Wat is de Verklaring van Toepasselijkheid en waarom is deze belangrijk?
De Verklaring van Toepasselijkheid (Statement of Applicability, SoA) is een document waarin alle beheersmaatregelen uit Bijlage A van ISO 27701:2025 worden vermeld en waarin wordt aangegeven of elke maatregel van toepassing is op uw organisatie. Voor elke van toepassing zijnde beheersmaatregel registreert u de implementatiestatus. Voor elke uitgesloten beheersmaatregel geeft u een onderbouwing.
Het is om drie redenen belangrijk:
- Het definieert de reikwijdte van uw PIMS. — De SoA vertelt je certificeringsinstantie U moet precies aangeven welke beheersmaatregelen u hebt geïmplementeerd en waarom andere zijn uitgesloten. Dit vormt de basis van uw certificeringsaudit.
- Het is een verplichte vereiste. — Clausule 6.1.3 e) van ISO 27701:2025 vereist expliciet een Verklaring van Toepasselijkheid die de noodzakelijke beheersmaatregelen omvat, de rechtvaardiging voor hun opname, of ze zijn geïmplementeerd, en de rechtvaardiging voor het uitsluiten van eventuele beheersmaatregelen uit Bijlage A.
- Dit is uw auditroutekaart. — De auditor gebruikt uw SoA als primaire referentie tijdens de fase 2-audit. Elke controle die als van toepassing is gemarkeerd, wordt beoordeeld op bewijs van implementatie.
Wat moet de SoA (Statement of Action) bevatten?
Volgens ISO 27701:2025 moet uw SoA voor elke beheersmaatregel in Bijlage A het volgende bevatten:
| Vereist element | Beschrijving | Voorbeeld |
|---|---|---|
| Controle referentie | Het controlenummer en de titel van bijlage A | A.1.2 — Privacyverklaring |
| Toepasselijkheidsstatus | Of de controle van toepassing is op uw organisatie. | Van toepassing / Niet van toepassing |
| Implementatiestatus | Voor de van toepassing zijnde beheersmaatregelen: of de beheersmaatregel volledig is geïmplementeerd, gedeeltelijk is geïmplementeerd of gepland is. | Geïmplementeerd |
| Rechtvaardiging voor opname | Waarom deze controle noodzakelijk is voor uw PIMS (meestal gekoppeld aan uw risicobeoordeling) | Vereist om risico R-014 (onvoldoende transparantie voor betrokkenen) aan te pakken. |
| Rechtvaardiging voor uitsluiting | Voor uitgesloten beheersmaatregelen: waarom de beheermaatregel niet van toepassing is op uw gegevensverwerkingsactiviteiten. | Niet van toepassing — de organisatie treedt niet op als verwerker van persoonsgegevens. |
Hoe verschilt de structuur van de SoA 2025 van die van 2019?
Als u bekend bent met de editie van 2019, zult u merken dat de structuur van de SoA aanzienlijk is veranderd:
| Aspect | 2019 editie | 2025 editie |
|---|---|---|
| Controlebron | Clausules 6, 7 en 8 (uitbreidingen op ISO 27002) | bijlage A (78 afzonderlijke besturingselementen verdeeld over 3 tabellen) |
| Structuur | De SoA omvatte zowel bijlage A van ISO 27001 als de aanvullingen op de clausules van ISO 27701. | ISO 27701:2025 heeft een eigen, specifieke SoA die alleen betrekking heeft op Bijlage A. |
| Controletabellen | Georganiseerd volgens de clausulestructuur van ISO 27002. | Drie tabellen: A.1 (controller, 31 besturingselementen), A.2 (processor, 18 besturingselementen), A.3 (gedeeld, 29 besturingselementen) |
| Relatie met ISO 27001 SoA | Gecombineerd of kruisverwezen | Apart document. Als u beide certificeringen bezit, heeft u twee SoA's (Statement of Assessment). |
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Hoe moet je de opbouw van de SoA aanpakken?
Stap 1: Bepaal je rol(len)
ISO 27701:2025 maakt onderscheid tussen persoonsgegevensbeheerders en persoonsgegevensverwerkers. Uw rol bepaalt welke tabellen in bijlage A van toepassing zijn:
- PII-controller alleen — Tabel A.1 (31 controles) + Tabel A.3 (29 controles) = 60 controles
- PII-processor alleen — Tabel A.2 (18 controles) + Tabel A.3 (29 controles) = 47 controles
- Zowel controller als processor — Alle drie de tabellen = 78 controles
Veel organisaties fungeren zowel als verwerkingsverantwoordelijke (voor werknemersgegevens) als verwerker (voor klantgegevens). Als dit voor u geldt, zijn alle 78 beheersmaatregelen van toepassing.
