Die Frage nach dem Unterschied zwischen ISO/IEC 27001 und ISO/IEC 27002 stellt sich fast immer an derselben Stelle: Eine Ausschreibung, ein Kunde oder die eigene Geschäftsführung verlangt ein Zertifikat, und beim Blick in die Normenreihe stehen zwei Dokumente nebeneinander, die auf den ersten Blick dasselbe zu behandeln scheinen. Beide sprechen über 93 Maßnahmen, beide stammen aus dem Jahr 2022, beide tragen ähnlich klingende Titel.
Die Verwechslung ist folgenreich, weil sie in zwei Richtungen teuer wird. Wer nur ISO/IEC 27002 beschafft, hat einen ausführlichen Maßnahmenkatalog, aber keine Grundlage für eine Zertifizierung. Wer nur ISO/IEC 27001 beschafft, hat die verbindlichen Anforderungen, findet aber in Anhang A zu jeder Maßnahme lediglich einen kurzen Satz und muss deren Umfang selbst auslegen.
Die kurze Antwort: ISO/IEC 27001 ist die Anforderungsnorm für das Managementsystem und die einzige der beiden, gegen die zertifiziert wird. ISO/IEC 27002 ist der Leitfaden, der die Maßnahmen aus Anhang A ausführlich erklärt. Die beiden Normen stehen nicht in Konkurrenz zueinander, sondern in Arbeitsteilung.
Im Direktvergleich
| Kriterium | ISO/IEC 27001 | ISO/IEC 27002 |
|---|---|---|
| Was sie beschreibt | Legt die Anforderungen an Aufbau, Betrieb, Überwachung und Verbesserung eines Informationssicherheits-Managementsystems fest. Sie beschreibt, was eine Organisation nachweisen muss. | Beschreibt die Informationssicherheitsmaßnahmen im Detail – mit Zweck, Wirkungsweise und Hinweisen zur Umsetzung. Sie beschreibt, wie eine einzelne Maßnahme gemeint ist. |
| Rechtscharakter und Verbindlichkeit | Anforderungsnorm. Die Kapitel 4 bis 10 sind verbindlich, wenn Konformität beansprucht wird. Rechtlich verpflichtend ist die Norm nicht; verbindlich wird sie über Verträge, Ausschreibungen oder eine Entscheidung der Leitung. | Leitfaden mit Empfehlungen. Die Formulierungen sind bewusst nicht als Anforderungen gefasst. Eine Konformität gegenüber ISO/IEC 27002 lässt sich deshalb nicht beanspruchen. |
| Zertifizierbarkeit | Zertifizierbar. Die Zertifizierung erfolgt über eine akkreditierte Zertifizierungsstelle; in Deutschland akkreditiert die DAkkS. | Nicht zertifizierbar, da die Norm keine Anforderungen an ein Managementsystem enthält. Personenzertifikate zu ISO/IEC 27002 existieren, betreffen aber die Qualifikation Einzelner, nicht die Organisation. |
| Was abgedeckt ist | Deckt das gesamte Managementsystem ab: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. | Deckt ausschließlich die Ebene der Maßnahmen ab. Geltungsbereich, internes Audit oder Managementbewertung kommen in der Norm nicht vor. |
| Struktur | Kapitel 4 bis 10 nach der einheitlichen Struktur für ISO-Managementsystemnormen, ergänzt um Anhang A mit 93 Referenzmaßnahmen in Kurzform. | Vier Themenfelder mit 93 Maßnahmen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische. Ergänzt um ein Attributsystem zur alternativen Sortierung. |
| Detailtiefe bei den Maßnahmen | Anhang A nennt je Maßnahme nur den Titel und einen kurzen Satz. Der Anhang dient als Gegenprobe, ob eine notwendige Maßnahme übersehen wurde. | Beschreibt dieselben Maßnahmen über mehrere Absätze mit Zweck und Umsetzungshinweisen. Das ist die Fassung, mit der im Tagesgeschäft tatsächlich gearbeitet wird. |
| Wie sie zusammenarbeiten | Setzt den Rahmen und verweist über Anhang A auf den Maßnahmenkatalog. Ohne die Erläuterungen bleibt häufig offen, welcher Umfang mit einer Maßnahme gemeint ist. | Ist der Kommentar zu Anhang A der ISO/IEC 27001. Sie ersetzt die Anforderungsnorm nicht, sondern ergänzt sie um die inhaltliche Auslegung. |
