ISO 27001 oder 27002: Was du wirklich brauchst
Die eine Norm wird auditiert, die andere hilft beim Umsetzen. Wer das früh trennt, spart sich im Projekt viele Diskussionen über das falsche Dokument.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Das falsche Dokument bremst das Projekt aus
In vielen Projekten liegt zuerst 27002 auf dem Tisch, weil das Dokument dicker ist und konkreter klingt. Das Team liest sich in Maßnahmen ein, bevor der Geltungsbereich steht, und diskutiert Passwortregeln, während noch offen ist, welche Standorte und welche Dienstleister überhaupt dazugehören.
Der umgekehrte Fall ist genauso teuer. Wer nur 27001 kauft, hat für jede Maßnahme einen Zweizeiler und keine Vorstellung davon, was damit gemeint ist. Dann entstehen Richtlinien, die den Wortlaut des Anhangs abschreiben, ohne dass jemand im Betrieb etwas anders macht.
Im Audit fällt beides auf. Geprüft wird nicht, ob ein Dokument existiert, sondern ob die Entscheidung zu einer Maßnahme aus der Risikobehandlung folgt und ob es Nachweise aus dem laufenden Betrieb gibt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der direkte Vergleich
ISO/IEC 27001
die zertifizierbare Anforderungsnorm samt Maßnahmenliste im Anhang A
ISO/IEC 27002
der Leitfaden, der jede dieser Maßnahmen ausführlich erklärt
| Entscheidungsfrage | ISO/IEC 27001 | ISO/IEC 27002 |
|---|---|---|
| Wonach wird die Organisation im Audit geprüft? | Stärke Die Anforderungen der Kapitel 4 bis 10 sind der Prüfgegenstand, das Zertifikat bezieht sich ausschließlich darauf. | Schwäche Der Leitfaden enthält keine Anforderungen und ist deshalb kein Auditgegenstand. |
| Woher bekommt das Team konkrete Umsetzungshinweise zu einer Maßnahme? | Schwäche Der Anhang A beschreibt jede Maßnahme in ein bis zwei Sätzen und nennt weder Varianten noch Stolperfallen. | Stärke Zu jeder Maßnahme gibt es Zweck, Umsetzungshinweise und ergänzende Erläuterungen. |
| Was hilft beim Managementsystem selbst, also bei Führung, Kennzahlen und Bewertung? | Stärke Genau diese Themen stehen in den Kapiteln 5, 9 und 10 und sind verbindlich formuliert. | Schwäche Der Leitfaden deckt ausschließlich die Maßnahmen ab und sagt zum Managementsystem nichts. |
| Wie gut lässt sich damit die Erklärung zur Anwendbarkeit füllen? | Stärke Der Anhang A ist die Referenzliste, gegen die jede Entscheidung dokumentiert wird. | Kommt darauf an Der Leitfaden liefert Formulierungshilfe für die Begründung, die Entscheidung nimmt er niemandem ab. |
| Was taugt als Grundlage für die Sensibilisierung im Team? | Kommt darauf an Die Pflicht zur Sensibilisierung steht dort, Inhalte für eine Unterweisung findest du nicht. | Stärke Die ausführlichen Beschreibungen lassen sich direkt in Regeln und Beispiele für den Arbeitsalltag übersetzen. |
Wonach wird die Organisation im Audit geprüft?
Die Anforderungen der Kapitel 4 bis 10 sind der Prüfgegenstand, das Zertifikat bezieht sich ausschließlich darauf.
Der Leitfaden enthält keine Anforderungen und ist deshalb kein Auditgegenstand.
Woher bekommt das Team konkrete Umsetzungshinweise zu einer Maßnahme?
Der Anhang A beschreibt jede Maßnahme in ein bis zwei Sätzen und nennt weder Varianten noch Stolperfallen.
Zu jeder Maßnahme gibt es Zweck, Umsetzungshinweise und ergänzende Erläuterungen.
Was hilft beim Managementsystem selbst, also bei Führung, Kennzahlen und Bewertung?