Stap 2: Koppel beheersmaatregelen aan uw risicobeoordeling
Elke toepasselijke beheersmaatregel moet terug te voeren zijn op een risico dat is geïdentificeerd in uw privacyrisicobeoordeling. Deze koppeling wordt door de audit gebruikt om te verifiëren dat uw selectie van beheersmaatregelen risicogebaseerd is en niet willekeurig. Als een beheersmaatregel een risico aanpakt dat u hebt geïdentificeerd, moet deze van toepassing zijn. Als er geen risico is dat de beheersmaatregel rechtvaardigt en uw gegevensverwerking deze niet vereist, kunt u deze uitsluiten met een gedocumenteerde onderbouwing.
Stap 3: Documenteer de implementatiestatus eerlijk.
Noteer voor elke toepasselijke controle de huidige status:
- Geïmplementeerd — De controle is volledig operationeel en er is bewijsmateriaal beschikbaar
- Gedeeltelijk geïmplementeerd Sommige elementen zijn aanwezig; er is nog werk aan de winkel.
- Geplande — De controle is opgenomen in uw implementatieplan, maar nog niet operationeel.
Wees eerlijk over gedeeltelijke implementatie. Auditors waarderen transparantie en zullen met u samenwerken aan een tijdschema voor corrigerende maatregelen. Het claimen van volledige implementatie terwijl er weinig bewijs voor is, leidt snel tot een ernstige afwijking.
Stap 4: Formuleer verdedigbare redenen voor uitsluiting.
Voor elke uitgesloten controlemaatregel moet u toelichten waarom deze niet van toepassing is op uw specifieke gegevensverwerkingscontext. Algemene rechtvaardigingen zoals 'niet relevant' zijn onvoldoende. Voorbeelden van verdedigbare uitsluitingen:
- “Controle A.2.x is niet van toepassing omdat de organisatie niet optreedt als verwerker van persoonsgegevens voor derden.”
- “Controle A.1.x (directe marketing) is niet van toepassing omdat de organisatie geen persoonsgegevens verwerkt voor direct marketingdoeleinden.”
- “Controle A.3.x (fysieke media) is niet van toepassing omdat de organisatie persoonsgegevens uitsluitend digitaal verwerkt en geen fysieke documenten bijhoudt.”
Welke fouten leiden tot bevindingen bij de audit met betrekking tot de SoA?
- Ontbrekende rechtvaardigingen voor uitsluitingen — De meest voorkomende bevinding. Elke uitgesloten controlemaatregel vereist een specifieke, gedocumenteerde reden. "Niet van toepassing" alleen is niet voldoende.
- Controles die als geïmplementeerd zijn gemarkeerd, maar zonder bewijs. — Als u een controle als geïmplementeerd markeert, zal de auditor om bewijsmateriaal vragen. Zorg ervoor dat er bewijsmateriaal aanwezig is en dat er een link naar dit bewijsmateriaal is voordat de audit plaatsvindt.
- De SoA komt niet overeen met de risicobeoordeling. — Als uw risicobeoordeling een privacyrisico aan het licht brengt, maar de bijbehorende beheersmaatregel niet in de SoA is opgenomen, zal de auditor dit als een non-conformiteit signaleren.
- Gebruikmakend van de structuur van 2019 — Als uw SoA verwijst naar de toevoegingen aan de controller/processor in clausule 7/8 in plaats van naar de tabellen in bijlage A, voldoet deze niet aan de eisen. 2025 vereisten.
- Geen versiebeheer — De SoA (Statement of Accounts) is een dynamisch document. Als er geen versiegeschiedenis is die aangeeft wanneer het document voor het laatst is herzien en bijgewerkt, kan de auditor zich afvragen of het de huidige situatie wel correct weergeeft.
Ga eenvoudig aan de slag met een persoonlijke productdemo
Een van onze onboarding-specialisten legt u graag uit hoe ons platform werkt, zodat u vol vertrouwen aan de slag kunt.
Hoe houd je de SoA actueel?
Uw Statement of Action (SoA) is geen eenmalig document. Het moet regelmatig worden herzien en bijgewerkt.
- Na wijzigingen in de risicobeoordeling — Nieuwe risico's vereisen mogelijk aanvullende beheersmaatregelen; voor risico's die niet langer onder controle zijn, kunnen uitzonderingen gelden.
- Wanneer de activiteiten voor gegevensverwerking veranderen — Nieuwe diensten, nieuwe gegevenstypen of nieuwe verwerkingsrelaties kunnen van invloed zijn op welke beheersmaatregelen van toepassing zijn.
- Vóór elke audit — Zorg ervoor dat de SoA (Statement of Action) uw huidige implementatiestatus nauwkeurig weergeeft.
- Als onderdeel van de managementevaluatie — Voeg de SoA-valuta toe als vast agendapunt.
