17. Feb 2022

Startschuss für die neue Norm

ISO 27002:2022 – was Sie jetzt wissen müssen!

Die ISO 27002:2022 wurde revidiert und mit Mitte Februar veröffentlicht. Wir haben die wesentlichen Änderungen und Neuerungen kompakt für Sie zusammengefasst.

Wofür steht die ISO 27002?

Die internationale Norm ISO/IEC 27002 „Informationssicherheit, Cybersicherheit und Datenschutz – Informationssicherheitsmaßnahmen“ definiert allgemeine Sicherheitsmaßnahmen und unterstützt bei der Erfüllung der Anforderungen aus dem Annex A der ISO/IEC 27001. Die ISO 27002 ist dabei der detaillierte und präzise Zusatz, kann jedoch nicht zertifiziert werden, da es sich um keine Managementnorm handelt. Der Leitfaden wird somit bei der Implementierung von Informationssicherheitsmanagementsystemen (ISMS) zu Rate gezogen.

Die Vorgängerversion ISO 27002:2013 wurde vor mehr als neun Jahren publiziert, Ende 2021 erschien nach vorhergehenden Abstimmungen innerhalb der ISO-Normungsgremien sowie zahlreichen Überarbeitungen der Final Draft International Standard (DFIS) der ISO 27002.

Welche Änderungen treten nun ein?

Die ISO 27002:2022 soll künftig über 93 Sicherheitsmaßnahmen (sog. „Controls“) verfügen – unterteilt in vier Kategorien:

  • organisatorische (37),
  • personelle (8),
  • physische (14) und
  • technologische Kontrollen (34).

Jede Steuerungsmaßahme wird wiederum mit Attributen verknüpft. Somit wird eine standardisierte Möglichkeit geboten, die Sicherheitsmaßnahmen zu sortieren bzw. filtern. Diese Attribute sind:

  • Control types: Die „Kontrolltypen“ sind ein Attribut, mit dem Steuerungsmaßnahmen unter dem Punkt betrachtet werden können, wann und wie die Kontrolle das Risiko im Hinblick auf das Auftreten eines Informationssicherheitsvorfalls verändert. Die Attributwerte können präventiv, reaktiv oder korrektiv
  • Information security properties: Die „Merkmale der Informationssicherheit“ sind ein Attribut, mit dem Maßnahmen nach den Gesichtspunkten Vertraulichkeit, Integrität oder Verfügbarkeit betrachtet werden können.
  • Cybersecurity concepts: Die Attribute der „Cybersicherheitskonzepte“ werden klassifiziert in Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Die Attribute sollen somit in dem in ISO/IEC TS 27100 beschriebenen Rahmenwerk definiert werden.
  • Operational capabilities
  • Security domains

In der Vorgängerversion, der ISO 27002:2013, waren dies noch 114 Maßnahmen, kategorisiert in 11 Bereiche. Von diesen ist eine einzige Maßnahme weggefallen (Removal of assets), andere Maßnahmen wurden – u. a. zum Zweck der besseren Übersichtlichkeit – hingegen zu inhaltlich ähnlichen Themen zusammengefasst.

Neben der strukturellen Überarbeitung, wurden inhaltlich mehrere Kontrollziele ergänzt, darunter Bereiche wie

  • Threat intelligence,
  • Information security for use of cloud services,
  • ICT Readiness for Business Continuity,
  • Physical security monitoring,
  • Configuration management, um nur einige zu nennen.

Gleichzeitig erfordert die grundlegende, strukturelle Änderung der ISO 27002 umgekehrt auch eine Überarbeitung der ISO 27001 – im Speziellen des Anhang A – um beide Standards in Einklang zu halten. Somit ist in Kürze, mittels beschleunigtem Verfahren, auch eine neue Version der ISO 27001 zu erwarten, um die Zeit der Abweichungen beider Normen möglichst kurz zu halten.

