ISO 27002.
Die Leitlinien für Informationssicherheitsmaßnahmen: was ISO 27002 ordnet, wie Sie sie anwenden und welche Nachweise daraus entstehen.
- ISO/IEC 27002:2022
- Von Jonathan Bezdek
- Stand: 22.10.2026
- Fachlich freigegeben von Jonathan Bezdek am 22.10.2026
- Lesezeit: 7 Min.
Kurzantwort.
ISO 27002 ist die internationale Umsetzungshilfe für Informationssicherheitsmaßnahmen. ISO/IEC 27002:2022 ordnet ihre Controls in organisatorische, personenbezogene, physische und technologische Themen und erläutert deren Anwendung. Organisationen nutzen die Leitlinien passend zu ihren Risiken und ihrem Betrieb. Eine eigenständige ISO-27002-Zertifizierung gibt es nicht; zertifizierbare Anforderungen an ein ISMS enthält ISO 27001.
ISO 27002:2022 als Umsetzungshilfe.
ISO 27002 erläutert Sicherheitsmaßnahmen, während ISO 27001 Anforderungen an ein Informationssicherheitsmanagementsystem, kurz ISMS, beschreibt. Die englische Bezeichnung Controls meint Maßnahmen zur Beeinflussung von Sicherheitsrisiken. Dazu gehören organisatorische Abläufe ebenso wie technische oder physische Vorkehrungen. Ein Maßnahmenkatalog beschreibt deshalb weder eine reine Produktliste noch allein die Arbeit einer IT-Abteilung.
Die öffentliche Herausgeberseite führt ISO/IEC 27002:2022 als dritte Ausgabe vom Februar 2022 und nennt eine korrigierte englische Fassung vom März 2022. Der Editorinnenartikel im SC-27-Journal, Ausgabe Dezember 2022, erläutert auf den Seiten 13 bis 15 die Struktur mit 93 Maßnahmen in vier Themen und die ergänzenden Attribute. Diese Orientierung ersetzt nicht die Arbeit mit der rechtmäßig bezogenen Norm.
Die Leitlinien werden im Kontext der eigenen Organisation angewendet. Die IEC-Produktbeschreibung nennt sowohl die Nutzung innerhalb eines ISMS als auch die Entwicklung organisationsbezogener Sicherheitsleitlinien. Ein übernommener Katalog allein legt noch nicht fest, welche Umgebung geschützt wird, wer eine Maßnahme betreibt oder ob sie tatsächlich funktioniert.
Für wen ISO 27002 geeignet ist.
ISO 27002 richtet sich laut öffentlicher ISO-Beschreibung an Organisationen unterschiedlicher Größen und Branchen. Sie kann bei der Maßnahmenarbeit eines bestehenden ISMS unterstützen oder als Orientierung für Sicherheitsarbeit dienen. Eine angestrebte Zertifizierung ist dafür keine Voraussetzung. Vor der Einführung sollte klar sein, ob eine gemeinsame Fachsprache, eine bessere Umsetzung oder ein Nachweis gegenüber einem bestimmten Empfänger gebraucht wird.
An der Anwendung sind regelmäßig mehrere Funktionen beteiligt. Als praktische Arbeitsaufteilung können Sicherheitsverantwortliche die Auswahl koordinieren, Dienstverantwortliche die betroffene Umgebung erklären und Fachbereiche die Umsetzung übernehmen. Einkauf, Personal, Gebäudebetrieb und Entwicklung werden einbezogen, soweit die konkrete Maßnahme ihre Prozesse berührt. Diese Aufteilung ist eine Empfehlung für die Organisation der Arbeit, keine allgemeingültige Rollenbesetzung aus der Norm.
ISO-27002-Controls als Arbeitsgrundlage.
Vier Themen strukturieren die Maßnahmen; Auswahl und Attribute helfen bei ihrer Anwendung. Die folgenden sechs Arbeitsbereiche verbinden diese Struktur mit praktischen Entscheidungen, ohne sechs offizielle Normkapitel oder eine vollständige Maßnahmenliste darzustellen.
Organisatorische Verantwortung.