Een complianceplatform dat de SoA (Statement of Action) genereert op basis van uw realtime controlegegevens, maakt dit proces automatisch in plaats van handmatig. Wanneer u de status van een controle bijwerkt of een nieuw risico toevoegt, wordt de wijziging direct in de SoA weergegeven.
Waarom kiezen voor ISMS.online voor ISO 27701:2025?
- Geautomatiseerde SoA-generatie — Stel uw toepassingsverklaring samen op basis van uw selectiecriteria, waarbij de onderbouwingen en links naar bewijsmateriaal automatisch worden ingevuld.
- Alle 78 bedieningselementen van bijlage A zijn vooraf geladen. — De controller, processor en gedeelde besturingselementen zijn gereed voor beoordeling, met bijbehorende handleidingen.
- Traceerbaarheid van risico naar beheer — Koppel elke beheersmaatregel aan de risico's die ermee worden aangepakt, zodat auditors de bewijsketen krijgen die ze verwachten.
- Live document — Uw SoA wordt automatisch bijgewerkt wanneer u de controlestatus wijzigt, risico's toevoegt of de rechtvaardiging voor uitsluitingen aanpast.
- Versiegeschiedenis — Volledig auditspoor van SoA-wijzigingen, waarmee aan de versiebeheervereiste wordt voldaan zonder handmatige registratie.
- Klaar voor export Exporteer uw SoA in een professioneel formaat voor uw certificeringsinstantie, klanten of management ter beoordeling.
- Multi-framework — Als u zowel ISO 27001 als ISO 27701 hanteert, beheert het platform beide standaarden met gedeelde beheermogelijkheden die over de verschillende frameworks heen zijn gekoppeld.
Klaar om uw Verklaring van Toepasselijkheid op te stellen? Boek een demo en ontdek hoe ISMS.online ervoor zorgt dat uw ISO 27701:2025-certificering vanaf dag één klaar is voor een audit van de Verklaring van Toepasselijkheid.
Veelgestelde Vragen / FAQ
Hoeveel controls moeten er in mijn SoA zitten?
Uw SoA moet alle 78 beheersmaatregelen van Bijlage A (of de subset die relevant is voor uw rol als verwerkingsverantwoordelijke, verwerker of beide) bevatten. Elke beheersmaatregel is ofwel van toepassing, ofwel uitgesloten met een onderbouwing. Het aantal van toepassing zijnde beheersmaatregelen verschilt per organisatie, maar de meeste organisaties die zowel als verwerkingsverantwoordelijke als verwerker optreden, hebben 50 tot 70 van toepassing zijnde beheersmaatregelen.
Heb ik een aparte SoA nodig voor ISO 27701 en ISO 27001?
Ja. Volgens de 2025-editie heeft ISO 27701 een eigen bijlage A met privacyspecifieke beheersmaatregelen, los van bijlage A van ISO 27001. Als u beide certificeringen bezit, beheert u twee standaarden van overeenstemming (SoA's). Een complianceplatform zoals ISMS.online beheert beide standaarden en brengt gedeelde beheersmaatregelen in kaart, zodat u geen dubbel werk hoeft te verrichten.
Kan ik een volledige tabel in Bijlage A uitsluiten?
Ja, als uw rol dat rechtvaardigt. Als u bijvoorbeeld uitsluitend persoonsgegevens verwerker bent en nooit als verwerkingsverantwoordelijke optreedt, kunt u alle beheersmaatregelen van Tabel A.1 (verwerkingsverantwoordelijke) uitsluiten met de rechtvaardiging dat u de doeleinden of middelen van de verwerking van persoonsgegevens niet bepaalt. Tabel A.3 (gedeelde beheersmaatregelen) is van toepassing op alle organisaties, ongeacht hun rol.
Welk bewijsmateriaal moet aan elke controlegroep worden gekoppeld?
Het bewijsmateriaal verschilt per type controle, maar omvat doorgaans: beleid (goedgekeurd en erkend), procedures (gedocumenteerd en nageleefd), registraties (logboeken, registers, notulen van vergaderingen) en technisch bewijs (systeemconfiguraties, toegangscontroles). De kern is aantonen dat de controle niet alleen gedocumenteerd is, maar ook effectief functioneert.
Hoe vaak moet de SoA (Statement of Action) worden herzien?
Controleer de SoA minimaal jaarlijks als onderdeel van uw managementreviewcyclus en vóór elke certificering of surveillance-audit. U dient de SoA ook bij te werken wanneer er een significante wijziging is in uw gegevensverwerkingsactiviteiten, risicoprofiel of organisatiestructuur. Een live, door het platform gegenereerde SoA blijft automatisch actueel wanneer u uw controles bijwerkt.
