Beide Normen liegen in der Fassung von 2022 vor: ISO/IEC 27001:2022 und ISO/IEC 27002:2022.
Was ist der Unterschied zwischen ISO 27001 und ISO 27002?
ISO/IEC 27001 stellt die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) und ist die Norm, gegen die zertifiziert wird. ISO/IEC 27002 ist ein Leitfaden, der die Maßnahmen aus Anhang A der ISO/IEC 27001 mit Zweck und Umsetzungshinweisen beschreibt. Die eine Norm legt fest, was eine Organisation nachweisen muss, die andere erklärt, wie eine einzelne Maßnahme gemeint ist.
Die Verwechslung kostet in beide Richtungen. Wer nur ISO/IEC 27002 beschafft, hat keinen Prüfgegenstand für eine Zertifizierung. Wer nur ISO/IEC 27001 beschafft, findet in Anhang A eine knappe Referenzliste und muss den Umfang jeder Maßnahme selbst auslegen.
Wie hängen Anhang A und ISO 27002 zusammen?
Anhang A der ISO/IEC 27001 und ISO/IEC 27002 enthalten dieselben 93 Maßnahmen unter derselben Nummer. Sie verteilen sich auf vier Themenfelder:
| Themenfeld | Maßnahmen | Nummern |
|---|---|---|
| Organisatorisch | 37 | 5.1 bis 5.37 |
| Personenbezogen | 8 | 6.1 bis 6.8 |
| Physisch | 14 | 7.1 bis 7.14 |
| Technologisch | 34 | 8.1 bis 8.34 |
Anhang A ist Teil der Anforderungsnorm und der Bezugspunkt für das Statement of Applicability. Darin begründet die Organisation Anwendung und Ausschluss jeder Maßnahme. ISO/IEC 27002 ist ein eigenständiges Dokument und dient im Audit der Auslegung, nicht als Prüfmaßstab.
Gegen welche Norm prüft die Zertifizierungsstelle?
Eine akkreditierte Zertifizierungsstelle prüft gegen die Kapitel 4 bis 10 der ISO/IEC 27001 und gegen die im Statement of Applicability festgelegten Maßnahmen. In Deutschland akkreditiert die DAkkS die Zertifizierungsstellen. Für sie gelten ISO/IEC 17021-1 und ISMS-spezifisch ISO/IEC 27006-1:2024.
Der Zertifizierungszyklus umfasst im Regelfall drei Jahre mit jährlichen Überwachungsaudits. Den Ablauf von der Vorbereitung bis zur Rezertifizierung beschreibt der Leitfaden zur ISO-27001-Zertifizierung.
Im Direktvergleich
| Kriterium | ISO/IEC 27001 | ISO/IEC 27002 |
|---|---|---|
| Was sie beschreibt | Legt fest, welche Anforderungen ein Informationssicherheits-Managementsystem erfüllen muss. Sie beschreibt, was eine Organisation nachweisen muss. | Beschreibt die Informationssicherheitsmaßnahmen im Detail, mit Zweck und Hinweisen zur Umsetzung. Sie zeigt, wie eine einzelne Maßnahme gemeint ist. |
| Rechtscharakter und Verbindlichkeit | Anforderungsnorm. Die Kapitel 4 bis 10 sind verbindlich, wenn Konformität beansprucht wird. Rechtlich verpflichtend ist die Norm nicht; verbindlich wird sie über Verträge, Ausschreibungen oder eine Entscheidung der Leitung. | Leitfaden mit Empfehlungen. Da die Norm keine Anforderungen stellt, lässt sich ihr gegenüber keine Konformität beanspruchen. |
| Zertifizierbarkeit | Zertifizierbar. Die Zertifizierung erfolgt über eine akkreditierte Zertifizierungsstelle; in Deutschland akkreditiert die DAkkS. | Nicht zertifizierbar, da die Norm keine Anforderungen an ein Managementsystem enthält. |
| Was abgedeckt ist | Deckt das gesamte Managementsystem ab, in den Kapiteln 4 bis 10. | Deckt die Ebene der Maßnahmen ab. Die Managementsystem-Anforderungen der Kapitel 4 bis 10 stehen nur in ISO/IEC 27001. |
| Struktur | Kapitel 4 bis 10 nach der einheitlichen Struktur für ISO-Managementsystemnormen, ergänzt um Anhang A mit 93 Referenzmaßnahmen in Kurzform. | Vier Themenfelder mit 93 Maßnahmen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische. |
