Verschil ISO 27001 en ISO 27002 (en de andere 27000-normen)

ISO 27002 is de norm die uitlegt hoe u de beheersmaatregelen uit ISO 27001 invult. Hij stelt zelf geen eisen en u kunt er dus ook niet tegen gecertificeerd worden. Dat is meteen het belangrijkste verschil tussen de twee.

In de praktijk worden ze vaak door elkaar gehaald, en dat is begrijpelijk. Ze horen bij elkaar, ze delen dezelfde nummering en ze verschijnen samen in offertes en aanbestedingen. Toch doen ze iets heel anders.

Hieronder leest u wat elk van de twee doet, hoe u ze naast elkaar gebruikt, en welke andere normen uit de 27000-reeks in Nederland regelmatig langskomen.

ISO 27001 stelt de eisen, ISO 27002 geeft de toelichting

ISO 27001 beschrijft waaraan uw managementsysteem voor informatiebeveiliging moet voldoen. Dat zijn eisen: u moet een risicobeoordeling doen, u moet rollen beleggen, u moet de werking beoordelen. In Annex A staat daarnaast een lijst met beheersmaatregelen waaruit u kiest wat bij uw risico’s past.

Die lijst is kort. Per maatregel staat er weinig meer dan een titel en een zin. Dat is bewust, want de norm wil niet voorschrijven hoe u het oplost.

ISO 27002 vult dat gat. Daar staat per maatregel een uitgebreide toelichting: wat het doel is, waar u aan kunt denken bij de invulling, en welke overwegingen erbij horen. Het is een naslagwerk, geen eisenlijst.

De praktische regel: u certificeert tegen 27001 en u gebruikt 27002 om te bepalen hoe u een maatregel invult. Een auditor toetst nooit of u ISO 27002 heeft gevolgd. Hij toetst of uw maatregel doet wat u ervan claimt.

Waarom de nummering sinds de laatste herziening afwijkt

Wie een oudere en een nieuwere versie naast elkaar legt, ziet dat de maatregelen anders zijn genummerd en gegroepeerd. Dat komt door de herziening waarin de indeling grondig op de schop ging.

Waar de maatregelen eerst in veertien hoofdstukken stonden, zijn ze nu verdeeld over vier thema’s: organisatorisch, mensen, fysiek en technologisch. Het aantal maatregelen ging omlaag doordat overlappende maatregelen zijn samengevoegd, en er kwamen enkele nieuwe bij voor onderwerpen als cloudgebruik en dreigingsinformatie.

Werkt u met documentatie van voor de herziening, dan lopen uw verwijzingen dus niet meer synchroon. Dat is een van de vervelendste klussen bij een overstap: niet de inhoud, maar het gelijktrekken van alle verwijzingen in beleid, procedures en de verklaring van toepasselijkheid.

Hoe u de twee naast elkaar gebruikt

In een traject ziet dat er meestal zo uit. U bepaalt eerst uw risico’s. Op basis daarvan kiest u welke maatregelen uit Annex A van toepassing zijn. Dat is 27001-werk.

Daarna pakt u per gekozen maatregel de toelichting in 27002 erbij om te bepalen hoe u hem inricht. Wat past bij uw omvang, uw techniek en uw manier van werken? Dat is 27002-werk.

Tot slot legt u vast wat u heeft gekozen en waarom, en dat is weer 27001. De volledige set maatregelen met de vier thema’s staat in Annex A van ISO 27001.

De andere normen uit de 27000-reeks

De reeks bevat tientallen documenten, maar in de Nederlandse praktijk komt u er een handjevol tegen.

• ISO 27000. De begrippenlijst. Legt uit wat de reeks met termen als asset, risico en beheersmaatregel bedoelt. Gratis beschikbaar.
• ISO 27005. Richtlijn voor risicomanagement bij informatiebeveiliging. Handig als u zelf een methode moet kiezen. Zie wat ISO 27005 is.
• ISO 27017 en 27018. Aanvullende maatregelen voor clouddiensten en voor persoonsgegevens in de cloud. Relevant als u zelf clouddiensten levert.
• ISO 27701. De norm voor privacymanagement. Sinds de versie van 2025 ook zelfstandig te gebruiken, met of zonder ISO 27001.
• NEN 7510. De Nederlandse norm voor de zorg, gebouwd op ISO 27001 met eisen voor patiëntgegevens.

