Verklaring van toepasselijkheid

De lijst waarin u per beheersmaatregel uit bijlage A van ISO 27001 aangeeft of u die toepast en waarom wel of niet. In het Engels heet het de Statement of Applicability, afgekort SoA.

Wat erin hoort

• alle 93 maatregelen uit bijlage A, geen enkele overgeslagen
• per maatregel: toegepast of niet
• per maatregel de onderbouwing, verwijzend naar uw risicoanalyse
• waar de maatregel is uitgewerkt, dus naar welk document of proces
• versienummer, datum en wie het heeft vastgesteld

Wie stelt het vast

Vaststelling gebeurt door de verantwoordelijke voor informatiebeveiliging, met goedkeuring van het bestuur. Zonder datum en zonder vaststeller heeft een document geen status, en dan telt het bij een controle niet mee als bewijs.

Hoe vaak herzien

Herzien: bij elke wijziging van de risicoanalyse, en minimaal jaarlijks. Zet de volgende herzieningsdatum in het document zelf, dan is het bij een controle meteen duidelijk of het actueel is.

Hoe lang moet het zijn

een tabel van 93 regels. De onderbouwing per regel is één of twee zinnen, geen alinea.

Fouten die er het vaakst in zitten

• Maatregelen uitsluiten met de tekst 'niet van toepassing' zonder uitleg. Dat wordt afgekeurd.
• Nog de indeling van 2013 met 114 maatregelen gebruiken in plaats van de 93 uit 2022.
• De verklaring maken vóór de risicoanalyse, waardoor de onderbouwing nergens naar verwijst.

Hoe de tabel eruitziet

Vijf kolommen volstaan, en een auditor kan er in één blik doorheen:

De vierde kolom is waar het om draait. Elke regel verwijst naar een genummerd risico uit uw eigen analyse of naar een feit over uw organisatie. Staat er bij elke regel dezelfde algemene zin, dan weet een auditor binnen twee minuten dat het document achteraf is ingevuld.

Waarom auditors hier beginnen

De verklaring van toepasselijkheid laat in één document zien of uw managementsysteem echt is of alleen op papier bestaat. Staat er bij elke maatregel dezelfde standaardzin, dan weet een auditor binnen twee minuten genoeg. Verwijst elke regel naar een specifiek risico en een specifiek document, dan is het omgekeerde waar.

Dat maakt dit document ook nuttig voor uzelf: het is de enige plek waar u in één overzicht ziet welke keuzes u gemaakt heeft en waarom.

Uitsluiten mag, maar onderbouw het

U hoeft niet alle 93 maatregelen toe te passen. Heeft u geen eigen softwareontwikkeling, dan zijn de ontwikkelmaatregelen niet van toepassing. Schrijf dat dan ook zo op: 'wij ontwikkelen geen software, alle applicaties worden ingekocht'. Dat is een onderbouwing. 'Niet van toepassing' is dat niet.

Verhouding tot de Cyberbeveiligingswet

De wet vraagt dit document niet met zoveel woorden, maar het is wel de handigste manier om aan te tonen dat uw maatregelkeuze onderbouwd is. De wet vraagt niet om een bepaald document, maar om aantoonbare maatregelen. Dit document is de gebruikelijke manier om dat aan te tonen.

Verhouding tot ISO 27001

Verplicht onderdeel van ISO 27001. Een auditor begint hier vrijwel altijd, omdat het in één oogopslag laat zien of uw systeem hout snijdt. Zie de ISO 27001-checklist voor het volledige overzicht.

De koppen die in het document zelf horen te staan

Losstaand van de tabel met 93 maatregelen werkt een verklaring van toepasselijkheid het best met een paar vaste koppen die het document leesbaar maken voor iemand die het voor het eerst opent.

• Een inleiding van een paar regels: wat dit document is en waarom het bestaat.
• De reikwijdte: op welke onderdelen van de organisatie de verklaring van toepassing is.
• Verwijzing naar de risicoanalyse waarop de keuzes zijn gebaseerd, met versienummer.
• De tabel zelf, ingedeeld naar de hoofdstukken van bijlage A.
• Versiebeheer: wie heeft wanneer welke wijziging aangebracht.

Veel verklaringen bestaan uit niets anders dan de tabel. Dat werkt, maar een auditor die voor het eerst binnenkomt mist dan de context: waarom is dit de reikwijdte, en op basis van welke analyse is dit ingevuld. Die twee regels tekst besparen een hoop uitleg tijdens het gesprek zelf. Wilt u eerst de basis van de norm helder hebben, lees dan wat ISO 27001 precies inhoudt voordat u de tabel invult.

Verschil met de risicoanalyse

De verklaring van toepasselijkheid en de risicoanalyse worden vaak als hetzelfde document gezien, omdat ze naar elkaar verwijzen. Het verschil zit in de richting. De risicoanalyse identificeert wat er mis kan gaan en hoe zwaar dat weegt. De verklaring van toepasselijkheid vertaalt die uitkomst naar een keuze per maatregel uit bijlage A: past u hem toe, en waarom. Zonder risicoanalyse is de verklaring een lijst met aannames; zonder verklaring blijft de risicoanalyse zonder vertaalslag naar concrete maatregelen.

Veelgestelde vragen

Kan ik hiervoor een sjabloon gebruiken?

Als startpunt voor de structuur wel. De inhoud moet over uw organisatie gaan, anders valt het bij de eerste controle door de mand. Een auditor vraagt een medewerker naar iets wat erin staat; kent niemand het, dan is dat een bevinding.

Is dit document wettelijk verplicht?

De Cyberbeveiligingswet schrijft geen documenten voor, maar wel dat u passende maatregelen neemt en kunt aantonen. In de praktijk is vastleggen de enige manier om dat aan te tonen.

Hoeveel maatregelen mag ik uitsluiten?

Er is geen maximum. Wel valt het op als u er veel uitsluit, en dan moet de onderbouwing des te steviger zijn.

Heb ik een verklaring van toepasselijkheid nodig als ik niet certificeer?

Niet verplicht, maar wel handig. Het dwingt u om per maatregel een bewuste keuze te maken en dat is precies wat de zorgplicht van u vraagt.

Moet de tabel in een vaste volgorde staan?

Volg de nummering van bijlage A. Een eigen volgorde maakt het voor een auditor lastiger te volgen en levert geen voordeel op.

Is een aparte inleiding verplicht?

Nee, maar zonder die twee regels context moet u de achtergrond bij elk gesprek opnieuw uitleggen.

Moet ik verwijzen naar het versienummer van de risicoanalyse?

Aan te raden. Zo is voor iedereen die het leest duidelijk op welke versie de onderbouwing is gebaseerd, ook als de risicoanalyse later wijzigt.

Is bijlage A hetzelfde als de norm zelf?

Nee, bijlage A is één onderdeel van ISO 27001. De rest van de norm gaat over het managementsysteem eromheen.