ISO 27002.
De richtlijnen voor informatiebeveiligingsmaatregelen: wat ISO 27002 ordent, hoe u de norm toepast en welk bewijsmateriaal daaruit voortkomt.
- ISO/IEC 27002:2022
- Door Jonathan Bezdek
- Stand: 22-10-2026
- Leestijd: 7 min.
Kort antwoord.
ISO 27002 is de internationale implementatieleidraad voor informatiebeveiligingsmaatregelen. ISO/IEC 27002:2022 ordent de beheersmaatregelen in organisatorische, mensgerichte, fysieke en technologische thema’s en licht de toepassing toe. Organisaties gebruiken de richtlijnen afgestemd op hun risico’s en bedrijfsvoering. Een zelfstandige ISO 27002-certificering bestaat niet; certificeerbare eisen aan een ISMS staan in ISO 27001.
ISO 27002:2022 als implementatieleidraad.
ISO 27002 licht beveiligingsmaatregelen toe, terwijl ISO 27001 eisen aan een managementsysteem voor informatiebeveiliging, kortweg ISMS, beschrijft. De Engelse term Controls betekent maatregelen om beveiligingsrisico’s te beïnvloeden. Daaronder vallen organisatorische procedures, maar ook technische en fysieke voorzieningen. Een maatregelencatalogus beschrijft daarom meer dan een productlijst of het werk van alleen een IT-afdeling.
De openbare uitgeverspagina vermeldt ISO/IEC 27002:2022 als derde uitgave van februari 2022 en noemt een gecorrigeerde Engelse versie van maart 2022. Het artikel van de redacteur in het SC-27-Journal, editie december 2022, licht op pagina’s 13 tot en met 15 de structuur met 93 maatregelen in vier thema’s en de aanvullende attributen toe. Deze oriëntatie vervangt het werken met een rechtmatig verkregen norm niet.
De richtlijnen worden toegepast in de context van de eigen organisatie. De IEC-productbeschrijving noemt zowel gebruik binnen een ISMS als het ontwikkelen van organisatiespecifieke beveiligingsrichtlijnen. Alleen een overgenomen catalogus bepaalt nog niet welke omgeving wordt beschermd, wie een maatregel uitvoert of of die daadwerkelijk werkt.
Voor wie ISO 27002 geschikt is.
Volgens de openbare ISO-beschrijving richt ISO 27002 zich op organisaties van verschillende groottes en uit verschillende sectoren. De norm kan het werken aan maatregelen binnen een bestaand ISMS ondersteunen of als oriëntatie voor beveiligingswerk dienen. Het nastreven van certificering is daarvoor geen voorwaarde. Vóór invoering moet duidelijk zijn of een gemeenschappelijke vaktaal, betere implementatie of bewijs tegenover een bepaalde ontvanger nodig is.
Bij toepassing zijn doorgaans meerdere functies betrokken. Als praktische taakverdeling kunnen beveiligingsverantwoordelijken de selectie coördineren, dienstverantwoordelijken de betrokken omgeving uitleggen en vakafdelingen de implementatie uitvoeren. Inkoop, personeelszaken, gebouwbeheer en ontwikkeling worden betrokken voor zover de concrete maatregel hun processen raakt. Deze verdeling is een aanbeveling voor de werkorganisatie, geen algemeen geldende rolverdeling uit de norm.
ISO 27002-maatregelen als werkbasis.
Vier thema’s structureren de maatregelen; selectie en attributen helpen bij de toepassing. De volgende zes werkgebieden verbinden deze structuur met praktische beslissingen, zonder zes officiële normhoofdstukken of een volledige maatregelenlijst te vormen.
Organisatorische verantwoordelijkheid.
Organisatorische maatregelen vormen een eigen thema. Bepaal voor de praktische implementatie waar een beslissing wordt genomen, goedgekeurd en getoetst. Een begrijpelijke regeling verbindt de beschermde dienst met de bevoegde functie; alleen het bestaan van een beleidsdocument verklaart die samenhang nog niet.
Mensen en werkprocessen.
Mensgerichte maatregelen bekijken beveiliging in samenhang met mensen en hun werk. Toets bij de toepassing welke gebeurtenissen in het dagelijkse werk een handeling activeren en wie die uitvoert. Een opleiding en een rolwisseling vereisen verschillende implementaties, ook wanneer dezelfde afdeling beide begeleidt.
Fysieke omgeving.
Fysieke maatregelen betreffen de omgeving waarin informatie en ondersteunende middelen worden gebruikt. Maak bij de praktische afbakening onderscheid tussen eigen locaties en prestaties van dienstverleners. Bewijs over het datacenter beantwoordt bijvoorbeeld niet automatisch vragen over de omgang met apparaten in het eigen kantoor.
Technologische implementatie.
Technologische maatregelen vormen het vierde thema. Beschrijf voor de toepassing eerst welke systemen en informatie een technische voorziening moet dekken. Daarna kan worden getoetst of configuratie, beheerproces en monitoring op elkaar aansluiten. Een ingeschakelde functie is een uitgangspunt voor toetsing, geen volledige uitspraak over doeltreffendheid.
Selectie verbinden met het risico.
De toepassing moet uitgaan van de beschermingsbehoefte en risico’s van de onderzochte bedrijfsvoering. Leg als praktische aanbeveling vast welke beslissing een maatregel ondersteunt en welke afhankelijkheden zijn meegenomen. Zo blijft navolgbaar waarom twee diensten verschillende implementaties nodig kunnen hebben, ook al dient dezelfde richtlijn als oriëntatie.
