ISO 27002: cos'è e come si usa con la ISO 27001

La ISO/IEC 27002:2022 è la norma che spiega come attuare i controlli di sicurezza delle informazioni. Raccoglie un insieme di controlli di riferimento e, per ognuno, le linee guida per metterlo in pratica. Non si certifica: la certificazione si ottiene sulla ISO/IEC 27001, il cui Allegato A elenca gli stessi controlli, con la stessa numerazione. La 27001 dice cosa serve, la 27002 aiuta a capire come farlo.

In questo articolo vediamo cosa contiene la 27002, che rapporto ha con l'Allegato A, come si usa in un progetto di certificazione e dove incontra la NIS2. Per il quadro generale dello standard il punto di partenza è la guida completa alla ISO 27001.

Cos'è la ISO/IEC 27002

La norma internazionale è la ISO/IEC 27002:2022, pubblicata da ISO e IEC nel febbraio 2022. In Italia è recepita come UNI CEI EN ISO/IEC 27002:2023, in vigore dal 16 febbraio 2023, con il titolo Sicurezza delle informazioni, cybersecurity e protezione della privacy - Controlli di sicurezza delle informazioni, come riporta la scheda della norma sullo Store UNI.

Il sommario della scheda UNI la descrive come "un insieme di controlli generici di riferimento per la sicurezza delle informazioni, comprensivi di linee guida per la loro implementazione". La stessa scheda indica tre usi previsti:

• dentro un sistema di gestione per la sicurezza delle informazioni (SGSI) basato sulla ISO/IEC 27001;
• per attuare controlli di sicurezza basati su buone pratiche riconosciute a livello internazionale;
• per scrivere linee guida di gestione della sicurezza specifiche dell'organizzazione.

Il secondo e il terzo uso valgono anche per chi non punta alla certificazione: un'azienda può adottare la 27002 come riferimento per le proprie politiche di sicurezza senza costruire un SGSI completo.

ISO 27002 e Allegato A della ISO 27001: stesso catalogo, due funzioni

Il dubbio più comune riguarda il rapporto tra le due norme, perché parlano degli stessi controlli. La differenza sta nella funzione.

• La ISO/IEC 27001 contiene i requisiti. Il suo punto 1 dice che la norma specifica i requisiti per stabilire, attuare, mantenere e migliorare un SGSI, e che chi dichiara la conformità non può escludere nessuno dei requisiti dei punti dal 4 al 10. In appendice c'è l'Allegato A (Appendice A nella versione UNI), con i controlli di riferimento per la sicurezza delle informazioni.
• La ISO/IEC 27002 contiene le linee guida. Riprende quei controlli e, per ciascuno, spiega come attuarlo. Non aggiunge requisiti.

Le due norme sono allineate. La premessa ISO della 27001 vigente, nella versione italiana, dice che "il testo è stato allineato con la struttura armonizzata per i sistemi di gestione e con la UNI CEI EN ISO/IEC 27002:2023". Lo ricorda anche la guida tecnica di ENISA sul Regolamento di esecuzione (UE) 2024/2690: i controlli elencati nell'Allegato A della 27001 derivano direttamente da quelli della ISO/IEC 27002:2022 e sono allineati a essi. In pratica i controlli portano lo stesso numero nei due documenti: la stessa guida cita il punto 8.2 della 27002 sui diritti di accesso privilegiati, e la tabella di mappatura ENISA collega gli account privilegiati al controllo A.8.2 della 27001.

Una buona sintesi per chi lavora al progetto: l'Allegato A è l'indice dei controlli tra cui scegliere, la 27002 è il manuale per costruirli. Per l'elenco dei controlli, la loro divisione in temi e le novità dell'edizione 2022 c'è l'approfondimento su i controlli dell'Allegato A della ISO 27001.

Cosa aggiunge la 27002 all'Allegato A

Per ogni controllo la 27002 affianca all'enunciato le indicazioni di attuazione. È questa parte che rende la norma utile al lavoro quotidiano: l'Allegato A dice che un controllo esiste, la 27002 dà gli elementi per decidere come applicarlo nel proprio contesto.

Perché la ISO 27002 non si certifica

Un organismo di certificazione verifica requisiti, e la 27002 non ne contiene: è un documento di linee guida. Per questo non esiste un certificato ISO 27002. Chi in un capitolato chiede la 27002 sta chiedendo, quasi sempre, una delle due cose seguenti:

• la certificazione ISO/IEC 27001, che è il titolo verificabile da un ente accreditato;
• la prova che i controlli di sicurezza seguono buone pratiche riconosciute, per esempio con politiche e procedure scritte con la 27002 come riferimento.

Prima di rispondere conviene chiarire quale delle due serve. La prima richiede un percorso di certificazione con audit, la seconda una documentazione solida, che resta comunque il primo passo verso la prima.

