Waarom werd ISO 27701 herzien?
ISO 27701:2019 werd gepubliceerd als een uitbreiding op ISO 27001 en ISO 27002, waarbij privacy-specifieke eisen en controles werden toegevoegd aan een bestaand informatiebeveiligingsmanagementsysteem. Hoewel deze aanpak voordelen had, creëerde ze praktische problemen: organisaties moesten ISO 27001-gecertificeerd zijn voordat ze zich konden certificeren volgens ISO 27701, privacycontroles waren verspreid over meerdere clausules en de structuur sloot niet goed aan op de manier waarop organisaties in de praktijk met privacy omgaan.
De herziening van 2025 pakt al deze kwesties aan. ISO 27701:2025 is een op zichzelf staande norm voor managementsystemen met een eigen, complete set eisen in clausules 4 tot en met 10, een herontworpen bijlage A met 78 duidelijk gecategoriseerde privacycontroles en nieuwe koppelingsbijlagen die de norm verbinden met de AVG , ISO 29100 en de voorganger uit 2019. Voor een volledig overzicht van de wijzigingen kunt u onze handleiding raadplegen over de vernieuwingen in ISO 27701:2025.
Hoe is de structuur veranderd?
De meest fundamentele verandering is dat ISO 27701:2025 niet langer een uitbreidingsnorm is. Het is een complete, op zichzelf staande norm voor een privacyinformatiebeheersysteem (PIMS).
| Aspect | ISO 27701:2019 | ISO 27701:2025 |
|---|---|---|
| Standaard type | Uitbreiding van ISO 27001/ISO 27002 | Standaard voor zelfstandig beheersysteem |
| Eerste vereiste | ISO 27001-certificering vereist | Geen voorvereisten; zelfstandige certificering mogelijk |
| Beheersysteemclausules | Aanvulling op ISO 27001 clausules 4 tot en met 10 | Bevat zijn eigen volledige clausules 4 tot en met 10. |
| Locatie van privacyinstellingen | Clausules 7 (controller) en 8 (processor) met ingebouwde besturingselementen | Bijlage A met drie tabellen: A.1 Controller, A.2 Processor, A.3 Gedeeld |
| Implementatiebegeleiding | Afgewisseld met normatieve controles | Onderverdeeld in Bijlage B (normatief) |
| Risicobeoordeling | Uitgebreid ISO 27001-proces voor risicobeoordeling van informatiebeveiliging | Specifieke privacyrisicobeoordeling in Artikel 6 |
| Verklaring van toepasbaarheid | De ISO 27001 SoA is uitgebreid. | Zelfstandige SoA die betrekking heeft op de bepalingen van Bijlage A |
| De klimaatcrisis | Niet geadresseerd | Inbegrepen Artikelen 4.1 en 4.2 contextuele overwegingen |
| Certificering | Altijd gecombineerd met ISO 27001 | Afzonderlijk of gecombineerd, naar keuze van de organisatie. |
Deze structurele verandering betekent dat organisaties die een privacycertificering nastreven, niet langer eerst een volledig informatiebeveiligingsbeheersysteem hoeven te implementeren. Zie onze handleiding voor zelfstandige certificering voor meer informatie over wat dit inhoudt.
Clausules 4 tot en met 10: eisen voor een zelfstandig beheersysteem
In de editie van 2019 vormden clausules 5 tot en met 8 een aanvulling op de overeenkomstige ISO 27001-clausules. De editie van 2025 bevat volledig op zichzelf staande clausules:
- Clausule 4 (Context) — Stelt de reikwijdte van het PIMS onafhankelijk vast, inclusief de nieuwe eis om de relevantie van klimaatverandering in overweging te nemen.
- Artikel 5 (Leiderschap) — Definieert de verantwoordelijkheden van het topmanagement met betrekking tot privacy, inclusief een privacybeleid en de toewijzing van rollen.
