Secani.
Secani indeholder et redaktionelt arbejdskatalog til ISO/IEC 27002:2022 med profiloplysninger om blandt andet cloud-tjenester, softwareudvikling og mobilt arbejde. Kataloget bruges til struktureret arbejde og er ikke en officiel standardtekst. Beslutninger om anvendelighed kræver en begrundelse; det redaktionelle hjælpemiddel erstatter ikke en selvstændig faglig undersøgelse.
Begynd med en sporbar implementering.
Vælg en tjeneste, hvis ansvarlige og afhængigheder er kendte. Dokumenter en konkret sikkerhedsbeslutning med anledning, planlagt implementering og en passende kontrolvej. Afklar derefter med de involverede, om beskrivelsen svarer til det arbejde, der faktisk udføres. Først da kan fremgangsmåden meningsfuldt overføres til flere tjenester.
Ofte stillede spørgsmål.
Nej. ISO 27002 er en implementeringsvejledning; ISO 27001 er den relevante kravstandard for certificeret dokumentation af ledelsessystemet for informationssikkerhed.
Nej. Den konkrete implementering afhænger af det betragtede miljøs kontekst og risici; en fælles reference betyder ikke en identisk driftsmodel for alle organisationer.
Nej. Attributter giver forskellige visninger af foranstaltninger og hjælper med at strukturere dem; de erstatter hverken en anvendelighedsbeslutning eller implementeringsdokumentation.
Nej. En forståelig politik eller driftsprocedure kan understøtte flere foranstaltninger, hvis den enkelte implementering og ansvarsfordeling forbliver sporbar.
Arbejd sporbart med foranstaltninger.
Strukturer risici, ansvar og dokumentation i Secani.
Denne side forklarer implementeringsvejledningen. De lovligt anskaffede standarder og den konkrete anvendelseskontekst er afgørende.