Normstruktur und Zusammenspiel von ISO/IEC 27001, ISO/IEC 27002 und ISO/IEC 27005

Diese drei Normen erfüllen unterschiedliche Funktionen.

• ISO/IEC 27001 ist der Anforderungsstandard. Sie beschreibt, was ein ISMS leisten muss, damit es als Managementsystem funktioniert und zertifizierbar ist.
• ISO/IEC 27002 ist ein Leitfaden für Controls, also für organisatorische, personenbezogene, physische und technische Sicherheitsmaßnahmen.
• ISO/IEC 27005 ergänzt die Risikoperspektive und unterstützt beim Informationssicherheitsrisikomanagement.

Diese Normen bilden damit keine drei konkurrierenden Systeme, sondern eine Arbeitsteilung.

ISO/IEC 27001 enthält den Managementsystemkern. Dieser folgt der Logik vieler ISO-Managementsystemnormen: Kontext verstehen, Führung sicherstellen, planen, unterstützen, betreiben, Leistung bewerten und verbessern. Dadurch ist ISO/IEC 27001 gut mit Qualitätsmanagement, Datenschutzmanagement, Business Continuity Management oder allgemeinem Enterprise Risk Management kombinierbar. Für Organisationen mit bestehenden Managementsystemen ist das ein Vorteil, weil Rollen, Dokumentenlenkung, interne Audits und Management-Reviews nicht vollständig neu erfunden werden müssen.

Der Maßnahmenanhang von ISO/IEC 27001 dient als Referenz für die Auswahl von Controls. Die Auswahl erfolgt nicht mechanisch. Ein Unternehmen muss begründen, welche Controls angewendet werden, welche nicht angewendet werden und wie diese Entscheidung aus Risiken, Anforderungen und Kontext abgeleitet wird. Diese Begründung wird in der Anwendbarkeitserklärung dokumentiert. Die Anwendbarkeitserklärung wird häufig mit „Statement of Applicability“ oder „SoA“ bezeichnet. Sie ist ein zentrales Bindeglied zwischen Risikoanalyse, Maßnahmenauswahl, Umsetzung und Audit.

ISO/IEC 27002 liefert zu diesen Controls zusätzliche Orientierung. Sie ist keine Zertifizierungsnorm für sich allein, sondern ein Praxisleitfaden. In Projekten wird sie häufig verwendet, um die abstrakte Control-Auswahl aus ISO/IEC 27001 in konkrete Maßnahmen, Verantwortlichkeiten und Nachweise zu übersetzen. Ein Beispiel: Wenn eine Organisation feststellt, dass privilegierte Benutzerkonten ein hohes Risiko darstellen, hilft ISO/IEC 27002 dabei, geeignete Kontrollen rund um Berechtigungen, Authentifizierung, Protokollierung und regelmäßige Überprüfung einzuordnen. Die konkrete Umsetzung bleibt organisationsspezifisch.

ISO/IEC 27005 setzt früher an. Sie unterstützt die Risikobehandlung, indem sie die Organisation dabei begleitet, Informationswerte, Bedrohungen, Schwachstellen, Auswirkungen, Eintrittswahrscheinlichkeiten und Behandlungsoptionen strukturiert zu betrachten. Für dieses Werk ist wichtig: Die operative Ausarbeitung des Risikomanagements liegt im Register „Cybersicherheits-Risikomanagement“. Dieses Kapitel erklärt daher vor allem, wie ISO/IEC 27005 mit ISO/IEC 27001 und ISO/IEC 27002 zusammenwirkt. Sie soll nicht als isolierte Risikovorlage verstanden werden, sondern als Ergänzung für ein risikobasiertes ISMS.

Das Zusammenspiel der Normen

Das Zusammenspiel lässt sich als Kette lesen. Zuerst wird der Kontext geklärt: Geschäftsziele, rechtliche Anforderungen, interessierte Parteien, interne und externe Themen, Geltungsbereich. Danach werden Risiken identifiziert und bewertet. Aus der Risikobewertung folgen Risikobehandlungsentscheidungen. Diese Entscheidungen führen zu Controls und Maßnahmen. Die Maßnahmen werden umgesetzt, überwacht, bewertet und verbessert. Für Audits und Nachweise wird dokumentiert, warum bestimmte Controls gewählt wurden, wie sie umgesetzt sind und welche Wirksamkeit beobachtet wird.

Diese Kette ist wichtiger als die Dokumentenform. Viele Organisationen sammeln zuerst Richtlinien, Checklisten und technische Vorgaben. Das kann nützlich sein, ersetzt aber die Nachvollziehbarkeit nicht. Eine auditfähige Darstellung muss zeigen, dass die Organisation nicht zufällig handelt. Aus einem identifizierten Risiko muss eine Entscheidung folgen; aus der Entscheidung muss eine Maßnahme folgen; aus der Maßnahme muss ein Nachweis folgen; aus dem Nachweis muss eine Bewertung der Wirksamkeit möglich sein. Genau diese Verbindung ist der praktische Mehrwert der ISO-Reihe.

Die 2022er-Fassung der ISO/IEC-27000-Familie hat die Controls neu geordnet und stärker an moderne Sicherheits- und Cloud-Umgebungen angepasst. Für die praktische Arbeit ist nicht entscheidend, eine Kontrollliste auswendig zu kennen. Entscheidend ist die Arbeitskette: Risiken bewerten, Controls auswählen, Umsetzung begründen und Nachweise führen. Die Detailprüfung erfolgt bei Bedarf anhand der beschafften Originalnorm.

Die Normstruktur begünstigt eine modulare Einführung. Eine Organisation kann zunächst die Managementsystemelemente etablieren, dann eine begrenzte Control-Auswahl treffen und anschließend das Risikomanagement verfeinern. Ein anderes Unternehmen kann wegen Kundenvorgaben zuerst eine SoA-light und eine Dokumentenliste aufbauen. Entscheidend ist, dass die Reihenfolge nachvollziehbar bleibt und nicht zu dauerhaft getrennten Teilprojekten führt. ISO/IEC 27001, 27002 und 27005 entfalten ihren Nutzen erst, wenn Risiko, Maßnahmen und Managementbewertung miteinander verbunden werden.

Auch für NISG 2026/NIS2 ist diese Arbeitsteilung hilfreich. NIS2 nennt Maßnahmenfelder, aber kein vollständiges betriebsinternes Managementsystem. ISO/IEC 27001 kann die Governance liefern, ISO/IEC 27002 kann Maßnahmenfelder fachlich unterlegen und ISO/IEC 27005 kann die Risikologik stärken. Das Mapping zu gesetzlichen Anforderungen darf aber nicht als Gleichsetzung verstanden werden. Ein ISO-Control kann ein NIS2-Maßnahmenfeld unterstützen, ohne sämtliche rechtlichen Anforderungen, Meldepflichten oder Behördenprozesse abzudecken.