- Artikel 6 (Planning) — Introduceert een specifiek proces voor de beoordeling en behandeling van privacyrisico's, los van het risicobeheer op het gebied van informatiebeveiliging.
- Artikel 7 (Ondersteuning) — Omvat middelen, competentie, bewustzijn, communicatie en gedocumenteerde informatie voor het PIMS.
- Artikel 8 (Operatie) — Operationele planning en controle van privacyprocessen
- Artikel 9 (Prestatiebeoordeling) — Monitoring, meting, interne audit en managementevaluatie van het PIMS
- Artikel 10 (Verbetering) — Beheer van afwijkingen, corrigerende maatregelen en continue verbetering
Dit betekent dat een organisatie een compleet privacy-informatiebeheersysteem kan bouwen en certificeren zonder ook maar enigszins naar ISO 27001 te hoeven verwijzen. Voor een gedetailleerde uitleg, zie onze ISO 27701:2025-vereistenhandleiding.
Hoe is de controlestructuur van bijlage A gereorganiseerd?
De editie van 2019 bevatte privacycontroles in clausules 7 en 8, waarbij normatieve vereisten werden vermengd met implementatierichtlijnen. Dit maakte het moeilijk om onderscheid te maken tussen wat verplicht was en wat adviserend was, en bemoeilijkte het opstellen van een verklaring van toepasbaarheid.
ISO 27701:2025 hanteert een compleet andere aanpak. Alle privacycontroles zijn nu opgenomen in Annex A , georganiseerd in drie overzichtelijke tabellen:
| tafel | strekking | Aantal bedieningselementen | Geldt voor |
|---|---|---|---|
| Tabel A.1 | PII-controllerbesturing | 31 | Organisaties die optreden als gegevensverwerkers |
| Tabel A.2 | PII-processorbesturing | 18 | Organisaties die optreden als gegevensverwerkers |
| Tabel A.3 | Gedeelde controles | 29 | Alle organisaties, ongeacht hun rol. |
De implementatierichtlijnen zijn verplaatst naar Bijlage B, die normatief van aard is en gebruikmaakt van 'zou moeten'-formuleringen om implementatieaanbevelingen te geven. Deze scheiding maakt de norm gemakkelijker te controleren en duidelijker voor organisaties om te implementeren, omdat precies te zien is welke beheersmaatregelen verplicht zijn en welke richtlijnen deze ondersteunen.
Ga eenvoudig aan de slag met een persoonlijke productdemo
Een van onze onboarding-specialisten legt u graag uit hoe ons platform werkt, zodat u vol vertrouwen aan de slag kunt.
Wat is er gebeurd met de meer dan 150 bedieningselementen uit de editie van 2019?
De editie van 2019 bevatte beheersmaatregelen verspreid over clausules 6, 7 en 8 (ongeveer 49 privacyspecifieke beheersmaatregelen in clausules 7 en 8, plus meer dan 90 beveiligingssubclausules met betrekking tot persoonsgegevens in clausule 6), waarvan vele uitbreidingen waren op de beheersmaatregelen van ISO 27002. De editie van 2025 bevat 78 beheersmaatregelen in bijlage A. Dit betekent geen vermindering van de reikwijdte. De beheersmaatregelen zijn daarentegen geconsolideerd, geherstructureerd en in veel gevallen gecombineerd waar sprake was van overlapping.
Belangrijke veranderingen in het besturingslandschap:
- Consolidering — Gerelateerde beheersmaatregelen die in 2019 over meerdere clausules verspreid waren, zijn in 2025 samengevoegd tot één allesomvattende beheersmaatregel.
- Duidelijkere categorisatie — Besturingselementen worden nu expliciet toegewezen aan controller-, processor- of gedeelde categorieën, waardoor onduidelijkheid wordt weggenomen.