| Rolle im Audit | Prüfgrundlage. Auditoren prüfen gegen die Anforderungen der Kapitel 4 bis 10 und gegen die im Statement of Applicability festgelegten Maßnahmen. | Keine Prüfgrundlage; sie dient der Auslegung einer Maßnahme, ist aber selbst nicht Gegenstand der Prüfung. |
| Was nachzuweisen ist | Verlangt dokumentierte Information, darunter Leitlinie, Geltungsbereich, Risikobewertung und Risikobehandlung, Statement of Applicability, interne Audits und Managementbewertung. | Verlangt keine Nachweise. Nachweise entstehen erst dort, wo eine Maßnahme im Rahmen der ISO/IEC 27001 umgesetzt und belegt wird. |
| Aufwand | Der Aufwand liegt im Aufbau und Betrieb des Managementsystems: Rollen, Prozesse, Dokumentation und der wiederkehrende Auditzyklus. | Kein eigener Aufwand für ein Managementsystem. Zeit entsteht beim Lesen, Auslegen und Übersetzen der Maßnahmen auf die eigene Organisation. |
| Wer sie braucht | Organisationen, die ein Zertifikat benötigen oder gegenüber Kunden, Versicherern und Aufsichten ein belastbares ISMS nachweisen wollen. | Alle, die Maßnahmen konkret umsetzen: Sicherheitsverantwortliche, IT-Betrieb und Fachbereiche. Auch ohne Zertifizierungsabsicht als strukturierter Katalog nutzbar. |
| Fassung und Bezug | Aktuelle Fassung ISO/IEC 27001:2022, ergänzt um das Amendment 1:2024 zur Berücksichtigung des Klimawandels. Kostenpflichtig über die Normungsinstitute zu beziehen. | Aktuelle Fassung ISO/IEC 27002:2022. Ebenfalls kostenpflichtig über die Normungsinstitute; in der Praxis wird sie meist gemeinsam mit ISO/IEC 27001 beschafft. |
Unser Fazit
Für eine Zertifizierung brauchen Sie ISO/IEC 27001. Es gibt keinen Weg, ein Zertifikat über ISO/IEC 27002 zu erlangen, weil diese Norm keine Anforderungen an ein Managementsystem stellt. Ohne Geltungsbereich, internes Audit und Managementbewertung fehlt schlicht der Gegenstand, den eine Zertifizierungsstelle prüfen könnte.
Für die tägliche Arbeit brauchen Sie in aller Regel beide. Anhang A der ISO/IEC 27001 ist bewusst knapp gehalten. Eine Maßnahme wie Konfigurationsmanagement lässt sich aus einem einzelnen Satz nicht sinnvoll in eine interne Regelung übersetzen. Genau dafür existiert ISO/IEC 27002: Sie liefert Zweck und Umsetzungshinweise und macht damit begründbar, warum Ihre Regelung so aussieht, wie sie aussieht.
Entscheidender als die Frage der Normenbeschaffung ist die Reihenfolge im Projekt. Bewährt hat sich: Geltungsbereich festlegen, Risiken bewerten, Maßnahmen aus der Risikobehandlung ableiten, anschließend Anhang A als Gegenprobe verwenden, in ISO/IEC 27002 nachschlagen, wie die jeweilige Maßnahme gemeint ist, und das Ergebnis im Statement of Applicability festhalten. Wer stattdessen die 93 Maßnahmen von oben nach unten abarbeitet, produziert Dokumentation, kann im Audit aber nicht begründen, warum das ISMS gerade diese Gestalt hat.
Es gibt einen legitimen Fall, in dem ISO/IEC 27002 allein genügt: Sie suchen einen strukturierten, international abgestimmten Maßnahmenkatalog, wollen aber kein Managementsystem aufbauen und keine Zertifizierung anstreben. Das kommt häufiger vor, als es die Zertifizierungsdebatte vermuten lässt, etwa als Referenz für eine interne Sicherheitsrichtlinie oder als Prüfraster für die Bewertung eines Dienstleisters.
Umgekehrt gilt: Wenn ein Kunde eine Zertifizierung nach ISO 27002 verlangt, ist damit fast immer ein Zertifikat nach ISO/IEC 27001 gemeint. Es lohnt sich, das früh im Gespräch zu klären, statt nach einem Nachweis zu suchen, den es nicht gibt.