Hoppa till innehållet
    ProjAlpha säkerhetsplattform
    Boka genomgång
    Kunskapsbank

    Vad är ISO 27002 och hur hänger den ihop med ISO 27001?

    ISO/IEC 27002 är vägledningen till de informationssäkerhetsåtgärder som räknas upp i bilaga A i ISO/IEC 27001. Där 27001 anger vad som ska finnas på plats, beskriver 27002 hur varje åtgärd kan genomföras. Här går vi igenom skillnaden mellan standarderna, hur 27002 är uppbyggd och hur ni använder den. Läs också om ISO 27001 för företag.

    Nästa steg

    Vill ni inte lösa det här själva? Vi levererar det som en opererad tjänst — med drift, övervakning och ansvar hos oss.

    ISO 27001 för företag
    AE
    Adrian Edgren
    VD, ProjAlphaLinkedIn (öppnas i ny flik)

    Vår bedömning i korthet

    • Ni certifieras aldrig mot ISO 27002. Det är ISO 27001 som är kravstandarden.
    • ISO 27002 är mest användbar när ni ska välja och genomföra åtgärder, och när ni ska motivera valen i ert uttalande om tillämplighet.
    • Ni behöver inte köpa 27002 för att komma igång, men den som ansvarar för åtgärderna har stor nytta av den.

    Skillnaden mellan ISO 27001 och ISO 27002

    • Typ: ISO/IEC 27001:2022 är en kravstandard ("ska"). ISO/IEC 27002:2022 är vägledning.
    • Innehåll: ISO 27001 innehåller krav på ledningssystemet (kapitel 4–10) och en lista med 93 åtgärder (bilaga A). ISO 27002 innehåller samma 93 åtgärder, var och en med syfte och vägledning för genomförande.
    • Certifiering: ISO 27001 ja, av ackrediterat certifieringsorgan. ISO 27002 nej.
    • Används för: ISO 27001 för att bygga och visa ett fungerande ledningssystem. ISO 27002 för att välja och genomföra åtgärderna.

    Åtgärderna i bilaga A i ISO 27001 är hämtade från, och stämmer överens med, kapitel 5–8 i ISO 27002.

    Så är ISO 27002 uppbyggd

    Åtgärderna är grupperade i fyra teman, med samma numrering som i bilaga A:

    • 5 Organisatoriska åtgärder (37), till exempel policyer, roller, leverantörsrelationer och incidenthantering
    • 6 Personrelaterade åtgärder (8), till exempel bakgrundskontroll, säkerhetsmedvetenhet och distansarbete
    • 7 Fysiska åtgärder (14), till exempel skalskydd, tillträde och skydd av utrustning
    • 8 Tekniska åtgärder (34), till exempel behörigheter, loggning, kryptering och säkerhetskopiering

    Varje åtgärd beskrivs med ett syfte, själva åtgärden och vägledning för hur den kan genomföras. 2022-utgåvan lade dessutom till fem attribut som gör det lättare att sortera och söka bland åtgärderna: typ av åtgärd, informationssäkerhetsegenskaper, cybersäkerhetsbegrepp, operativa förmågor och säkerhetsdomäner.

    Vad ändrades i 2022-versionen?

    • Antalet åtgärder gick från 114 i 14 avsnitt till 93 i fyra teman. Många åtgärder slogs ihop, och elva nya tillkom, till exempel hotunderrättelser och informationssäkerhet vid användning av molntjänster.
    • "Syfte" per åtgärd ersatte de tidigare målen per grupp av åtgärder.
    • Titeln ändrades till "Information security, cybersecurity and privacy protection – Information security controls".

    Så använder ni ISO 27002 i praktiken

    • 1. Gör riskbedömningen först. Den avgör vilka åtgärder ni behöver (ISO 27001 kapitel 6). Se ledningssystem för informationssäkerhet.
    • 2. Jämför med bilaga A. Kontrollera att ingen nödvändig åtgärd har missats.
    • 3. Läs vägledningen i 27002 för de åtgärder ni väljer, och anpassa den till er miljö.
    • 4. Dokumentera valen i uttalandet om tillämplighet: vilka åtgärder ni har valt, vilka ni har valt bort och varför.
    • 5. Följ upp att åtgärderna fungerar, till exempel genom internrevision.

    ISO 27002 och cybersäkerhetslagen

    I de allmänna råden till MCFFS 2026:11 rekommenderas ISO/IEC 27001:2022 och ISO/IEC 27002:2022 (eller motsvarande standarder) som stöd i det systematiska cybersäkerhetsarbetet. Allmänna råd är inte tvingande. Föreskriften har också egna, konkreta krav som går utöver standarden. Läs mer i NIS2 och ISO 27001: vad som överlappar och vad som saknas.

    Vad bör ni göra nu, och vad kan vänta?

    Gör nu: Använd 27002 för de åtgärder där er riskbedömning visar störst behov, och skriv in motiveringen i uttalandet om tillämplighet.

    Kan vänta: Att använda attributen för att sortera åtgärderna. Det är användbart i ett moget ledningssystem men behövs inte i början.

    Så har vi resonerat

    Vi utgår från ISO:s beskrivning av ISO/IEC 27002:2022 och dess koppling till bilaga A i ISO/IEC 27001:2022, från SIS svenska utgåva och från de allmänna råden i MCFFS 2026:11. Vi återger inte standardens text, eftersom den är upphovsrättsskyddad och säljs av ISO och SIS.

    Källor

    Läs också om logghantering.

    Underlag till riskbedömningen: sårbarhetsanalys.

    Vanliga frågor

    Frågor och svar

    Nej. ISO 27002 är vägledning. Certifiering sker mot ISO 27001.

    Kraven finns i ISO 27001. ISO 27002 behövs inte för certifiering, men gör det betydligt lättare att genomföra åtgärderna rätt.

    Ja. SIS ger ut SS-EN ISO/IEC 27002:2022 med svensk och engelsk text.

    De innehåller samma 93 åtgärder. Bilaga A ger en kort beskrivning av varje åtgärd. ISO 27002 lägger till syfte, vägledning och attribut.

    Vill ni ha det här hanterat åt er?

    Vi går igenom er nuvarande miljö, visar vad som saknas och vad det skulle kosta att driva det som en opererad tjänst. Genomgången är kostnadsfri och utan åtaganden.

    Boka kostnadsfri genomgångBygg din lösning

    Vi använder nödvändiga kakor för att webbplatsen ska fungera. Analys- och marknadsföringskakor används bara om du samtycker. Läs mer i vår integritetspolicy.