Zwei Normen, ein Projekt

ISO 27001 oder 27002: Was du wirklich brauchst

Die eine Norm wird auditiert, die andere hilft beim Umsetzen. Wer das früh trennt, spart sich im Projekt viele Diskussionen über das falsche Dokument.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Seit 1997 am Markt Kleine Gruppen Präsenz und Live-Online Zertifizierte Trainer
Worum es geht

Das falsche Dokument bremst das Projekt aus

In vielen Projekten liegt zuerst 27002 auf dem Tisch, weil das Dokument dicker ist und konkreter klingt. Das Team liest sich in Maßnahmen ein, bevor der Geltungsbereich steht, und diskutiert Passwortregeln, während noch offen ist, welche Standorte und welche Dienstleister überhaupt dazugehören.

Der umgekehrte Fall ist genauso teuer. Wer nur 27001 kauft, hat für jede Maßnahme einen Zweizeiler und keine Vorstellung davon, was damit gemeint ist. Dann entstehen Richtlinien, die den Wortlaut des Anhangs abschreiben, ohne dass jemand im Betrieb etwas anders macht.

Im Audit fällt beides auf. Geprüft wird nicht, ob ein Dokument existiert, sondern ob die Entscheidung zu einer Maßnahme aus der Risikobehandlung folgt und ob es Nachweise aus dem laufenden Betrieb gibt.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der direkte Vergleich

Der direkte Vergleich

ISO/IEC 27001

die zertifizierbare Anforderungsnorm samt Maßnahmenliste im Anhang A

ISO/IEC 27002

der Leitfaden, der jede dieser Maßnahmen ausführlich erklärt

Wonach wird die Organisation im Audit geprüft?

ISO/IEC 27001

Die Anforderungen der Kapitel 4 bis 10 sind der Prüfgegenstand, das Zertifikat bezieht sich ausschließlich darauf.

ISO/IEC 27002

Der Leitfaden enthält keine Anforderungen und ist deshalb kein Auditgegenstand.

Woher bekommt das Team konkrete Umsetzungshinweise zu einer Maßnahme?

ISO/IEC 27001

Der Anhang A beschreibt jede Maßnahme in ein bis zwei Sätzen und nennt weder Varianten noch Stolperfallen.

ISO/IEC 27002

Zu jeder Maßnahme gibt es Zweck, Umsetzungshinweise und ergänzende Erläuterungen.

Was hilft beim Managementsystem selbst, also bei Führung, Kennzahlen und Bewertung?

ISO/IEC 27001

Genau diese Themen stehen in den Kapiteln 5, 9 und 10 und sind verbindlich formuliert.

ISO/IEC 27002

Der Leitfaden deckt ausschließlich die Maßnahmen ab und sagt zum Managementsystem nichts.

Wie gut lässt sich damit die Erklärung zur Anwendbarkeit füllen?

ISO/IEC 27001

Der Anhang A ist die Referenzliste, gegen die jede Entscheidung dokumentiert wird.

ISO/IEC 27002

Der Leitfaden liefert Formulierungshilfe für die Begründung, die Entscheidung nimmt er niemandem ab.

Was taugt als Grundlage für die Sensibilisierung im Team?

ISO/IEC 27001

Die Pflicht zur Sensibilisierung steht dort, Inhalte für eine Unterweisung findest du nicht.

ISO/IEC 27002

Die ausführlichen Beschreibungen lassen sich direkt in Regeln und Beispiele für den Arbeitsalltag übersetzen.

Was passt wann

Wenn du gerade den Geltungsbereich und die Lücken bestimmst
arbeite zuerst nur mit 27001 und lass 27002 im Schrank.
Wenn die Risikobehandlung steht und Maßnahmen gebaut werden
gib der Fachabteilung 27002 an die Hand, sonst entstehen Richtlinien aus Anhangstexten.
Wenn ein Audit ansteht
bereite die Nachweise zu den Anforderungen aus 27001 vor, denn nur die werden geprüft.

