ISO 27001 und ISO 27002 sind zwei verschiedene Normen, die eng zusammengeh\u00f6ren, aber unterschiedliche Aufgaben erf\u00fcllen. ISO 27001 ist die zertifizierbare Norm, die die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) festlegt. ISO 27002 dagegen ist ein Leitfaden, der erkl\u00e4rt, wie man diese Anforderungen in der Praxis umsetzt. Die folgenden Abschnitte beleuchten die wichtigsten Unterschiede und kl\u00e4ren, welche Norm f\u00fcr Ihr Unternehmen relevant ist.<\/p>\n
ISO 27002 dient als praktischer Umsetzungsleitfaden zu ISO 27001. W\u00e4hrend ISO 27001 vorschreibt, was<\/em> ein Unternehmen tun muss, erkl\u00e4rt ISO 27002, wie<\/em> es das tun kann. Die beiden Normen erg\u00e4nzen sich: ISO 27001 definiert die Anforderungen, ISO 27002 liefert die konkreten Ma\u00dfnahmenempfehlungen dazu.<\/p>\n Stellen Sie sich ISO 27001 als die Blaupause vor und ISO 27002 als das Handbuch, das Ihnen zeigt, wie Sie diese Blaupause in die Realit\u00e4t umsetzen. In Anhang A von ISO 27001 sind alle Sicherheitsma\u00dfnahmen (sogenannte Controls) aufgelistet. ISO 27002 nimmt genau diese Controls und erkl\u00e4rt f\u00fcr jede einzelne: Was ist der Zweck? Was sollte man beachten? Welche Umsetzungshinweise gibt es?<\/p>\n F\u00fcr Unternehmen, die eine ISO 27001-Zertifizierung<\/a> anstreben, ist ISO 27002 deshalb ein wertvoller Begleiter, aber kein Pflichtdokument. Man kann sich nach ISO 27001 zertifizieren lassen, ohne ISO 27002 je in der Hand gehabt zu haben. Wer jedoch verstehen m\u00f6chte, wie er die geforderten Ma\u00dfnahmen sinnvoll ausw\u00e4hlt und begr\u00fcndet, findet in ISO 27002 n\u00fctzliche Orientierung.<\/p>\n ISO 27002 enth\u00e4lt ausf\u00fchrliche Erl\u00e4uterungen zu den 93 Sicherheitsma\u00dfnahmen, die in ISO 27001 Anhang A nur knapp aufgef\u00fchrt sind. F\u00fcr jede Ma\u00dfnahme beschreibt ISO 27002 den Zweck, Umsetzungshinweise und weitere Informationen zur praktischen Anwendung. Das ist der wesentliche Mehrwert gegen\u00fcber ISO 27001.<\/p>\n Konkret finden Sie in ISO 27002 unter anderem:<\/p>\n ISO 27001 selbst enth\u00e4lt diese Detailtiefe nicht. Die Norm listet die Ma\u00dfnahmen auf, verlangt aber von jedem Unternehmen, selbst zu begr\u00fcnden, welche Ma\u00dfnahmen relevant sind und welche nicht. Genau f\u00fcr diese Begr\u00fcndung, die sogenannte Statement of Applicability, ist ISO 27002 eine wichtige Hilfe.<\/p>\n Nein, eine Zertifizierung nach ISO 27002 ist nicht m\u00f6glich. ISO 27002 ist kein Anforderungsstandard, sondern ein Leitfaden. Zertifizierungen werden ausschlie\u00dflich gegen ISO 27001 ausgestellt, weil nur diese Norm konkrete, pr\u00fcfbare Anforderungen enth\u00e4lt.<\/p>\n Das ist ein wichtiger Punkt, der in der Praxis h\u00e4ufig f\u00fcr Verwirrung sorgt. Manche Unternehmen lesen ISO 27002 intensiv, weil sie glauben, das sei die Zertifizierungsnorm. Das stimmt nicht. Wenn Sie ein offizielles Zertifikat erwerben m\u00f6chten, das Sie gegen\u00fcber Kunden, Partnern oder Beh\u00f6rden nachweisen k\u00f6nnen, dann ist ISO 27001 die richtige Grundlage.<\/p>\n Die Kosten und den Aufwand einer Zertifizierung finden Sie in unserem \u00dcberblick zu den ISO 27001-Zertifizierungskosten<\/a>. ISO 27002 unterst\u00fctzt Sie dabei, das ISMS gut aufzubauen, aber der Auditor pr\u00fcft am Ende immer gegen die Anforderungen von ISO 27001.<\/p>\n Kleine Unternehmen sollten zuerst ISO 27001 lesen. Diese Norm zeigt Ihnen, was verlangt wird, und gibt Ihnen den Rahmen vor. ISO 27002 ist ein n\u00fctzliches Nachschlagewerk, aber ohne das Verst\u00e4ndnis von ISO 27001 fehlt der Kontext, um ISO 27002 sinnvoll einzusetzen.<\/p>\n Der praktische Einstieg sieht f\u00fcr kleine Unternehmen in der Regel so aus:<\/p>\nWas enth\u00e4lt ISO 27002 konkret, was ISO 27001 nicht hat?<\/h2>\n
\n
Kann man sich nach ISO 27002 zertifizieren lassen?<\/h2>\n
Welche Norm sollte ein kleines Unternehmen zuerst lesen?<\/h2>\n
\n