Je observatie is volledig terecht en wordt gedeeld door veel security-experts die werken met ISO/IEC 27002:2022. De 15 Operational Capabilities die als één van de vijf sets attributes zijn toegevoegd in de 2022-versie van ISO 27002, worden inderdaad gebruikt om de context en toepasbaarheid van controls te duiden — maar wat betreft officiële definities zit je in een grijs gebied.
Conclusie (expert-level antwoord):

Nee, er bestaat geen officiële, normatief bindende ISO-definitie van de 15 Operational Capabilities in ISO/IEC 27002:2022. Ze zijn niet gespecificeerd of gedefinieerd in ISO/IEC 27000, 27001, noch volledig in 27002. De termen zijn bedoeld als taxonomisch hulpmiddel, niet als formele begrippen met een vaste definitie in de ISO-familie.

Achtergrond:

De attributen, inclusief de Operational Capabilities, zijn bedoeld om:

Controls te filteren of groeperen op basis van organisatorische behoeften,

Risicogebieden te koppelen aan relevante domeinen (zoals Physical Security),

En om automatisering of tooling (zoals GRC-software) te ondersteunen.

De 15 Operational Capabilities zijn:

Asset Management

Business Continuity

Compliance

Human Resource Security

Information Security Event Management

Information Transfer

Identity and Access Management

Physical Security

Secure Configuration

Supplier Relationships

System Acquisition, Development and Maintenance

Threat and Vulnerability Management

Use of Cloud Services

User Endpoint Devices

Workforce Planning

Wat zegt ISO er wél over?

De enige "semi-officiële" toelichting die ISO geeft, is te vinden in:

ISO/IEC 27002:2022 – Annex A, en

"ISO/IEC TS 27022" of ISO/IEC TR 27016 worden soms gebruikt als guidance, maar bevatten ook geen formele definities van deze attributen.

Wat doen experts en auditors dan?

In praktijk worden deze termen geïnterpreteerd op basis van gangbare security-praktijken (bijv. NIST, ENISA, ISACA).

Veel organisaties ontwikkelen eigen interpretatiekaders voor deze capabilities binnen hun ISMS/GRC-platform.

Er wordt vaak verwezen naar ISO/IEC 27005 (risicobeheer) voor context van toepassingsgebieden.

Dank voor je complete antwoord. Inderdaad niet het gehoopte antwoord, maar wel heel duidelijk en bevestigend van wat ik al dacht. Benieuwd of anderen hier nog anders tegen aankijken, of toevallig de bron voor "officiele" definities kennen.

Zijn dit de 15 Operationele Capaciteiten? Sure?

Dit lijken me zeer valide vragen, maar zoom eens een beetje uit, en kijk dan of deze zeer hoge theoretische graad je niet iets te ver af laten staan van de praktijk.

Je loopt het risico om je volledige management laag kwijt te raken als je het hebt over Operational Capabilities attributes, terwijl zij nog zitten te worstelen met wie er nu de baas is over een proces/procedure document, en hoe ze de medewerkers zo ver krijgen om ook eens een keer op te schrijven wat ze doen, en te doen wat er is opgeschreven.

Kwaliteitsmedewerkers zijn vaak in staat om zich ergens 4 cijfers achter de komma druk te maken over een norm-definitie, en of de Nederlandse vertaling wel recht doet aan de Amerikaanse text, maar krijgen het niet voor elkaar om naast opzet en bestaan, de werking een beetje vlot te trekken.

Ik denk dat je beter een matig systeem lekker kunt laten werken, dan een perfect systeem dat alleen tijdens de audit-week werkt.
Ow, en kwalitietsmedewerkers vinden altijd wel een reden om het met elkaar oneens te zijn, prove me wrong. :-)

Ja. Zie paragraaf 4.2 van de ISO27002-2022:


Alle beheersmaatregelen krijgen vervolgens een of meer van die capaciteiten toegewezen in de vervolghoofdstukken van het document, zoals:

5.13: Labelen van informatie -> #Informatiebescherming
6.4: Disciplinaire procedure -> #Personeelsbeveiliging
8.10: Wissen van informatie -> #Informatiebescherming, #Juridisch_en_compliance

Ik dacht nu juist dat kwaliteitsmedewerkers er allemaal van overtuigd zijn dat Management in de weg zit van lekker werken ?

:)

Het meest eenvoudige is om een control framework aan te leggen gebaseerd op deze 15 gebieden. Het voorzien dan de juiste labels is daarnaast handig wanneer je met meerdere certificedingen te maken hebt.
Wij hebben onze globale framework rond ISO ingericht en vanuit dit de diverse policies gedefinieerd. Sommige policy’s bevatt n meerdere gebieden maar dat is niet zo erg.
Hieruit krijg je een kapstok waar je weer onderliggende procedures aan kunt hangen en dagelijkse processen mee kunt beschrijven. Omdat policies ook de juiste RACI modellen bevatten kun je dan ook proces eigenaren verantwoordelijk maken voor hun proces omschrijving. En dan het mooie, je kan hierop gaan benchmarken en controles uitvoeren en met de juiste vertaling kan je ook heel snel naar SOC 2 type 1 en vervolgens naar type 2.