Sechs Stationen von der Lücke bis zum Zertifikat

  1. 01 Der Geltungsbereich wird festgelegt, dafür reicht 27001 allein.
  2. 02 Die Risikobeurteilung benennt, was tatsächlich schützenswert ist.
  3. 03 Die Risikobehandlung wählt Maßnahmen aus dem Anhang A aus.
  4. 04 Die Erklärung zur Anwendbarkeit begründet Auswahl und Ausschluss.
  5. 05 Beim Bauen der Maßnahmen liefert 27002 die Umsetzungshinweise.
  6. 06 Im Audit zählen Nachweise aus dem Betrieb, nicht der Wortlaut.
Was du mitnimmst

Was du nach dieser Seite auseinanderhältst

Der Unterschied zwischen den beiden Dokumenten ist kein akademisches Detail. Er entscheidet, wer wann was liest und welche Nachweise am Ende zählen.

Prüfgegenstand benennen

Du weißt, dass im Audit die Kapitel 4 bis 10 von 27001 geprüft werden und der Anhang A nur die Auswahl der Maßnahmen liefert.

Anhang A richtig lesen

Du erkennst, dass die Kurztexte im Anhang keine Umsetzungsanleitung sind, und holst dir die Ausführung aus 27002.

Ausschlüsse begründen

Du kannst in der Erklärung zur Anwendbarkeit sauber begründen, warum eine Maßnahme entfällt, ohne dabei auf den Aufwand zu verweisen.

Dokumente zeitlich einplanen

Du weißt, in welcher Projektphase welches Dokument gebraucht wird, und bindest die Fachabteilung erst dann ein, wenn 27002 wirklich hilft.

Attribute nutzen

Du filterst Maßnahmen über die Attribute in 27002 quer zur Nummerierung, etwa alle aufdeckenden Maßnahmen für eine Lagebesprechung.

Alte Nummern übersetzen

Du bringst Dokumente aus der Fassung von 2013 auf die heutige Nummerierung, bevor interne Verweise ins Leere zeigen.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

27001 beschreibt Pflichten, 27002 beschreibt Umsetzung

ISO/IEC 27001 ist in den Kapiteln 4 bis 10 nach derselben Grundstruktur aufgebaut wie ISO 9001 oder ISO/IEC 20000-1: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Diese Kapitel sind der eigentliche Prüfgegenstand im Audit, und sie sind verbindlich formuliert.

Der Anhang A nennt die Maßnahmen dagegen nur in Kurzform, meist in einem oder zwei Sätzen. Was eine Maßnahme bezweckt, welche Varianten es gibt und woran die Umsetzung typischerweise scheitert, steht dort nicht. Genau diese Lücke füllt ISO/IEC 27002 mit Zweck, Umsetzungshinweisen und ergänzenden Erläuterungen zu jeder einzelnen Maßnahme.

Seit der Fassung von 2022 passen beide Dokumente zusammen

Die Maßnahmen sind in vier Themenblöcke gegliedert: organisatorisch, personenbezogen, physisch und technologisch. Diese Gliederung findest du im Anhang A von 27001 und im Hauptteil von 27002 in derselben Reihenfolge und mit denselben Nummern, was das Arbeiten mit beiden Dokumenten nebeneinander deutlich einfacher macht als früher.

ISO/IEC 27002 versieht jede Maßnahme zusätzlich mit Attributen, etwa ob sie vorbeugend, aufdeckend oder korrigierend wirkt und welche Schutzziele betroffen sind. Damit lassen sich Maßnahmen quer zur Nummerierung filtern, zum Beispiel alle aufdeckenden Maßnahmen für eine Lagebesprechung. Wer noch Dokumente aus der Fassung von 2013 im Umlauf hat, braucht eine Zuordnung der alten zu den neuen Nummern, sonst zeigen interne Verweise ins Leere.

Die Erklärung zur Anwendbarkeit hängt allein an 27001

27001 verlangt eine Erklärung zur Anwendbarkeit, oft SoA abgekürzt. Darin steht für jede Maßnahme aus Anhang A, ob sie angewendet wird, warum, und im Fall eines Ausschlusses die Begründung. Dieses Dokument liegt im Audit früh auf dem Tisch, und es muss zur Risikobehandlung passen.

