ISO/IEC 27002 wurde erneuert, und das ist relevant für Organisationen in Deutschland, Österreich und Europa, die mit ISO 27001/27002 oder abgeleiteten Rahmenwerken wie dem BSI IT-Grundschutz arbeiten. In der Fassung 2022 wird Security Awareness deutlicher und expliziter herausgestellt. Die Norm steuert stärker auf Nachweisbarkeit, rollenbezogenes Lernen und Wiederholung. Dieser Artikel zeigt, was sich geändert hat und wie Sie Ihr Awareness-Programm danach ausrichten.
Was hat sich in ISO/IEC 27002:2022 geändert?
Die Erneuerung betrifft vor allem die Stellung und die Formulierung von Awareness:
- Awareness ist expliziter positioniert innerhalb der sogenannten personenbezogenen Maßnahmen (People Controls).
- Die Formulierungen sind straffer: weniger unverbindliche Sprache, konkretere Erwartungen.
- Nachweisbarkeit wiegt schwerer: du musst nicht nur etwas tun, sondern auch zeigen können, dass es wirkt.
Was das für Ihr Programm bedeutet
In der Praxis bedeutet das, dass einzelne, einmalige Schulungen nicht mehr ausreichen. Du musst zeigen können, dass Awareness strukturell eingerichtet ist, passend zu den Rollen und Risiken in deiner Organisation.
ISO/IEC 27002:2022 verlangt daher ein Programm mit vier Merkmalen:
- Rollenbezogen: verschiedene Zielgruppen erhalten Aufmerksamkeit für die Risiken, die für sie gelten.
- Wiederholbar: ein fester Rhythmus, mit Aufmerksamkeit beim Eintritt und regelmäßiger Auffrischung.
- Messbar: Teilnahme, Fortschritt und Ergebnisse werden festgehalten.
- Praktisch: erkennbare Situationen und wenig Fachjargon, damit die Botschaft ankommt.
Wie Sie das konkret angehen
Beginne mit einer kurzen Risikoeinschätzung je Zielgruppe, damit du weißt, welche Themen für wen relevant sind. Baue darauf ein Programm aus kurzen, wiederkehrenden Modulen statt einer langen jährlichen Sitzung, und nimm Awareness in das Onboarding auf.
Halte anschließend systematisch fest, wer was absolviert hat, welche Themen du behandelst und wie oft du wiederholst. Ergänze das um Ergebnisse wie die Melderate bei Phishing-Simulationen. Diese Kombination aus Dokumentation und Ergebnis ist genau der Nachweis, den eine prüfende Stelle sehen will.
Von einmalig zu Routine: Wiederholung zählt
Der größte Gewinn liegt in der Wiederholung. Awareness wirkt wie jede Gewohnheit: durch Vorhersehbarkeit und Wiederholung. Denke an monatliche Themen, kurze Module, Microlearning und gezielte Phishing-Simulationen. Nicht um zu prüfen, sondern um zu lernen und das Meldeverhalten zu stärken.
So erfüllst du nicht nur die Norm, du erhöhst auch nachweisbar die Widerstandsfähigkeit deiner Organisation. In Deutschland passt das gut zum BSI IT-Grundschutz, europaweit zu den Anforderungen aus NIS2. Ein gut aufgesetztes Programm bedient diese Rahmen gleichzeitig.
Verwandte Artikel
FAQ
Was änderte sich an Awareness in ISO/IEC 27002:2022?
Awareness ist expliziter innerhalb der personenbezogenen Maßnahmen positioniert, die Formulierungen sind konkreter, und Nachweisbarkeit wiegt schwerer. Einmalige Schulungen reichen nicht mehr; erwartet wird strukturelles, rollenbezogenes Lernen.
Wie verhält sich 27002 zu ISO 27001?
ISO 27002 liefert die Umsetzungsleitlinien zu den Maßnahmen aus Anhang A von ISO 27001. Wer zertifiziert ist oder werden will, profitiert von einem rollenbezogenen, messbaren Awareness-Programm gemäß 27002:2022.
Wie oft muss Awareness-Schulung stattfinden?
Die Norm schreibt keine feste Frequenz vor, sondern verlangt einen fortlaufenden Prozess. Kurze, regelmäßig wiederkehrende Module wirken besser als eine jährliche Sitzung. Nimm Awareness auch in das Onboarding auf.
Was ist der wichtigste Schritt?
Wiederholung statt Einmaligkeit. Richte ein wiederkehrendes, rollenbezogenes Programm mit messbarer Teilnahme ein, statt einer jährlichen Pflichtschulung.
Wie passt das zum IT-Grundschutz und zu NIS2?
Der BSI IT-Grundschutz baut auf ISO 27001/27002 auf, daher deckt ein 27002-konformes Awareness-Programm auch ihn ab. NIS2 verlangt ebenfalls risikoorientiertes, fortlaufendes und nachweisbares Lernen. Ein gutes Programm bedient alle drei.