- Dubbele vermeldingen verwijderd — De editie van 2019 bevatte controles die de vereisten van ISO 27002 dupliceerden. De editie van 2025 heeft een eigen set specifieke controles, waardoor onnodige overlappingen worden verwijderd.
- Nieuwe bedieningselementen — Op sommige gebieden zijn nieuwe of aanzienlijk uitgebreidere controlemechanismen ingevoerd, met name op het gebied van geautomatiseerde besluitvorming (A.1.3.11 Geautomatiseerde besluitvorming), de-identificatie en anonimisering (A.1.4.6 De-identificatie en verwijdering) en veilige ontwikkelingspraktijken (A.3.27 Levenscyclus van veilige ontwikkeling)
Voor een gedetailleerde koppeling tussen de beheersmaatregelen van 2019 en 2025 is bijlage F van ISO 27701:2025 opgenomen. Deze bijlage bevat een complete correspondentietabel die laat zien hoe elke beheersmaatregel van 2019 overeenkomt met de overeenkomstige beheersmaatregel van 2025.
Welke nieuwe bijgebouwen zijn er toegevoegd?
De editie van 2025 bevat bijgewerkte kaartbijlagen en één volledig nieuwe bijlage (Bijlage F), naast de herziene Bijlage A en Bijlage B:
| Bijlage | Onderwerp | Type | Doel |
|---|---|---|---|
| A | Privacycontroles | Normatief | 78 verplichte controles in 3 tabellen (controller, processor, gedeeld) |
| B | Implementatiebegeleiding | Normatief | Gedetailleerde richtlijnen voor de implementatie van elke controle in Bijlage A. |
| C | Overeenkomst met ISO/IEC 29100 | leerzaam | Koppelt de bedieningselementen aan de 11 privacyprincipes van ISO 29100. |
| D | Koppeling naar de AVG | leerzaam | Koppelt beheertools aan relevante AVG-artikelen voor afstemming op de naleving. |
| E | Overeenkomstig ISO 27018 en ISO 29151 | leerzaam | Overeenkomst met normen voor cloudprivacy en bescherming van persoonsgegevens. |
| F | Overeenkomst met ISO 27701:2019 | leerzaam | Volledige afstemming tussen de controlemaatregelen van 2019 en 2025 voor transitieplanning. |
De opname van bijlage D (AVG-mapping) is met name belangrijk voor Europese organisaties, omdat deze een officiële referentie biedt voor de wijze waarop ISO 27701-maatregelen aansluiten op specifieke AVG-artikelen. Dit maakt het aanzienlijk eenvoudiger om ISO 27701-certificering te gebruiken als bewijs van AVG-naleving.
Wat zijn de belangrijkste praktische verschillen bij de implementatie?
Naast de structurele veranderingen zijn er diverse praktische verschillen die van invloed zijn op de manier waarop organisaties de standaard implementeren:
- Privacyrisicobeoordeling — Clausule 6 vereist nu een aparte risicobeoordeling op het gebied van privacy, los van de risicobeoordeling op het gebied van informatiebeveiliging. Deze beoordeling moet specifiek ingaan op de risico's voor de betrokkenen bij de verwerking van persoonsgegevens (PII-principals), en niet alleen op de risico's voor de organisatie.
- Verklaring van toepasbaarheid — U moet een Statement of Action (SoA) opstellen voor de beheersmaatregelen in Bijlage A, waarin wordt gedocumenteerd welke beheersmaatregelen van toepassing zijn, uw rechtvaardiging voor het wel of niet opnemen van elke maatregel, en de implementatiestatus. Dit is nu een expliciete vereiste en geen overgenomen vereiste van ISO 27001.
- De klimaatcrisis — Na de wijziging van alle ISO-managementsysteemnormen in 2024 vereisen clausules 4.1 en 4.2 nu dat organisaties overwegen of klimaatverandering relevant is voor het PIMS. Dit is een korte overweging, geen gedetailleerde milieubeoordeling.
