Je observatie is volledig terecht en wordt gedeeld door veel security-experts die werken met ISO/IEC 27002:2022. De 15 Operational Capabilities die als één van de vijf sets attributes zijn toegevoegd in de 2022-versie van ISO 27002, worden inderdaad gebruikt om de context en toepasbaarheid van controls te duiden — maar wat betreft officiële definities zit je in een grijs gebied. Conclusie (expert-level antwoord): Nee, er bestaat geen officiële, normatief bindende ISO-definitie van de 15 Operational Capabilities in ISO/IEC 27002:2022. Ze zijn niet gespecificeerd of gedefinieerd in ISO/IEC 27000, 27001, noch volledig in 27002. De termen zijn bedoeld als taxonomisch hulpmiddel, niet als formele begrippen met een vaste definitie in de ISO-familie. Achtergrond: De attributen, inclusief de Operational Capabilities, zijn bedoeld om: Controls te filteren of groeperen op basis van organisatorische behoeften, Risicogebieden te koppelen aan relevante domeinen (zoals Physical Security), En om ...