Organisatorische Maßnahmen bilden ein eigenes Thema. Klären Sie für die praktische Umsetzung, an welcher Stelle eine Entscheidung getroffen, genehmigt und überprüft wird. Eine verständliche Regelung verbindet den geschützten Dienst mit der zuständigen Funktion; die bloße Existenz eines Richtliniendokuments erklärt diesen Zusammenhang noch nicht.
Menschen und Arbeitsabläufe.
Personenbezogene Maßnahmen betrachten Sicherheit im Zusammenhang mit Menschen und ihrer Arbeit. Prüfen Sie bei der Anwendung, welche Ereignisse im Arbeitsalltag eine Handlung auslösen und wer sie übernimmt. Eine Schulung und ein Rollenwechsel benötigen unterschiedliche Umsetzungen, auch wenn beide durch denselben Fachbereich begleitet werden.
Physische Umgebung.
Physische Maßnahmen betreffen die Umgebung, in der Informationen und unterstützende Mittel genutzt werden. Unterscheiden Sie bei der praktischen Abgrenzung eigene Standorte und Leistungen von Dienstleistern. Ein Nachweis über das Rechenzentrum beantwortet beispielsweise nicht automatisch die Fragen zum Umgang mit Geräten im eigenen Büro.
Technologische Umsetzung.
Technologische Maßnahmen bilden das vierte Thema. Beschreiben Sie für die Anwendung zuerst, welche Systeme und Informationen eine technische Vorkehrung abdecken soll. Danach lässt sich prüfen, ob Konfiguration, Betriebsablauf und Überwachung zusammenpassen. Eine aktivierte Funktion ist ein Ausgangspunkt für die Prüfung, keine vollständige Wirksamkeitsaussage.
Auswahl mit dem Risiko verbinden.
Die Anwendung sollte vom Schutzbedarf und den Risiken des betrachteten Betriebs ausgehen. Halten Sie als praktische Empfehlung fest, welche Entscheidung eine Maßnahme trägt und welche Abhängigkeiten berücksichtigt wurden. So bleibt nachvollziehbar, weshalb zwei Dienste unterschiedliche Umsetzungen benötigen können, obwohl dieselbe Leitlinie als Orientierung dient.
Attribute für verständliche Sichten nutzen.
Attribute ermöglichen nach dem Editorinnenartikel unterschiedliche Sichten auf den Maßnahmenbestand. Nutzen Sie solche Sichten beispielsweise für die Abstimmung zwischen Sicherheitsorganisation und Betriebsverantwortlichen. Die Sortierung erleichtert die Navigation; sie ersetzt weder die Entscheidung zur Anwendung noch einen Beleg dafür, dass eine Maßnahme umgesetzt oder wirksam ist.
ISO 27002 im Betrieb anwenden.
Einen überschaubaren Umfang wählen.
Grenzen Sie als praktischen Einstieg einen Dienst mit seinen Informationen, Systemen und Beteiligten ab, damit die spätere Umsetzung eine überprüfbare Grenze hat.
Die Entscheidungsgrundlage festhalten.
Beschreiben Sie relevante Risiken und geschäftliche, rechtliche oder vertragliche Anforderungen, bevor Sie passende Leitlinien für die Maßnahmenarbeit heranziehen.
Die Leitlinien im Zusammenhang lesen.
Prüfen Sie anhand der rechtmäßig bezogenen Norm, welche Hinweise für Ihre Umgebung passen, und behandeln Sie eine Kurzbeschreibung nicht als vollständige Umsetzungsvorgabe.
Umsetzung und Verantwortung bestimmen.
Vereinbaren Sie, was im betrachteten Betrieb geschehen soll, wer dafür verantwortlich ist und an welchen bestehenden Prozess die Arbeit anschließt.
Die Aussage mit Belegen prüfen.
Wählen Sie Aufzeichnungen oder Tests, die den beschriebenen Umfang tatsächlich erfassen, und halten Sie Ergebnis, Prüfdatum sowie notwendige Folgemaßnahmen fest.
Veränderungen erneut bewerten.
Legen Sie passende Überprüfungsanlässe fest, etwa einen geänderten Dienst oder einen Vorfall, und aktualisieren Sie die Umsetzungsentscheidung mit den betroffenen Verantwortlichen.