- Duidelijker controletraject — De scheiding van normatieve controles (bijlage A) en implementatierichtlijnen (bijlage B) vereenvoudigt de auditvoorbereiding. Auditors beoordelen aan de hand van bijlage A; bijlage B biedt de context.
- Vereenvoudigde documentatie Omdat de norm op zichzelf staat, hoeven organisaties niet te verwijzen naar ISO 27001 en ISO 27002 om hun verplichtingen te begrijpen. Alles staat in één document.
Impact op bestaande documentatie
Organisaties die de overgang maken van 2019 naar 2025 moeten rekening houden met een aantal belangrijke updates van documenten:
- Privacybeleid — Moet de reikwijdte van het zelfstandige PIMS weerspiegelen in plaats van te verwijzen naar het ISO 27001 ISMS.
- Risicobeoordelingsmethodologie — Er moet aandacht worden besteed aan privacyspecifieke risico's voor betrokkenen met betrekking tot persoonsgegevens, en niet alleen aan risico's voor de informatiebeveiliging van de organisatie als geheel.
- Verklaring van toepasbaarheid — Moet opnieuw worden opgebouwd aan de hand van de 78 controles van bijlage A, met een onderbouwing voor de opname of uitsluiting van elk ervan.
- Verwerking van gegevens — De controlevereisten voor verwerkingsgegevens (A.1.2.9 Registraties van de verwerking van persoonsgegevens en A.2.2.7 Registraties van de verwerking van persoonsgegevens) worden in 2025 explicieter gedefinieerd.
- Intern auditprogramma — De auditcriteria moeten verwijzen naar de clausulestructuur van 2025 en de controles in Bijlage A.
Voor een uitgebreid overzicht van de eisen voor 2025 kunt u onze handleiding voor ISO 27701:2025 raadplegen.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Wat betekent dit voor organisaties die momenteel gecertificeerd zijn voor 2019?
Als uw organisatie al ISO 27701:2019-gecertificeerd is, vereist de overgang naar 2025 een zorgvuldige planning, maar betekent dit niet dat u helemaal opnieuw moet beginnen. Veel van het werk dat u al hebt gedaan, blijft geldig. Uw bestaande privacybeleid, verwerkingsgegevens en veel van uw operationele procedures worden overgenomen, zij het met updates in plaats van een volledige vervanging.
De belangrijkste aandachtspunten zijn:
- Gap-analyse ten opzichte van bijlage A — Koppel uw bestaande beheersmaatregelen uit 2019 aan de 78 beheersmaatregelen in Bijlage A met behulp van bijlage F gebruik dit als referentie. Identificeer eventuele nieuwe controles die u nog niet eerder hebt behandeld.
- Herbeoordeling van privacyrisico's — Uw risicobeoordelingsmethodologie moet mogelijk worden bijgewerkt om te voldoen aan de vereisten van clausule 6, die specifiek gericht zijn op risico's voor persoonsgegevens in plaats van op risico's voor de informatiebeveiliging van de organisatie.
- SoA-reconstructie — Uw verklaring van toepasbaarheid moet worden herschreven volgens de nieuwe structuur van bijlage A, met een onderbouwing voor elk van de 78 beheersmaatregelen.
- Onafhankelijkheidsbeoordeling — Als u ISO 27701:2025 als een op zichzelf staande norm wilt certificeren, zorg er dan voor dat uw PIMS-documentatie op zichzelf staat en niet voor volledigheid afhankelijk is van verwijzingen naar uw ISO 27001 ISMS.
Wat is het tijdschema voor de transitie?
Organisaties die momenteel gecertificeerd zijn volgens ISO 27701:2019 moeten uiterlijk oktober 2028 overstappen naar de editie van 2025. Belangrijke mijlpalen:
- Nu — ISO 27701:2025 is gepubliceerd en beschikbaar voor implementatie.
- 2025 tot 2026 — Certificeringsinstanties ronden hun accreditatie af en beginnen met het aanbieden van ISO 27701:2025-audits.
