Wenn Ihr Unternehmen Kundendaten erfasst und über Informationssicherheits-Managementsysteme (ISMS) verfügt, sind Sie möglicherweise auf die Begriffe „ISO 27001-Zertifizierung“ oder „ISO 27002“ gestoßen.
Der Aufbau eines ISMS nach der ISO 27001 ist ein wesentlicher Schritt für die Minimierung der Risiken für Unternehmen, deren kritischen Unternehmensdaten zum Ziel von Angreifern werden können. Sie vereint die Ziele der ISO 27001 und die ergänzende Norm ISO 27002,.
Dieser Artikel befasst sich mit den Unterschieden zwischen ISO 27001 und ISO 27002. Außerdem wird erläutert, wie sie zur Verwaltung eines erfolgreichen ISMS eingesetzt werden können.
In diesem Beitrag
- Überblick: ISO 27001-Zertifizierung im Vergleich zu ISO 27002
- Was ist die ISO 27001?
- Was ist die ISO 27002?
- Was sind die wichtigsten Unterschiede zwischen ISO 27001 und der ISO 27002?
- In welchem Zusammenhang stehen die ISO 27001 und die ISO 27002?
- Wann sollten Sie die jeweiligen Standards verwenden?
Überblick: ISO 27001-Zertifizierung im Vergleich zu ISO 27002
- Die ISO 27001 ist ein anerkannter Standard für das ISMS eines Unternehmens. Sie beschreibt die gesamte Vorgehensweise, angefangen bei der Festlegung des Geltungsbereichs über die Ausarbeitung von Regeln bis hin zur Schulung der Mitarbeitenden.
- Die ISO 27002 bietet umfassende Informationen darüber, wie Sie Ihr ISMS optimal aufbauen könnten nach den Controls des ISO 27001 Anhang A. Sie beschreibt Maßnahmen (Engl. controls) des Iso 27001 Anhang A, die umgesetzt werden müssen, um nach ISO 27001 zertifiziert zu werden.
Was ist die ISO 27001?
Die ISO 27001 ist ein internationaler Sicherheitsstandard, der die Besonderheiten und Best Practices für das ISMS eines Unternehmens umreißt. In der Regel handelt es sich um eine Checkliste mit allen Punkten, die zur Einhaltung der Vorschriften erforderlich sind. Die ISO 27001 gilt für Unternehmen aller Branchen und Größen, einschließlich öffentlicher und privater Unternehmen, Regierungsbehörden und gemeinnütziger Organisationen. Weitere Informationen zur Einhaltung der ISO 27001 finden Sie in unserem Leitfaden zur ISO 27001.
Was ist die ISO 27002?
Die ISO 27002 ist eng mit der Norm ISO 27001 verknüpft. Sie enthält Referenzregeln für Informationssicherheit, Cybersicherheit, Datenschutz und Implementierungsunterstützung. Sie basiert auf weltweit anerkannten Best Practices.
Kurz gesagt: Sie enthält weitergehende Beschreibungen der Anhang A Controls der ISO 27001 zur Einrichtung eines ISO 27001-zertifizierten ISMS. Die ISO 27002 hat keine eigenen Zertifizierungskriterien. Vielmehr erfüllt Ihr Unternehmen die Vorgaben der ISO 27001-Zertifizierung, wenn es die in der ISO 27001 Anhang A enthaltenen 114 Maßnahmen für die Informationssicherheit und physische Sicherheit sowie das Cyber- und Datenschutzmanagement umsetzt.
Obwohl sie zur selben Norm gehören, gibt es zwischen der ISO 27001 und der ISO 27002 wesentliche Unterschiede, die Sie beachten müssen.
Was sind die wichtigsten Unterschiede zwischen der ISO 27001 und der ISO 27002?
Die ISO 27001 und die ISO 27002 unterscheiden sich in Bezug auf Zertifizierung, und in drei wesentlichen Punkten.