Unternehmen, die bereits ein ISMS nach ISO 27001 implementiert haben, sollten sich somit mit den neuen Kontrollzielen vertraut machen und diese nach einer Übergangsfrist von bis zu zwei Jahren (ab dem Monat der tatsächlichen Veröffentlichung) umsetzen, wie in einem entsprechenden Entwurf des entsprechenden Mandatory Document des International Accreditation Forum (IAF) zu lesen ist. Organisationen, die mit dem Gedanken einer Zertifizierung nach ISO 27001 spielen, empfehlen wir, dieses ISMS bereits nach der neuen Struktur der ISO 27002:2022 zu erarbeiten.

Wie wir Sie beim Umstieg auf ISO 27002:2022 unterstützen!

Als akkreditierte Zertifizierungsorganisation im Bereich Informationssicherheit ist CIS bereits seit Beginn an aktiv in Arbeitsgruppen und somit an der Revision der Norm beteiligt. Wir arbeiten darüber hinaus zurzeit intensiv an der Umsetzung sowie Implementierung der neuen Version in sämtliche Services (Zertifizierung, Audits und Trainings).

In den kommenden Monaten planen wir ein eintägiges Update-Seminar, in welchem die Neuerungen und Änderungen kompakt für alle interessierten Personen und Unternehmen dargelegt werden. Wir halten Sie selbstverständlich mittels Website und Newsletter über kommende Termine am Laufenden!

Sie haben Fragen?

Kontaktieren Sie uns hier, wir freuen uns von Ihnen hören zu dürfen!

Update-Training ISO 27002:2022

Diese eintägige Ausbildung gibt Ihnen einen Überblick über die Änderungen in der ISO/IEC 27002 und den sich daraus ergebenden Auswirkungen.
Mehr erfahren:

Mehr erfahren

Ihre Ansprechpartner

Team

Portraitfoto Robert Jamnik

Herr Robert Jamnik

Intern & Service Lead | Head of Audit Services, Lead Auditor ISO 20000, ISO 27001 und NISV-Überprüfungen

Weitere News & Events

Immer topaktuell informiert

11. Jun 2024

Aufnahme von Aspekten des Klimawandels in die Normen für Management­systeme

Neuerungen und wie es weiter geht

Mehr erfahren
22. Mai 2024

Wie lernen Sie am Besten?

Welche Ansprüche stellen Sie an eine Weiterbildung?

Mehr erfahren
22. Mai 2024

Der neue Online-Kurs für Information Security Manager*innen ist da!

Flexibel bleiben und online lernen

Mehr erfahren
22. Mai 2024

Neu: Kompaktkurs Datenschutz

Stärken Sie Ihre Position als Expert*in in nur einem Tag!

Mehr erfahren
15. Mai 2024

TISAX® deep dive: die 12 Prüfziele (Labels)

Sicherheit in der Automobilindustrie

Mehr erfahren
13. Mai 2024

TISAX® deep dive: die drei Assessment-Levels

Sicherheit in der Automobilindustrie

Mehr erfahren
30. Apr 2024

TISAX®: Informations­sicherheit in der Automobilbranche

Auf der Überholspur

Mehr erfahren
29. Apr 2024

Erfolgreiche erste Prüfung nach dem Netz- und Informations­systemsicherheits­gesetz (NIS-Gesetz)

Success Story am Beispiel der KAGes.m.b.H.

Mehr erfahren
04. Apr 2024

Exklusives Führungskräfte­training für NIS-2

Machen Sie Ihr Unternehmen fit für die neue Richtlinie

Mehr erfahren
03. Apr 2024

CIS tritt der Austrian Data Center Association (ADCA) bei

Neue Kooperation

Mehr erfahren
01. Apr 2024

Smarte Compliance für Rechenzentren

NISG und EN 50600

Mehr erfahren
28. Mrz 2024

ISO 42001 – die neue Norm für Künstliche Intelligenz

Weltweit erster Standard für KI

Mehr erfahren
+43 1 532 98 90