Alleen tegen 27001, 27701 en NEN 7510 kunt u zich laten certificeren. De rest zijn richtlijnen.

Moet u ISO 27002 aanschaffen?

Niet per se. De norm kost geld en is niet vrij beschikbaar, en of hij zich terugverdient hangt af van hoe u werkt.

Zet u het systeem grotendeels zelf op, dan is 27002 zijn geld waard. U heeft dan per maatregel een uitgangspunt en hoeft niet zelf te bedenken wat er redelijkerwijs bij hoort.

Laat u zich begeleiden, dan brengt uw adviseur die kennis mee. Veel organisaties schaffen 27001 wel aan en 27002 niet, en dat werkt prima. Wat u in beide gevallen nodig heeft is 27001 zelf, want dat is de norm waartegen u wordt getoetst.

Wanneer u welke pakt

In de dagelijkse praktijk gebruikt u de twee op verschillende momenten, en dat scheelt zoeken.

ISO 27001 pakt u erbij als de vraag gaat over wat er moet. Moet ik dit vastleggen? Wie moet dit goedkeuren? Hoe vaak moet dit worden herzien? Dat staat in de hoofdstukken 4 tot en met 10 en die zijn kort genoeg om echt te lezen.

ISO 27002 pakt u erbij als de vraag gaat over hoe. Wat hoort er redelijkerwijs in een wachtwoordbeleid? Waar moet ik aan denken bij logging? Welke afspraken horen in een leverancierscontract? Dat is de vraag waar een lege pagina het lastigst is.

Dat verklaart ook waarom organisaties die zich laten begeleiden 27002 vaak overslaan. Hun adviseur brengt die kennis mee, en dan betaalt u voor een naslagwerk dat u niet openslaat.

De valkuil van kopiëren

Omdat ISO 27002 zo concreet is, is de verleiding groot om de toelichting rechtstreeks over te nemen in uw eigen beleid. Dat werkt averechts, om twee redenen.

De eerste is dat de norm bewust breed is geschreven. Hij moet werken voor een softwarebedrijf van vijftien mensen en voor een ziekenhuis. Wat er staat is daarom vaak algemener dan wat u nodig heeft, en beleid dat te algemeen is stuurt niemand.

De tweede is dat een auditor de praktijk toetst en niet de tekst. Staat er in uw beleid een zin die uit de norm komt maar die bij u niet wordt nageleefd, dan is dat een bevinding die u zelf heeft veroorzaakt. Beleid dat minder belooft en wel klopt, komt beter door een audit.

Gebruik 27002 dus als denkhulp: lees wat er staat, bepaal wat daarvan bij u past en schrijf dat in uw eigen woorden op. Dat kost een half uur meer per onderwerp en het scheelt bevindingen.

Veelgestelde vragen over ISO 27002

Kun je gecertificeerd worden tegen ISO 27002?

Nee. ISO 27002 stelt geen eisen maar geeft toelichting, en zonder eisen valt er niets te toetsen. Certificeren doet u tegen ISO 27001. Een leverancier die claimt ISO 27002-gecertificeerd te zijn, zegt dus iets dat niet bestaat.

Welke van de twee heb ik nodig?

ISO 27001 in elk geval, want daar staan de eisen in waaraan u moet voldoen. ISO 27002 is optioneel en vooral nuttig als u de maatregelen zelf inricht en per maatregel een uitgangspunt wilt hebben.

Hoeveel maatregelen staan er in Annex A?

Drieënnegentig, verdeeld over vier thema’s: zevenendertig organisatorisch, acht over mensen, veertien fysiek en vierendertig technologisch. U past ze niet allemaal toe, u kiest wat bij uw risico’s past en onderbouwt de rest.

Onze documentatie verwijst nog naar de oude nummering. Is dat een probleem?

Voor een audit tegen de huidige versie wel, want dan moeten uw verwijzingen kloppen. Het is geen inhoudelijk probleem maar wel een klus: beleid, procedures en de verklaring van toepasselijkheid moeten allemaal worden gelijkgetrokken.

Is ISO 27002 gratis beschikbaar?

Nee, u koopt hem bij de normalisatie-instelling. Alleen ISO 27000, de begrippenlijst, is vrij beschikbaar. Dat is meteen een goede eerste kennismaking met de terminologie van de reeks.