| Detailtiefe zu den Maßnahmen | Anhang A führt die Maßnahmen als knappe Referenzliste ohne Umsetzungshinweise. | Beschreibt dieselben Maßnahmen mit Zweck und Umsetzungshinweisen. |
| Nummerierung und Zitierweise | Anhang A nummeriert die Maßnahmen je Themenfeld von 5.1 bis 8.34. Unter dieser Nummer erscheint eine Maßnahme im Statement of Applicability, im Auditbericht und in Kundenfragebögen. | ISO/IEC 27002:2022 verwendet dieselbe Nummerierung. Eine Nummer bezeichnet in beiden Dokumenten dieselbe Maßnahme. |
| Attribute als zweites Ordnungsprinzip | Anhang A ordnet die Maßnahmen nach den vier Themenfeldern. | Versieht jede Maßnahme zusätzlich mit Attributen und einer Zweckangabe; beides kam mit der Fassung 2022 hinzu. Über die Attribute lässt sich der Katalog nach anderen Kriterien als dem Themenfeld sortieren. |
| Wie sie zusammenarbeiten | Setzt den Rahmen und verweist über Anhang A auf den Maßnahmenkatalog. Welchen Umfang eine Maßnahme hat, steht erst in den Erläuterungen der ISO/IEC 27002. | Erläutert Anhang A der ISO/IEC 27001. Sie ersetzt die Anforderungsnorm nicht, sondern ergänzt sie um die inhaltliche Auslegung. |
| Rolle im Audit | Prüfgrundlage. Auditoren prüfen gegen die Anforderungen der Kapitel 4 bis 10 und gegen die im Statement of Applicability festgelegten Maßnahmen. | Keine Prüfgrundlage; sie dient der Auslegung einer Maßnahme, ist aber selbst nicht Gegenstand der Prüfung. |
| Was nachzuweisen ist | Verlangt dokumentierte Information, darunter Leitlinie, Geltungsbereich, Risikobewertung und Risikobehandlung, Statement of Applicability, interne Audits und Managementbewertung. | Verlangt keine Nachweise. Nachweise entstehen erst dort, wo eine Maßnahme im Rahmen der ISO/IEC 27001 umgesetzt und belegt wird. |
| Aufwand | Der Aufwand liegt im Aufbau und Betrieb des Managementsystems: Rollen, Prozesse, Dokumentation und der wiederkehrende Auditzyklus. | Kein eigener Aufwand für ein Managementsystem. Zeit entsteht beim Lesen, Auslegen und Übersetzen der Maßnahmen auf die eigene Organisation. |
| Wer sie braucht | Organisationen, die ein Zertifikat benötigen oder gegenüber Kunden, Versicherern und Aufsichten ein belastbares ISMS nachweisen wollen. | Alle, die Maßnahmen konkret umsetzen: Sicherheitsverantwortliche, IT-Betrieb und Fachbereiche. Auch ohne Zertifizierungsabsicht als strukturierter Katalog nutzbar. |
| Stellung in der 27000-Reihe | Die Anforderungsnorm für das ISMS und die Norm, gegen die Organisationen ihr ISMS zertifizieren lassen. Weitere Normen der Reihe mit Anforderungen betreffen andere Gegenstände, etwa ISO/IEC 27701 das Datenschutz-Managementsystem. | Einer von mehreren Leitfäden der Reihe, neben ISO/IEC 27003 zur Umsetzung des ISMS, ISO/IEC 27004 zu Überwachung und Messung und ISO/IEC 27005 zum Management von Informationssicherheitsrisiken. |
| Fassung und Bezug | ISO/IEC 27001:2022 mit dem Amendment 1:2024 zum Klimawandel, das ISO kostenfrei abgibt. Die Norm selbst ist kostenpflichtig. | ISO/IEC 27002:2022. Ebenfalls kostenpflichtig. |
Unser Fazit
Wer ein Zertifikat braucht, braucht ISO/IEC 27001; wer Maßnahmen ausformulieren und im Audit begründen muss, braucht zusätzlich ISO/IEC 27002. Wer nur einen international abgestimmten Maßnahmenkatalog sucht und kein Managementsystem aufbaut, kommt mit ISO/IEC 27002 allein aus. Das gilt etwa für eine interne Sicherheitsrichtlinie oder ein Raster zur Bewertung eines Dienstleisters.