Aus 27002 lässt sich keine Erklärung zur Anwendbarkeit ableiten, weil dort keine Pflicht formuliert wird. Der Leitfaden hilft beim Ausformulieren der Begründung, ersetzt aber die Entscheidung nicht. Wer den Text von 27002 in die SoA kopiert, hat eine Beschreibung, aber keine Aussage über den eigenen Betrieb.

Welches Dokument in welcher Projektphase auf dem Tisch liegt

Beim Zuschnitt des Geltungsbereichs und beim ersten Abgleich der Lücken arbeitest du fast nur mit 27001, weil es um die Kapitel 4 bis 10 geht: Wer ist die Leitung, was gehört zum Geltungsbereich, welche interessierten Parteien stellen Anforderungen. In dieser Phase bringt 27002 wenig, weil der Leitfaden zu den Managementkapiteln nichts sagt.

Sobald die Risikobehandlung steht und einzelne Maßnahmen gebaut werden, dreht sich das Verhältnis um. Dann liest die Fachabteilung 27002, weil dort steht, was eine Maßnahme abdecken soll. Zum Audit hin kommt 27001 zurück auf den Tisch, ergänzt um die eigenen Nachweise: interne Audits, Managementbewertung, Kennzahlen und Korrekturmaßnahmen.

Dazu passende Kurse

Wenn du die Anforderungen lieber am Stück durchgehst, statt dich einzeln durch die Klauseln zu arbeiten, kannst du Kurse rund um ISO 27001 ansehen .

Weil mehrere Normen dieselbe Grundstruktur teilen, lohnt sich vor der Entscheidung ein Blick in die Übersicht über die Normenzertifizierungen .

Katharina war eine super Dozentin mit sehr viel Wissen. Sie ist auf alle Fragen eingegangen und konnte alle klären.
PRINCE2® 7 Kompaktkurs (Foundation & Practitioner)
Ein sehr anspruchsvolles Training welches von einer sehr kompetente Trainerin geleitet wurde.
PRINCE2® 7 Kompaktkurs (Foundation & Practitioner)
Alles in allem bin ich sehr zufrieden, da der Trainer sich viel Mühe gegeben hat und alles sehr gut erklären konnte.
ITIL® 4 Foundation (English)

Häufige Fragen

Kann man sich nach ISO/IEC 27002 zertifizieren lassen?
Nein. 27002 enthält Empfehlungen, keine Anforderungen, und ist deshalb kein Auditgegenstand. Zertifiziert wird die Organisation nach 27001. Wenn ein Anbieter mit einem Zertifikat nach 27002 wirbt, lohnt ein genauer Blick auf das Dokument.
Muss ich alle Maßnahmen aus Anhang A umsetzen?
Nein, aber jede Maßnahme muss betrachtet und die Entscheidung begründet werden. Ein Ausschluss ist zulässig, wenn er aus der Risikobehandlung folgt, etwa weil es keine eigene Softwareentwicklung gibt. Ein Ausschluss allein aus Aufwandsgründen hält im Audit selten stand.
Reicht es, nur 27001 zu kaufen?
Für das Zertifikat ja, die Liste aus Anhang A ist enthalten. Ohne 27002 muss dein Team allerdings selbst herausarbeiten, was hinter jeder Kurzbeschreibung steckt, und das kostet meist mehr Zeit, als das zweite Dokument kostet.
Gehören weitere Normen dazu?
Die 27000er-Reihe enthält zusätzliche Leitfäden, etwa zur Risikobeurteilung oder zu Cloud-Diensten. Für ein erstes Zertifikat brauchst du davon nichts. Interessant werden sie, wenn der Geltungsbereich wächst oder Kunden besondere Nachweise verlangen.
Persönlich für dich da

Deine Ansprechpartner

Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.

Yves Hoppe

Yves Hoppe

Weiterbildung & Beratung

Hilft dir, aus dem ITIL & PRINCE2-Programm den passenden Kurs für deinen Stand zu finden.

Norbert Jansen

Norbert Jansen

Beratung & Inhouse

Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.

Beide Dokumente einmal sauber auseinandersortieren

Wer einmal weiß, welche Anforderung in welchem Kapitel steht, sucht später nicht mehr im falschen Dokument.