Wat is ISO 27002?
ISO/IEC 27002 is de internationale richtlijn die voor 93 informatiebeveiligingsmaatregelen beschrijft wat ze inhouden, waarom ze nodig zijn en hoe u ze invoert, als praktische uitwerking van Annex A uit ISO 27001. De huidige editie, ISO/IEC 27002:2022, verscheen op 15 februari 2022 onder de titel Information security, cybersecurity and privacy protection - Information security controls. De norm wordt uitgegeven door de International Organization for Standardization en de IEC (commissie JTC 1/SC 27). Het is een richtlijn en geen eisennorm: certificering tegen ISO 27002 bestaat niet. De norm helpt u wel om een Information Security Management System (ISMS) concreet en aantoonbaar in te vullen, in kantoor-IT én in OT-omgevingen.
🧠 Wat doet ISO 27002 precies?
ISO 27001 stelt de eisen aan een managementsysteem en bevat in Annex A een lijst van 93 beheersmaatregelen, elk in één of twee zinnen. ISO 27002 beschrijft hoe u diezelfde maatregelen kunt invoeren. Per maatregel geeft de norm:
- Doel - waarom de maatregel bestaat en welk risico hij verkleint
- Richtlijn - praktische uitleg, vaak met een opsomming van wat een goede invulling omvat
- Implementatievoorbeelden - bijvoorbeeld welke onderwerpen in een beleid thuishoren of welke gebeurtenissen u logt
- Koppeling aan risico’s - via het doel en de attributen ziet u welk risico en welke beveiligingseigenschap een maatregel adresseert, zodat u maatregelen kunt groeperen
| Kenmerk | ISO 27001 | ISO 27002 |
|---|---|---|
| Aard | Eisennorm (“shall”) | Richtlijn (“should”) |
| Certificeerbaar | Ja, door een geaccrediteerde instelling | Nee |
| Inhoud | Clausules 4–10 plus Annex A met 93 korte maatregelen | 93 maatregelen met doel, richtlijn en attributen |
| Gebruik | Managementsysteem inrichten en laten auditen | Maatregelen ontwerpen, invoeren en toetsen |
| Doelgroep | Directie, auditors en ISMS-verantwoordelijken | Beveiligingsspecialisten, beheerders en ontwerpers |
📜 Hoe is ISO 27002 ontstaan?
ISO 27002 is ouder dan ISO 27001. De basis was een praktijkcode voor informatiebeveiliging die Shell begin jaren negentig inbracht bij een initiatief van de Britse overheid.
| Jaar | Gebeurtenis |
|---|---|
| 1995 | Britse norm BS 7799, gebaseerd op de praktijkcode |
| 2000 | Overgenomen als ISO/IEC 17799 |
| 2005 | Herziene editie van ISO/IEC 17799 |
| 2007 | Hernummerd naar ISO/IEC 27002, in lijn met de ISO 27000-familie |
| 2013 | Tweede editie: 114 maatregelen in 14 hoofdstukken (domeinen) |
| 15 februari 2022 | Derde editie: 93 maatregelen in 4 thema’s, met attributen |
Met de editie van 2022 werd ook Annex A van ISO 27001 herschreven. Sinds 31 oktober 2025 zijn certificaten tegen ISO 27001:2013 niet meer geldig, zodat elke gecertificeerde organisatie nu met de structuur van ISO 27002:2022 werkt.
🔢 Hoe is de versie van 2022 opgebouwd?
De 93 maatregelen staan in de hoofdstukken 5 tot en met 8, ingedeeld in vier thema’s:
| Hoofdstuk | Thema | Aantal | Voorbeelden |
|---|---|---|---|
| 5 | Organisatorische maatregelen | 37 | 5.1 beleid, 5.9 inventaris van assets, 5.19 leveranciersrelaties, 5.24 incidentbeheer |
| 6 | Mensgerichte maatregelen | 8 | 6.1 screening, 6.3 bewustwording en training, 6.7 thuiswerken |
| 7 | Fysieke maatregelen | 14 | 7.1 fysieke beveiligingszones, 7.4 fysieke beveiligingsmonitoring |
| 8 | Technologische maatregelen | 34 | 8.7 bescherming tegen malware, 8.13 back-up, 8.22 scheiding van netwerken |
Ten opzichte van 2013 zijn 11 maatregelen nieuw, zijn er 24 ontstaan door samenvoeging van oudere maatregelen en zijn 58 herzien. De nieuwe maatregelen zijn: 5.7 threat intelligence, 5.23 informatiebeveiliging bij clouddiensten, 5.30 ICT-gereedheid voor bedrijfscontinuïteit, 7.4 fysieke beveiligingsmonitoring, 8.9 configuratiebeheer, 8.10 verwijderen van informatie, 8.11 datamaskering, 8.12 data leakage prevention, 8.16 monitoringactiviteiten, 8.23 webfiltering en 8.28 secure coding.