In welcher Reihenfolge setzen Sie beide Normen ein?
Die Reihenfolge entscheidet darüber, ob sich das ISMS im Audit begründen lässt:
- Legen Sie den Geltungsbereich nach ISO/IEC 27001 fest.
- Bewerten Sie die Risiken im Geltungsbereich.
- Leiten Sie die Maßnahmen aus der Risikobehandlung ab.
- Gleichen Sie das Ergebnis mit Anhang A ab (Abschnitt 6.1.3).
- Schlagen Sie in ISO/IEC 27002 nach, wie jede gewählte Maßnahme gemeint ist.
- Halten Sie Auswahl und Begründung im Statement of Applicability fest.
Wer stattdessen die 93 Maßnahmen von oben nach unten abarbeitet, produziert Dokumentation. Warum das ISMS gerade diese Gestalt hat, kann er im Audit dann nicht begründen.
Welche weiteren Normen gehören zur ISO-27000-Reihe?
Zur Reihe gehören neben 27001 und 27002 eine kostenfreie Übersichtsnorm, weitere Leitfäden, zwei Cloud-Normen und eigene Anforderungsnormen für Datenschutz-Managementsysteme und Zertifizierungsstellen.
| Norm | Gegenstand | Verhältnis zur ISO/IEC 27001 |
|---|---|---|
| ISO/IEC 27000:2026 | Überblick über die Reihe, ihre Konzepte und die Beziehungen zwischen den Normen; bei ISO kostenfrei | ordnet ISO/IEC 27001 in die Reihe ein |
| ISO/IEC 27001:2022 | Anforderungen an das ISMS mit Anhang A | die Norm, gegen die das ISMS zertifiziert wird |
| ISO/IEC 27002:2022 | Beschreibung der 93 Maßnahmen mit Zweck und Umsetzungshinweisen | erläutert Anhang A |
| ISO/IEC 27003:2017 | Erläuterungen und Leitlinien zur ISO/IEC 27001 | begleitet die Kapitel 4 bis 10 |
| ISO/IEC 27004:2016 | Leitfaden zu Überwachung, Messung, Analyse und Bewertung | unterfüttert Abschnitt 9.1 |
| ISO/IEC 27005:2022 | Leitfaden zum Management von Informationssicherheitsrisiken | unterstützt Risikobeurteilung und Risikobehandlung |
| ISO/IEC 27017:2026 und 27018:2025 | Maßnahmen und Leitlinien für Cloud-Dienste und für personenbezogene Daten in öffentlichen Clouds | bauen auf dem Katalog der ISO/IEC 27002 auf |
| ISO/IEC 27701:2025 | Anforderungen und Leitlinien für ein Datenschutz-Managementsystem (PIMS) | eigene Anforderungen für den Umgang mit personenbezogenen Daten |
| ISO/IEC 27006-1:2024 | Anforderungen an Stellen, die ISMS zertifizieren | richtet sich an die Zertifizierungsstelle, nicht an Ihre Organisation |
Beide Normen am selben Bestand: Rizzqo
Rizzqo führt ISO/IEC 27001 und ISO/IEC 27002 als zwei Anforderungskataloge auf demselben Asset-Bestand. ISO/IEC 27001 deckt das Managementsystem ab, ISO/IEC 27002 die Maßnahmen. Die Anforderungen erscheinen an den Systemen, Diensten, Standorten und Dienstleistern, denen sie über Kategorie und Unterkategorie zugeordnet sind. Ändert sich die Einstufung eines Objekts, passt sich seine Anforderungsliste an.
Der Verantwortliche eines Objekts beantwortet die Anforderungen beider Ebenen in einem Durchgang und hinterlegt die Belege an derselben Stelle. Jede Antwort wird mit Name und Zeitstempel finalisiert. Die Abdeckung rechnet Rizzqo aus den finalisierten Antworten, und eine offene Anforderung bleibt als offener Punkt am Objekt stehen. Maßnahmen zur Schließung laufen als Aufgaben, die sich in beide Richtungen mit Jira synchronisieren lassen.