Genau diese Themen stehen in den Kapiteln 5, 9 und 10 und sind verbindlich formuliert.
Der Leitfaden deckt ausschließlich die Maßnahmen ab und sagt zum Managementsystem nichts.
Wie gut lässt sich damit die Erklärung zur Anwendbarkeit füllen?
Der Anhang A ist die Referenzliste, gegen die jede Entscheidung dokumentiert wird.
Der Leitfaden liefert Formulierungshilfe für die Begründung, die Entscheidung nimmt er niemandem ab.
Was taugt als Grundlage für die Sensibilisierung im Team?
Die Pflicht zur Sensibilisierung steht dort, Inhalte für eine Unterweisung findest du nicht.
Die ausführlichen Beschreibungen lassen sich direkt in Regeln und Beispiele für den Arbeitsalltag übersetzen.
Was passt wann
- Wenn du gerade den Geltungsbereich und die Lücken bestimmst
- arbeite zuerst nur mit 27001 und lass 27002 im Schrank.
- Wenn die Risikobehandlung steht und Maßnahmen gebaut werden
- gib der Fachabteilung 27002 an die Hand, sonst entstehen Richtlinien aus Anhangstexten.
- Wenn ein Audit ansteht
- bereite die Nachweise zu den Anforderungen aus 27001 vor, denn nur die werden geprüft.
Sechs Stationen von der Lücke bis zum Zertifikat
- 01 Der Geltungsbereich wird festgelegt, dafür reicht 27001 allein.
- 02 Die Risikobeurteilung benennt, was tatsächlich schützenswert ist.
- 03 Die Risikobehandlung wählt Maßnahmen aus dem Anhang A aus.
- 04 Die Erklärung zur Anwendbarkeit begründet Auswahl und Ausschluss.
- 05 Beim Bauen der Maßnahmen liefert 27002 die Umsetzungshinweise.
- 06 Im Audit zählen Nachweise aus dem Betrieb, nicht der Wortlaut.
Was du nach dieser Seite auseinanderhältst
Der Unterschied zwischen den beiden Dokumenten ist kein akademisches Detail. Er entscheidet, wer wann was liest und welche Nachweise am Ende zählen.
Prüfgegenstand benennen
Du weißt, dass im Audit die Kapitel 4 bis 10 von 27001 geprüft werden und der Anhang A nur die Auswahl der Maßnahmen liefert.
Anhang A richtig lesen
Du erkennst, dass die Kurztexte im Anhang keine Umsetzungsanleitung sind, und holst dir die Ausführung aus 27002.
Ausschlüsse begründen
Du kannst in der Erklärung zur Anwendbarkeit sauber begründen, warum eine Maßnahme entfällt, ohne dabei auf den Aufwand zu verweisen.
Dokumente zeitlich einplanen
Du weißt, in welcher Projektphase welches Dokument gebraucht wird, und bindest die Fachabteilung erst dann ein, wenn 27002 wirklich hilft.
Attribute nutzen
Du filterst Maßnahmen über die Attribute in 27002 quer zur Nummerierung, etwa alle aufdeckenden Maßnahmen für eine Lagebesprechung.
Alte Nummern übersetzen
Du bringst Dokumente aus der Fassung von 2013 auf die heutige Nummerierung, bevor interne Verweise ins Leere zeigen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
27001 beschreibt Pflichten, 27002 beschreibt Umsetzung
ISO/IEC 27001 ist in den Kapiteln 4 bis 10 nach derselben Grundstruktur aufgebaut wie ISO 9001 oder ISO/IEC 20000-1: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Diese Kapitel sind der eigentliche Prüfgegenstand im Audit, und sie sind verbindlich formuliert.
Der Anhang A nennt die Maßnahmen dagegen nur in Kurzform, meist in einem oder zwei Sätzen. Was eine Maßnahme bezweckt, welche Varianten es gibt und woran die Umsetzung typischerweise scheitert, steht dort nicht. Genau diese Lücke füllt ISO/IEC 27002 mit Zweck, Umsetzungshinweisen und ergänzenden Erläuterungen zu jeder einzelnen Maßnahme.
