Die internationale Norm ISO/IEC 27002 dient als umfassender Leitfaden und Best-Practice-Katalog für Informationssicherheitsmaßnahmen. Während die ISO/IEC 27001 die Anforderungen an ein Managementsystem definiert, liefert die ISO/IEC 27002 das „Wie“ – also konkrete Empfehlungen, wie die 93 Sicherheitsmaßnahmen (Controls) aus dem Anhang A umgesetzt werden können.

Die folgende praxisnahe Umsetzungscheckliste orientiert sich an der aktuellen Struktur der ISO/IEC 27002 (Ausgabe 2022) und bricht die vier großen Kontrollbereiche in konkrete Handlungsschritte herunter, die unverbindlich helfen können.

Umsetzungshilfe nach ISO/IEC 27002

1. Organisatorische Maßnahmen (Organizational Controls – 37 Controls)

• Richtlinien für die Informationssicherheit: Erstellung, Freigabe und regelmäßige Aktualisierung von Sicherheitsrichtlinien für das gesamte Team.
• Zuständigkeiten & Rollen: Klare Definition, wer für welche Sicherheitsaspekte (z. B. IT, Datenschutz, physische Sicherheit) verantwortlich ist.
• Asset Management: Erfassung und Klassifizierung aller Informationswerte (Daten, Hardware, Software) sowie Benennung von Werteverantwortlichen.
• Personalsicherheit: Durchführung von Zuverlässigkeitsprüfungen (Sicherheitsüberprüfungen) bei Neueinstellungen und Regelung von Vertraulichkeitsvereinbarungen.
• Physische Sicherheit & Perimeterschutz: Absicherung von Büro- und Praxisräumen, Zutrittskontrollen und Schutz von Arbeitsplätzen.
• Lieferantenbeziehungen: Überprüfung von Dienstleistern, Einbindung von Sicherheitsanforderungen in Verträge und regelhaftes Monitoring von Cloud- oder IT-Dienstleistern.
• Business Continuity Management (BCM): Erstellung von Notfallplänen, Ausfallkonzepten und Wiederherstellungsstrategien für den Ernstfall.
• Einhaltung gesetzlicher Vorgaben (Compliance): Dokumentation und Überprüfung der Einhaltung von Gesetzen (z. B. DSGVO, Urheberrecht, steuerliche Vorgaben).

2. Personenbezogene Maßnahmen (People Controls – 8 Controls)

• Sicherheitsbewusstsein & Schulung: Regelmäßige Sensibilisierungsschulungen für alle Mitarbeitenden (z. B. Erkennung von Phishing-Mails, Social Engineering).
• Verfahren bei Fehlverhalten: Etablierung eines transparenten Prozesses zum Umgang mit Sicherheitsverstößen oder Fehlbedienungen.
• Regelungen bei Austritt oder Personalwechsel: Schneller Entzug von Zugriffsrechten, Rückgabe von Firmen-Hardware und Deaktivierung von Accounts.

3. Physische Maßnahmen (Physical Controls – 14 Controls)

• Schutzbereiche definieren: Physische Abtrennung von sensiblen Bereichen (z. B. Serverräume oder Aktenarchive).
• Schutz von Geräten: Absicherung von Laptops, Druckern und mobilen Endgeräten gegen Diebstahl oder unbefugten Zugriff (z. B. durch Kabelschlösser, Clean Desk Policy).
• Entsorgung und Wiederverwendung: Sichere Vernichtung von Akten (nach DIN 66399) und sicheres Löschen von Datenträgern vor der Entsorgung.
• Unterbrechungsfreie Stromversorgung & Umweltschutz: Schutz vor Umwelteinflüssen (Feuchtigkeit, Feuer) und Absicherung der Stromversorgung für kritische Infrastruktur.

4. Technologische Maßnahmen (Technological Controls – 34 Controls)

• Zugriffskontrolle (Access Control): Vergabe von Berechtigungen nach dem Need-to-know-Prinzip und konsequente Durchsetzung starker Passwörter.
• Multi-Faktor-Authentifizierung (MFA): Verpflichtender Einsatz von MFA für alle Cloud-Dienste, E-Mail-Postfächer und Fernzugriffe (VPN).
• Kryptographie & Verschlüsselung: Umsetzung von Richtlinien zur Verschlüsselung von Daten – sowohl bei der Übertragung (Transport Encryption) als auch auf den Endgeräten (Data at Rest).
• Netzwerksicherheit: Segmentierung von Netzwerken, Absicherung von WLAN-Zugängen (Gast- vs. Internes Netz) und Einsatz von Firewalls.
• Schwachstellen- & Patch-Management: Regelmäßiges und zeitnahes Einspielen von Software-Updates, Betriebssystem-Patches und Firmware-Aktualisierungen.
• Protokollierung & Überwachung (Logging): Aktivierung und Auswertung von Systemprotokollen, um ungewöhnliche Aktivitäten oder Angriffe frühzeitig zu erkennen.
• Backup-Konzept: Regelmäßige, automatisierte Datensicherung nach der bewährten 3-2-1-Regel (3 Kopien, 2 verschiedene Medien, 1 Kopie extern/offline) inklusive regelmäßiger Wiederherstellungstests.
• Sichere Softwareentwicklung & IT-Konfiguration: Absicherung von Standardkonfigurationen (Hardening) und Vermeidung von Schwachstellen bei Eigenentwicklungen.