Details
Die ISO 27001 ist hinsichtlich der Umsetzungsmaßnahmen - nicht so detailliert wie die ISO 27002. Die ISO 27001 liefert einen allgemeinen Überblick über die Komponenten eines ISMS. Andere ISO-Standards enthalten ausführlichere Anleitungen. Einer dieser Standards ist die ISO 27002. Beispiele für andere solche ISO-Standards sind die ISO 27003 für ISMS-Implementierungsempfehlungen und die ISO 27004 für die ISMS-Evaluierungsüberwachung und -messung.
Zertifizierung
Sie können Ihr Unternehmen gemäß ISO 27001 zertifizieren lassen, jedoch nicht nach ISO 27002. Die ISO 27001 ist ein Standard, der eine vollständige Liste von Compliance-Kriterien enthält, während die ISO 27002 nur einen Teil des ISMS berücksichtigt.
Anwendbarkeit auf Ihr Unternehmen
Beim Einrichten eines ISMS müssen Sie beachten, dass nicht alle Maßnahmen zur Informationssicherheit für Ihr Unternehmen gelten müssen. Die ISO 27001 sieht die Durchführung einer Risikobewertung für Ihr Unternehmen vor, um potenzielle Risiken im Zusammenhang mit der Informationssicherheit zu identifizieren und zu priorisieren. In der ISO 27002 gibt es dafür keine Vorgaben. Daher lassen sich die umzusetzenden Maßnahmen nur schwer bestimmen, wenn Sie sich lediglich auf die ISO 27002-Norm beziehen.
Jetzt, da Sie die Unterschiede zwischen den einzelnen Standards kennen, können wir uns ansehen, inwiefern diese Unterschiede zusammenhängen, um sicherzustellen, dass Ihr ISMS den Standards entspricht.
In welchem Zusammenhang stehen die ISO 27001 und die ISO 27002?
Die ISO 27001-Norm gibt Ziele vor, die ein Unternehmen erfüllen muss, um nach ISO 27001 zertifiziert zu werden. Um diese Ziele zu erreichen, beschreibt die ISO 27002 die ISO 27001 Anhang A Maßnahmen detaillierter, die innerhalb des Unternehmens implementiert werden müssen.
Wann sollten Sie die jeweiligen Standards verwenden?
Alle Normen der ISO 27000-Serie haben einen besonderen Schwerpunkt: Die ISO 27001 dient als Standard für die Informationssicherheit in Ihrem Unternehmen und bietet ein Rahmenkonzept. Die ISO 27002 ist für die Umsetzung von Maßnahmen konzipiert. Die ISO 27005 gilt als Richtlinie für die Risikobewertung und Risikobehandlung.
Obwohl die ISO 27002 die Einzelheiten enthält, die für die Umsetzung der in Anhang A der ISO 27001 definierten Maßnahmen erforderlich sind, ohne das Management-Framework, das durch die ISO 27001 bereitgestellt wird.
Man sollte also die ISO 27001 und die ISO 27002 nicht getrennt voneinander betrachten. Wenn Unternehmen die ISO 27001-Zertifizierung vorantreiben möchten, müssen sie verstehen, dass beide Standards miteinander verbunden sind.
Die Zertifizierung nach ISO 27001 bietet Ihrem Unternehmen viele Vorteile – von der Stärkung des Kundenvertrauens bis hin zur Steigerung der Produktivität Ihres Unternehmens.
Wir von DataGuard führen Sie durch den Zertifizierungsprozess und stellen sicher, dass Ihr ISMS ordnungsgemäß gepflegt und rechtlich abgesichert ist. In einem ersten und kostenlosen Beratungsgespräch gehen wir konkreter auf Ihre individuellen Bedürfnisse ein.
*Bitte beachten Sie, dass sich dieser Beitrag noch nicht auf die neue Version der ISO/IEC 27001:2022 bezieht.


Die Vorteile einer Zertifizierung nach ISO 27001
Noch nicht überzeugt von der ISO 27001? Verschaffen Sie sich einen Überblick der wichtigsten Vorteile!