Seit der Fassung von 2022 passen beide Dokumente zusammen
Die Maßnahmen sind in vier Themenblöcke gegliedert: organisatorisch, personenbezogen, physisch und technologisch. Diese Gliederung findest du im Anhang A von 27001 und im Hauptteil von 27002 in derselben Reihenfolge und mit denselben Nummern, was das Arbeiten mit beiden Dokumenten nebeneinander deutlich einfacher macht als früher.
ISO/IEC 27002 versieht jede Maßnahme zusätzlich mit Attributen, etwa ob sie vorbeugend, aufdeckend oder korrigierend wirkt und welche Schutzziele betroffen sind. Damit lassen sich Maßnahmen quer zur Nummerierung filtern, zum Beispiel alle aufdeckenden Maßnahmen für eine Lagebesprechung. Wer noch Dokumente aus der Fassung von 2013 im Umlauf hat, braucht eine Zuordnung der alten zu den neuen Nummern, sonst zeigen interne Verweise ins Leere.
Die Erklärung zur Anwendbarkeit hängt allein an 27001
27001 verlangt eine Erklärung zur Anwendbarkeit, oft SoA abgekürzt. Darin steht für jede Maßnahme aus Anhang A, ob sie angewendet wird, warum, und im Fall eines Ausschlusses die Begründung. Dieses Dokument liegt im Audit früh auf dem Tisch, und es muss zur Risikobehandlung passen.
Aus 27002 lässt sich keine Erklärung zur Anwendbarkeit ableiten, weil dort keine Pflicht formuliert wird. Der Leitfaden hilft beim Ausformulieren der Begründung, ersetzt aber die Entscheidung nicht. Wer den Text von 27002 in die SoA kopiert, hat eine Beschreibung, aber keine Aussage über den eigenen Betrieb.
Welches Dokument in welcher Projektphase auf dem Tisch liegt
Beim Zuschnitt des Geltungsbereichs und beim ersten Abgleich der Lücken arbeitest du fast nur mit 27001, weil es um die Kapitel 4 bis 10 geht: Wer ist die Leitung, was gehört zum Geltungsbereich, welche interessierten Parteien stellen Anforderungen. In dieser Phase bringt 27002 wenig, weil der Leitfaden zu den Managementkapiteln nichts sagt.
Sobald die Risikobehandlung steht und einzelne Maßnahmen gebaut werden, dreht sich das Verhältnis um. Dann liest die Fachabteilung 27002, weil dort steht, was eine Maßnahme abdecken soll. Zum Audit hin kommt 27001 zurück auf den Tisch, ergänzt um die eigenen Nachweise: interne Audits, Managementbewertung, Kennzahlen und Korrekturmaßnahmen.
Dazu passende Kurse
Wenn du die Anforderungen lieber am Stück durchgehst, statt dich einzeln durch die Klauseln zu arbeiten, kannst du Kurse rund um ISO 27001 ansehen .
Weil mehrere Normen dieselbe Grundstruktur teilen, lohnt sich vor der Entscheidung ein Blick in die Übersicht über die Normenzertifizierungen .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Katharina war eine super Dozentin mit sehr viel Wissen. Sie ist auf alle Fragen eingegangen und konnte alle klären.
Ein sehr anspruchsvolles Training welches von einer sehr kompetente Trainerin geleitet wurde.
Alles in allem bin ich sehr zufrieden, da der Trainer sich viel Mühe gegeben hat und alles sehr gut erklären konnte.
Häufige Fragen
Kann man sich nach ISO/IEC 27002 zertifizieren lassen?
Muss ich alle Maßnahmen aus Anhang A umsetzen?
Reicht es, nur 27001 zu kaufen?
Gehören weitere Normen dazu?
Quellen
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem ITIL & PRINCE2-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Beide Dokumente einmal sauber auseinandersortieren
Wer einmal weiß, welche Anforderung in welchem Kapitel steht, sucht später nicht mehr im falschen Dokument.