- Oktober 2028 — Alle ISO 27701:2019-certificaten verlopen. De overgang moet voltooid zijn.
De overgangsperiode van drie jaar is ruim, maar organisaties moeten niet tot het laatste moment wachten. Vroege gebruikers profiteren van minder concurrentie om beschikbare auditors en meer tijd om eventuele tekortkomingen aan te pakken die tijdens de implementatie aan het licht komen.
Organisaties die nog niet voldoen aan ISO 27701 dienen direct de 2025-editie te implementeren. Het heeft op dit moment geen zin om de 2019-editie te implementeren, aangezien deze aan het einde van de overgangsperiode wordt ingetrokken. Raadpleeg onze overgangshandleiding voor een stapsgewijze planning van de overgang.
Waarom kiezen voor ISMS.online voor uw transitie?
ISMS.online is speciaal ontwikkeld om organisaties te helpen bij de overgang van 2019 naar 2025 en om efficiënt certificering te behalen:
- Voorgebouwd ISO 27701:2025-raamwerk — Begin met de complete clausulestructuur, waarbij alle 78 controles en implementatierichtlijnen van Bijlage A al in kaart zijn gebracht en klaar zijn om te worden aangepast.
- Hulpmiddelen voor gapanalyse — Stel precies vast waar uw bestaande PIMS voldoet aan de eisen van 2025 en waar nog werk nodig is.
- Verklaring van toepasbaarheid — Stel uw Statement of Action (SoA) op en houd deze bij met controleverantwoordingen, implementatiestatus en gekoppeld bewijsmateriaal.
- Privacyrisicoregister — Geïntegreerde risicobeoordelings- en behandelingsworkflows die aansluiten op de vereisten van clausule 6
- Auditgereedheidsdashboard — Houd uw voortgang bij, centraliseer bewijsmateriaal en zorg ervoor dat u klaar bent voor de certificering vóór uw auditdatum.
Veelgestelde vragen
Moet ik mijn certificering volgens de editie van 2025 opnieuw behalen?
Ja. Alle ISO 27701:2019-certificaten moeten uiterlijk oktober 2028 worden omgezet naar de 2025-editie. Dit kan gebeuren tijdens een geplande surveillance- of hercertificeringsaudit, of via een speciale overgangsaudit. Uw certificeringsinstantie beoordeelt uw PIMS aan de hand van de 2025-vereisten, inclusief de herziene beheersmaatregelen in Bijlage A en de nieuwe vereisten voor de privacyrisicobeoordeling in Clausule 6.
Kan ik mijn bestaande ISO 27001 ISMS gebruiken naast ISO 27701:2025?
Absoluut. ISO 27701:2025 is ontworpen om zowel als zelfstandige norm te functioneren als aanvulling op ISO 27001. Als u al een ISMS (Information Security Management System) hebt, kunt u uw PIMS (Performance Information Management System) daarin integreren en gemeenschappelijke elementen van het managementsysteem delen, zoals documentbeheer, interne audits en managementbeoordelingen. Veel organisaties kiezen voor deze aanpak om dubbel werk in beide systemen te voorkomen.
Wat is de deadline voor de overgang van ISO 27701:2019?
De deadline voor de transitie is oktober 2028. Na deze datum zijn alle ISO 27701:2019-certificaten niet langer geldig. Organisaties dienen hun transitie ruim van tevoren te plannen om de beschikbaarheid van auditors te garanderen en voldoende tijd in te plannen voor eventuele noodzakelijke aanpassingen aan hun privacybeheersysteem.
Ontdek precies waar uw huidige PIMS tekortschiet met onze stapsgewijze analysehandleiding.
Bekijk de snelste route naar certificering voor een realistische tijdsplanning op basis van uw startpunt.
Leer van anderen en bekijk de meest voorkomende implementatiefouten.