Elke maatregel heeft dezelfde vaste opbouw: een titel, een attributentabel, de maatregel zelf, het doel, de richtlijn en eventueel overige informatie. Het voorvoegsel “A.” hoort bij Annex A van ISO 27001; in ISO 27002 zelf heet back-up gewoon maatregel 8.13.
🏷️ Welke attributen kent ISO 27002?
Nieuw in 2022 zijn vijf attributen waarmee u de maatregelen vanuit verschillende invalshoeken kunt filteren. Elke maatregel heeft een attributentabel; of u de attributen gebruikt, bepaalt u zelf.
| Attribuut | Waarden | Toepassing |
|---|---|---|
| Type maatregel | Preventief, detectief, correctief | Balans controleren tussen voorkomen, ontdekken en herstellen |
| Informatiebeveiligingseigenschappen | Vertrouwelijkheid, integriteit, beschikbaarheid | In OT weegt beschikbaarheid meestal het zwaarst |
| Cybersecurityconcepten | Identify, Protect, Detect, Respond, Recover | Koppeling met het NIST CSF |
| Operationele capaciteiten | 15 waarden, o.a. asset management, identity and access management, threat and vulnerability management, continuity | Maatregelen toewijzen aan teams of processen |
| Beveiligingsdomeinen | Governance and ecosystem, protection, defence, resilience | Rapportage richting bestuur |
U mag ook eigen attributen toevoegen, bijvoorbeeld “relevant voor OT” of een verwijzing naar het Purdue-niveau waarop een maatregel werkt.
🏭 Welke ISO 27002-maatregelen zijn belangrijk voor OT?
ISO 27002 is generiek geschreven, maar veel maatregelen raken direct aan SCADA, PLC’s en het procesnetwerk. Een selectie, met de OT-invulling:
| Maatregel | Onderwerp | Invulling in OT |
|---|---|---|
| 5.9 | Inventaris van informatie en assets | Een actuele asset-inventaris van PLC’s, HMI’s en netwerkcomponenten, met firmwareversie |
| 5.19–5.22 | Leveranciersrelaties | Eisen aan leveranciers en systeemintegratoren, ook voor onderhoud op afstand |
| 5.24–5.28 | Incidentbeheer | Een incidentresponsplan dat ook handbediening en veilig stoppen van het proces regelt |
| 5.30 | ICT-gereedheid voor bedrijfscontinuïteit | Herstelplannen afgestemd op bedrijfscontinuïteit en procesveiligheid |
| 8.8 | Beheer van technische kwetsbaarheden | Kwetsbaarheidsbeheer met patchen in onderhoudsstops en compenserende maatregelen |
| 8.9 | Configuratiebeheer | Configuratiebeheer van PLC-programma’s en netwerkinstellingen |
| 8.13 | Back-up van informatie | Een geteste back-up van PLC-code, SCADA-projecten en historiandata |
| 8.15–8.16 | Logging en monitoring | Logging en passieve securitymonitoring van industriële protocollen |
| 8.22 | Scheiding van netwerken | Netwerksegmentatie tussen kantoor- en procesnetwerk |
| 8.32 | Wijzigingsbeheer | Wijzigingsbeheer met test, goedkeuring en terugvalscenario |
Tegelijk heeft ISO 27002 duidelijke grenzen voor OT. De norm kent geen zones en conduits, geen security levels en geen technische eisen aan componenten. Daarvoor is IEC 62443 de aangewezen normenreeks; IEC 62443-2-1 is sinds de editie van 2024 zo opgezet dat het naast een bestaand ISMS werkt. Voor procesbesturing in de energiesector bestaat bovendien ISO/IEC 27019, een sectorvariant van ISO 27002 voor de productie, transport en distributie van energie (kerncentrales uitgezonderd), met een editie uit 2024.
🔄 Hoe verhoudt ISO 27002 zich tot andere normen?
| Norm of kader | Functie | Relatie met ISO 27002 |
|---|---|---|
| ISO 27001 | Eisen voor een ISMS | Annex A bevat dezelfde 93 maatregelen in verkorte vorm |
| ISO 27005 | Richtlijn voor informatiebeveiligingsrisicobeheer | Levert de risicoanalyse waarmee u maatregelen selecteert |
| BIO | Normenkader voor de Nederlandse overheid | BIO2 (vastgesteld 23 september 2025) koppelt de overheidsmaatregelen aan de 93 maatregelen van ISO 27002:2022 |
| CSIR | Implementatierichtlijn voor OT bij overheid en nutsbedrijven | Vertaalt BIO en IEC 62443 naar gemalen, sluizen en zuiveringen |
| IEC 62443 | Cybersecurity voor industriële automatisering | Voegt zones, conduits, security levels en componenteisen toe |
| NIST CSF | Amerikaans raamwerk (versie 2.0, februari 2024) | Het attribuut cybersecurityconcepten volgt de functies Identify tot en met Recover |
Onder NIS2 en de Nederlandse Cyberbeveiligingswet is geen specifieke norm verplicht. Het Cyberbeveiligingsbesluit noemt in de toelichting ISO 27001 en een managementsysteem volgens IEC 62443 als vertrekpunt; ISO 27002 is dan de praktische gids om de maatregelen uit de zorgplicht in te vullen.