Come si usa la 27002 in un progetto ISO 27001

Nel percorso verso la certificazione la 27002 entra in quattro momenti.

1. Nella gap analysis

Per ogni controllo dell'Allegato A si confronta quello che l'azienda fa oggi con le indicazioni della 27002. Il risultato è un elenco di scostamenti concreti, non un giudizio generico di maturità. Come si imposta questo lavoro lo spiega l'articolo sulla gap analysis ISO 27001.

2. Nel trattamento del rischio e nella SoA

Il punto 6.1.3 della 27001 riguarda il trattamento del rischio relativo alla sicurezza delle informazioni. È qui che si scelgono i controlli e si scrive la Dichiarazione di Applicabilità (SoA), con le motivazioni di inclusioni ed esclusioni. Le linee guida della 27002 aiutano a capire cosa comporta davvero un controllo prima di dichiararlo applicabile, evitando di includere misure che poi non si riesce a sostenere.

3. Nella scrittura di politiche e procedure

Le indicazioni di attuazione sono una traccia per scrivere procedure aderenti alla norma e al modo in cui l'azienda lavora davvero. Il rischio da evitare è copiare la norma: una procedura che ne ripete le frasi senza dire chi fa cosa, con quali strumenti e con quale frequenza non regge alla prima domanda dell'auditor.

4. Nella raccolta delle evidenze

In audit non basta dichiarare che un controllo è attivo, bisogna mostrarlo funzionante. Prendiamo il backup: le domande che arrivano riguardano cosa si salva, con quale frequenza, dove sono conservate le copie e quando è stato fatto l'ultimo test di ripristino. Leggere la 27002 prima dell'audit aiuta a preparare queste risposte con evidenze, non a voce. I passi completi del percorso sono nella guida su come ottenere la certificazione ISO 27001.

ISO 27002 e NIS2: un riferimento, non un'equivalenza

Molte aziende si chiedono se i controlli della 27002 coprano gli obblighi NIS2. Un riferimento utile arriva da ENISA. Per il Regolamento di esecuzione (UE) 2024/2690, che fissa i requisiti tecnici e metodologici delle misure NIS2 per alcune categorie di soggetti (tra cui fornitori di cloud computing, data center, servizi gestiti e servizi di sicurezza gestiti), ENISA ha pubblicato una tabella di mappatura (versione 1.2 del 21 agosto 2025) che collega ogni requisito ai controlli della ISO/IEC 27001:2022. Qualche esempio:

• Monitoraggio e registrazione (punto 3.2 dell'allegato al regolamento): controlli A.5.28, A.8.15, A.8.16 e A.8.17;
• Gestione di backup e ridondanza (punto 4.2): controlli A.8.13 e A.8.14;
• Elenco dei fornitori e dei fornitori di servizi (punto 5.2): controllo A.5.22;
• Gestione e divulgazione delle vulnerabilità (punto 6.10): controllo A.8.8;
• Autenticazione a più fattori (punto 11.7): controllo A.8.5.

Visto che i numeri coincidono, le linee guida della 27002 per quei controlli sono un buon punto di partenza per attuare i requisiti corrispondenti. ENISA però mette due avvertenze in testa alla tabella: la mappatura non va interpretata come misura di equivalenza tra standard e regolamento, e ha carattere solo consultivo. Per i soggetti NIS2 italiani vanno lette anche le misure di sicurezza di base stabilite dall'ACN. Dove ISO 27001 e NIS2 si sovrappongono e dove no è il tema dell'approfondimento su NIS2 e ISO 27001.

Gli errori più frequenti con la 27002

• Trattarla come una checklist. La 27002 descrive controlli di riferimento: quali applicare lo decide l'analisi del rischio, non la norma.
• Confonderla con la norma di certificazione. Il certificato è ISO/IEC 27001, e i requisiti dei punti dal 4 al 10 restano obbligatori anche con controlli perfetti.
• Usare un'edizione superata. Il riferimento oggi è la 27002:2022, allineata alla 27001 vigente: politiche e procedure scritte su edizioni precedenti vanno ricontrollate sull'Allegato A attuale.
• Fermarsi alla carta. I controlli tecnologici, dal logging al monitoraggio alla gestione delle vulnerabilità, funzionano solo se qualcuno li presidia ogni giorno.

In sintesi

La ISO/IEC 27002:2022 è il manuale dei controlli di sicurezza delle informazioni: stessi controlli dell'Allegato A della ISO/IEC 27001, stessa numerazione, con in più le indicazioni per attuarli. Non dà un certificato, ma rende più rapido e più solido il percorso verso quello che conta, la certificazione 27001, e offre un linguaggio comune anche verso NIS2.

Se stai preparando la certificazione e vuoi capire quali controlli ti servono davvero e come dimostrarli in audit, trovi come lavoriamo nella pagina dedicata alla certificazione ISO 27001.