Nachweis ohne ISO-27002-Zertifikat.
Eine eigenständige Zertifizierung nach ISO 27002 ist laut ISO-Produkt-FAQ nicht vorgesehen. Wer einen zertifizierten ISMS-Nachweis benötigt, betrachtet ISO 27001 und den konkreten Zertifizierungsumfang. ISO selbst führt solche Zertifizierungen nicht durch; nach der ISO-Seite zur Zertifizierung übernehmen dies externe Stellen. Für die Umsetzungshilfe gibt es daher auch keine allgemeine Zertifikatslaufzeit.
Für die eigene Nachweisarbeit empfiehlt sich eine klare Aussage: Welche Umsetzung soll in welcher Umgebung belegt werden? Ein Verfahren kann die geplante Arbeitsweise beschreiben, während eine Aufzeichnung ihre Durchführung zeigt. Ein Test untersucht wiederum eine konkrete Erwartung. Diese Belegarten können einander ergänzen, beantworten aber unterschiedliche Fragen.
Prüfen Sie vor der Weitergabe eines Nachweises dessen Herkunft, Zeitraum und Umfang. Eine aktuelle Einstellung belegt keinen historischen Betrieb; eine Stichprobe erklärt nicht automatisch jede Ausnahme. Dokumentieren Sie begrenzte Abdeckung und daraus folgende Arbeit, statt aus einer einzelnen Unterlage eine vollständige Sicherheits- oder Konformitätszusage abzuleiten.
Andere Frameworks einordnen.
ISO 27001 beschreibt Anforderungen an das ISMS, ISO 27002 unterstützt die Maßnahmenarbeit darin. IT-Grundschutz liefert eine eigene BSI-Methodik mit Standards und Kompendium. Die gesetzlichen Pflichten betroffener Einrichtungen nach dem BSIG bleiben gesondert zu prüfen; die Nutzung einer Umsetzungshilfe bestätigt keine NIS2-Konformität.
In Secani.
Secani enthält einen redaktionellen Arbeitskatalog zu ISO/IEC 27002:2022 mit Profilangaben unter anderem zu Cloud-Diensten, Softwareentwicklung und mobilem Arbeiten. Der Katalog dient der strukturierten Bearbeitung und ist kein amtlicher Normtext. Anwendbarkeitsentscheidungen brauchen eine Begründung; die redaktionelle Arbeitshilfe ersetzt keine eigenständige fachliche Prüfung.
Mit einer nachvollziehbaren Umsetzung beginnen.
Wählen Sie einen Dienst, dessen Verantwortliche und Abhängigkeiten bekannt sind. Halten Sie eine konkrete Sicherheitsentscheidung mit ihrem Anlass, der vorgesehenen Umsetzung und einem passenden Prüfweg fest. Klären Sie anschließend mit den Beteiligten, ob diese Beschreibung der tatsächlich gelebten Arbeit entspricht. Erst dann lässt sich der Ansatz sinnvoll auf weitere Dienste übertragen.
Häufige Fragen.
Nein. ISO 27002 ist eine Umsetzungshilfe; für einen zertifizierten Nachweis des Informationssicherheitsmanagementsystems ist ISO 27001 die einschlägige Anforderungsnorm.
Nein. Die konkrete Umsetzung richtet sich nach Kontext und Risiken der betrachteten Umgebung; eine gemeinsame Referenz bedeutet kein identisches Betriebsmodell für alle Organisationen.
Nein. Attribute ermöglichen unterschiedliche Sichten auf Maßnahmen und helfen beim Ordnen; sie ersetzen keine Anwendbarkeitsentscheidung und keinen Umsetzungsnachweis.
Nein. Eine verständliche Richtlinie oder ein betrieblicher Ablauf kann mehrere Maßnahmen unterstützen, wenn die jeweilige Umsetzung und Verantwortung nachvollziehbar bleiben.
Maßnahmen nachvollziehbar bearbeiten.
Ordnen Sie Risiken, Verantwortung und Nachweise in Secani.
Diese Seite ordnet die Umsetzungshilfe ein. Maßgeblich sind die rechtmäßig bezogenen Normen und der konkrete Anwendungskontext.