De herziene versie van NEN-ISO/IEC 27002 ‘Informatietechnologie – Beveiligingstechnieken – Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging’ is gepubliceerd. De norm is ontwikkeld voor organisaties van elk type en elke omvang om zaken als afpersing, diefstal van gegevens en uitval van ICT-diensten te voorkomen.

NEN-EN-ISO/IEC 27002 is een norm voor informatiebeveiliging die suggesties en ‘best practices’ geeft voor security controls op de implementatie en het onderhoud van Information Security Management Systems (ISMS). Om ervoor te zorgen dat normen actueel en wereldwijd relevant blijven, worden ze om de vijf jaar beoordeeld. Bij de beoordeling bleek dat de norm onder andere teveel als checklist werd gebruikt en daarom waren er aanpassingen nodig.

Verdieping
NEN-ISO/IEC 27002 is een verdieping op ISO 27001 en is een hulpmiddel met maatregelen om de risicoanalyse uit te voeren. ISO 27002 bestaat uit drie maatregelen om risico’s te beperken of te verkleinen. Een Referentie voor het vaststellen en implementeren van beheersmaatregelen voor informatiebeveiligingsrisico’s (in een beleid dat op ISO 27001 is gebaseerd). Een Leidraad voor organisaties die algemeen aanvaarde beheersmaatregelen op het gebied van informatiebeveiliging vaststellen en implementeren.
En het ontwikkelen van sector- en organisatie specifieke richtlijnen voor informatiebeveiligingsbeheer die rekening houden met specifieke risico’s.

Wijzigingen
Een belangrijkste wijziging ten opzichte van de vorige versie uit 2017 is een structuurindeling van de norm waardoor het eenvoudiger is om te bepalen wie de eigenaar wordt van een beheersmaatregel. Ook zijn de beheersmaatregelen nu verdeeld in vier hoofdstukken: organisatorische maatregelen, mensen, fysieke maatregelen, technologische maatregelen. Aan de Nederlandse vertaling wordt nog gewerkt. Naar verwachting wordt deze op korte termijn gepubliceerd. In het proces moet de norm ook nog op Europees niveau worden aanvaard. Naar verwachting wordt de EN-norm pas na augustus 2022 aangepast. Het gaat om een aanpassing zonder inhoudelijk wijzigingen.

Impact op ISO 27001
Momenteel verwijst ISO 27001 nog naar de oude versie. De maatregelen uit ISO 27002 horen gelijk te zijn aan bijlage A van ISO 27001. De wijzigingen in ISO 27002 zorgen daardoor voor een verandering in ISO 27001. Naar verwachting volgt op korte termijn (mei/juni) een nieuwe versie van ISO 27001 die aansluit op ISO 27002. Daarna wordt ook ISO 27001 herzien.

Webinar
NEN organiseert een informatiebijeenkomst over de herziening van ISO 27002 op 10 maart 2022 van 10.00 tot 11.30 uur. Belanghebbende partijen komen dan meer te weten over de nieuwste ontwikkelingen rondom ISO 27002. Daarnaast is er tijd voor vragen. Aanmelden voor het webinar kan hier.