🧭 Hoe gebruikt u ISO 27002 in de praktijk?
- Begin bij de risico’s - voer een risicobeoordeling uit, bijvoorbeeld volgens ISO 27005, en kies maatregelen op basis van de uitkomst, niet op basis van de lijst.
- Leg de keuzes vast - de Statement of Applicability (SoA) uit ISO 27001 vermeldt per maatregel of die van toepassing is en waarom. Uitsluiten mag, mits onderbouwd.
- Gebruik de richtlijn als ontwerpchecklist - vergelijk per maatregel de bestaande praktijk met de richtlijn en noteer de verschillen als verbeteracties.
- Vertaal naar OT - waar een maatregel in OT niet letterlijk kan, zoals snel patchen of een agent op een PLC, beschrijft u een compenserende maatregel.
- Wijs eigenaarschap toe - de CISO is eindverantwoordelijk; een Information Security Officer coördineert de uitvoering, samen met de OT-beheerder.
- Toets en verbeter - interne audits en de PDCA-cyclus houden de maatregelen actueel.
Een denkbeeldig maar typerend voorbeeld: een voedingsmiddelenbedrijf met een ISO 27001-certificaat ontdekt dat de back-up van zijn PLC-programma’s buiten de scope van de IT-afdeling valt. Maatregel 8.13 beveelt aan back-ups regelmatig te testen; na een hersteltest wordt het OT-team eigenaar van een eigen back-upprocedure, vastgelegd in de SoA.
❓ Veelgestelde vragen
Kunt u zich laten certificeren voor ISO 27002?
Nee, ISO 27002 is een richtlijn en geen eisennorm, dus certificering ertegen is niet mogelijk. Organisaties laten zich certificeren tegen ISO 27001 en gebruiken ISO 27002 om de 93 beheersmaatregelen uit Annex A goed in te vullen. Een auditor gebruikt ISO 27002 wel vaak als referentie bij de beoordeling.
Hoeveel maatregelen telt ISO 27002:2022?
ISO 27002:2022 bevat 93 beheersmaatregelen: 37 organisatorische, 8 mensgerichte, 14 fysieke en 34 technologische. De editie van 2013 had er 114, verdeeld over 14 hoofdstukken. Elf maatregelen zijn in 2022 nieuw toegevoegd.
Waarom kloppen oude maatregelnummers niet meer?
De nummering van ISO 27002 is in 2022 volledig veranderd, omdat de 14 hoofdstukken zijn vervangen door 4 thema’s. Beheer van technische kwetsbaarheden was bijvoorbeeld maatregel 12.6.1 en is nu 8.8, en back-up was 12.3.1 en is nu 8.13. In Annex A van ISO 27001 staan dezelfde nummers met het voorvoegsel “A.”, zoals A.8.8. ISO 27002:2022 bevat een bijlage met een vergelijkingstabel tussen beide edities.
Is ISO 27002 geschikt voor OT-omgevingen?
ISO 27002 is bruikbaar voor de organisatorische basis van OT-beveiliging, zoals asset-inventaris, leveranciersbeheer, back-up en wijzigingsbeheer. De norm kent echter geen zones, conduits of security levels en stelt geen eisen aan PLC’s of SCADA-systemen. Daarom combineren de meeste industriële organisaties ISO 27002 met IEC 62443.
Is ISO 27002 verplicht onder NIS2 of de Cyberbeveiligingswet?
ISO 27002 is onder NIS2 en de Cyberbeveiligingswet niet verplicht; de wet schrijft geen specifieke norm voor. De toelichting bij het Cyberbeveiligingsbesluit noemt ISO 27001 wel als vertrekpunt, en ISO 27002 helpt de vereiste maatregelen concreet uit te werken. Voor Nederlandse overheidsorganisaties is de BIO, die op ISO 27002 is gebaseerd, wel verplicht.
Wat zijn attributen in ISO 27002?
Attributen zijn labels die ISO 27002:2022 aan elke maatregel koppelt, zoals type maatregel, beveiligingseigenschap en cybersecurityconcept. Er zijn vijf standaardattributen, en u mag eigen attributen toevoegen. Zo kunt u maatregelen snel filteren, bijvoorbeeld op alles wat detectief werkt of alles wat beschikbaarheid beschermt.
📌 Samengevat
ISO 27002 is de praktische gids bij ISO 27001: voor 93 beheersmaatregelen in vier thema’s beschrijft de norm het doel, de richtlijn en de attributen, zodat u risicogestuurd en aantoonbaar invult wat Annex A vraagt. In IT en OT vormt de norm het organisatorische fundament van informatiebeveiliging. Voor de technische beveiliging van procesbesturing vult u ISO 27002 aan met IEC 62443.