Attributen gebruiken voor begrijpelijke weergaven.
Volgens het artikel van de redacteur maken attributen verschillende weergaven van het maatregelenbestand mogelijk. Gebruik zulke weergaven bijvoorbeeld voor de afstemming tussen de beveiligingsorganisatie en operationeel verantwoordelijken. Ordening maakt navigatie eenvoudiger; zij vervangt noch de toepassingsbeslissing, noch bewijs dat een maatregel is geïmplementeerd of doeltreffend is.
ISO 27002 in de bedrijfsvoering toepassen.
Een overzichtelijke scope kiezen.
Baken als praktische eerste stap een dienst met de bijbehorende informatie, systemen en betrokkenen af, zodat de latere implementatie een controleerbare grens heeft.
De beslissingsgrondslag vastleggen.
Beschrijf relevante risico’s en zakelijke, wettelijke of contractuele eisen voordat u passende richtlijnen voor het werken aan maatregelen gebruikt.
De richtlijnen in samenhang lezen.
Toets aan de hand van de rechtmatig verkregen norm welke aanwijzingen bij uw omgeving passen en behandel een korte beschrijving niet als volledig implementatievoorschrift.
Implementatie en verantwoordelijkheid bepalen.
Spreek af wat er in de onderzochte bedrijfsvoering moet gebeuren, wie daarvoor verantwoordelijk is en op welk bestaand proces het werk aansluit.
De uitspraak toetsen met bewijsmateriaal.
Kies registraties of tests die de beschreven scope daadwerkelijk dekken en leg resultaat, toetsdatum en noodzakelijke vervolgmaatregelen vast.
Veranderingen opnieuw beoordelen.
Bepaal passende aanleidingen voor herbeoordeling, zoals een gewijzigde dienst of een incident, en actualiseer de implementatiebeslissing met de betrokken verantwoordelijken.
Bewijsvoering zonder ISO 27002-certificaat.
Volgens de ISO-product-FAQ is zelfstandige certificering volgens ISO 27002 niet voorzien. Wie gecertificeerd ISMS-bewijs nodig heeft, bekijkt ISO 27001 en de concrete certificeringsscope. ISO zelf voert zulke certificeringen niet uit; volgens de ISO-pagina over certificering doen externe instellingen dit. Voor de implementatieleidraad bestaat daarom ook geen algemene certificaatlooptijd.
Voor de eigen bewijsvoering is een duidelijke uitspraak aan te raden: welke implementatie moet in welke omgeving worden aangetoond? Een procedure kan de geplande werkwijze beschrijven, terwijl een registratie de uitvoering ervan laat zien. Een test onderzoekt weer een concrete verwachting. Deze bewijssoorten kunnen elkaar aanvullen, maar beantwoorden verschillende vragen.
Controleer vóór het delen van bewijs de herkomst, periode en scope. Een actuele instelling toont geen historische werking aan; een steekproef verklaart niet automatisch elke uitzondering. Documenteer beperkte dekking en daaruit volgend werk, in plaats van uit één document een volledige beveiligings- of conformiteitstoezegging af te leiden.
Andere frameworks duiden.
ISO 27001 beschrijft eisen aan het ISMS; ISO 27002 ondersteunt het werken aan maatregelen daarbinnen. IT-Grundschutz biedt een eigen BSI-methodiek met standaarden en compendium. De wettelijke verplichtingen van instellingen die onder het BSIG vallen, moeten afzonderlijk worden getoetst; het gebruik van een implementatieleidraad bevestigt geen NIS2-conformiteit.
In Secani.
Secani bevat een redactionele werkcatalogus voor ISO/IEC 27002:2022 met profielgegevens over onder meer clouddiensten, softwareontwikkeling en mobiel werken. De catalogus dient voor gestructureerde behandeling en is geen officiële normtekst. Toepasselijkheidsbeslissingen hebben een onderbouwing nodig; het redactionele hulpmiddel vervangt geen zelfstandige deskundige toetsing.
Begin met een navolgbare implementatie.
Kies een dienst waarvan de verantwoordelijken en afhankelijkheden bekend zijn. Leg een concrete beveiligingsbeslissing vast met aanleiding, beoogde implementatie en passend toetsingstraject. Bepaal vervolgens met de betrokkenen of deze beschrijving overeenkomt met het werk in de praktijk. Pas daarna kan de aanpak zinvol naar andere diensten worden uitgebreid.
Veelgestelde vragen.
Nee. ISO 27002 is een implementatieleidraad; voor gecertificeerd bewijs van het managementsysteem voor informatiebeveiliging is ISO 27001 de toepasselijke eisennorm.
Nee. De concrete implementatie hangt af van context en risico’s van de onderzochte omgeving; een gemeenschappelijke referentie betekent geen identiek bedrijfsmodel voor alle organisaties.
Nee. Attributen maken verschillende weergaven van maatregelen mogelijk en helpen bij het ordenen; ze vervangen geen toepasselijkheidsbeslissing en geen implementatiebewijs.
Nee. Een begrijpelijke richtlijn of operationele procedure kan meerdere maatregelen ondersteunen wanneer de afzonderlijke implementatie en verantwoordelijkheid navolgbaar blijven.
Maatregelen navolgbaar behandelen.
Orden risico’s, verantwoordelijkheid en bewijsmateriaal in Secani.
Deze pagina duidt de implementatieleidraad. De rechtmatig verkregen normen en de concrete toepassingscontext zijn bepalend.