Verklaring van toepasselijkheid in Excel
De verklaring van toepasselijkheid is verplicht voor ISO 27001 (6.1.3 d). Deze Excel bevat alle 93 beheersmaatregelen uit bijlage A, klaar om per maatregel in te vullen: nodig of niet, waarom, de status en waar het bewijs staat. Gratis, zonder e-mailadres.
Door Niels Maas (LinkedIn) · Laatst bijgewerkt op 16 oktober 2026
Gratis download · Excel
Verklaring van toepasselijkheid ISO 27001
De verklaring van toepasselijkheid is het document waarin een organisatie per beheersmaatregel uit bijlage A van ISO 27001 vastlegt of die nodig is, waarom, en of die is ingevoerd. ISO/IEC 27001:2022 maakt het verplicht in clausule 6.1.3 d. Het is meestal het eerste document dat een auditor opvraagt.
Wat 6.1.3 d vraagt
| Onderdeel volgens 6.1.3 d | Kolom in de Excel |
|---|---|
| De noodzakelijke beheersmaatregelen | Nummer, Beheersmaatregel, Nodig? |
| Rechtvaardiging voor het opnemen | Reden en Herkomst (risico, wet, contract) |
| Of de maatregel is geïmplementeerd | Status: geïmplementeerd, gedeeltelijk, gepland |
| Rechtvaardiging voor uitsluiten | Reden bij elke maatregel met Nodig? = Nee |
Wat er in de Excel staat
- Verklaring: alle 93 maatregelen met nummer, officiële titel, thema en een korte omschrijving in eigen woorden. U kiest per regel Ja of Nee, de herkomst en de status, en noemt het document of bewijs en de eigenaar. De kolom Controle laat zien wat in een regel nog ontbreekt.
- Eigen maatregelen: tien lege regels voor maatregelen die niet in bijlage A staan.
- Overzicht: per thema hoeveel maatregelen nodig zijn, hoeveel zijn ingevoerd en welke regels compleet zijn. Daar vult u ook versie, datum en goedkeuring in.
Zo vult u hem in
- Doe eerst de risicobeoordeling (6.1.2) en kies per risico de maatregelen (6.1.3 b). De verklaring legt de uitkomst vast; ze is geen startpunt.
- Vergelijk met bijlage A (6.1.3 c). Loop alle 93 regels langs: is er een maatregel die u nodig hebt maar nog niet had gekozen?
- Kies per regel Ja of Nee, met de reden. Bij Ja: welk risico, welke wet of welk contract. Bij Nee: waarom de maatregel niet nodig is, bijvoorbeeld "geen eigen serverruimte".
- Vul de status en het bewijs in. Een auditor kijkt of wat u "geïmplementeerd" noemt ook te zien is.
- Laat de verklaring vaststellen en houd hem bij als risico's of maatregelen veranderen.
Een uitgewerkt voorbeeld met tien maatregelen en veelgemaakte fouten staat in Verklaring van toepasselijkheid (SoA) ISO 27001.
Alle 93 maatregelen
Hieronder staan alle beheersmaatregelen uit bijlage A van ISO/IEC 27001:2022, per thema. In de ISO 27001 Toolkit (€ 595 excl. btw) zit de verklaring ook als Word-document, samen met de procedure en het register voor de risicobeoordeling.
A.5 Organisatorisch
| Nummer | Beheersmaatregel | Wat het inhoudt |
|---|---|---|
| A.5.1 | Beleidsregels voor informatiebeveiliging | Een vastgesteld informatiebeveiligingsbeleid en beleidsregels per onderwerp, bekend bij wie ermee werkt en regelmatig herzien. |
| A.5.2 | Rollen en verantwoordelijkheden bij informatiebeveiliging | Iedereen weet wie waarvoor verantwoordelijk is binnen informatiebeveiliging. |
| A.5.3 | Functiescheiding | Taken die elkaar moeten controleren, liggen niet bij dezelfde persoon. |
| A.5.4 | Managementverantwoordelijkheden | Leidinggevenden zorgen dat hun mensen de regels voor informatiebeveiliging volgen. |
| A.5.5 | Contact met overheidsinstanties | U weet welke instanties u bij een incident inschakelt (politie, toezichthouder, CSIRT) en houdt die contacten actueel. |
| A.5.6 | Contact met speciale belangengroepen | U volgt vakgroepen, brancheverenigingen of fora om kennis over beveiliging op peil te houden. |
| A.5.7 | Informatie en analyses over dreigingen | U verzamelt informatie over actuele dreigingen en gebruikt die om maatregelen bij te stellen. |
| A.5.8 | Informatiebeveiliging in projectmanagement | In elk project wordt vanaf het begin gekeken naar informatiebeveiliging. |
| A.5.9 | Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen | Een actuele lijst van informatie, systemen en apparatuur, elk met een eigenaar. |
| A.5.10 | Aanvaardbaar gebruik van informatie en andere gerelateerde bedrijfsmiddelen | Duidelijke regels voor hoe medewerkers met informatie en bedrijfsmiddelen omgaan. |
| A.5.11 | Retourneren van bedrijfsmiddelen | Bij vertrek of functiewissel levert iemand alle spullen en gegevens van de organisatie in. |
| A.5.12 | Classificeren van informatie | Informatie krijgt een beschermingsniveau op basis van hoe gevoelig en belangrijk die is. |
| A.5.13 | Labelen van informatie | Het beschermingsniveau is zichtbaar op documenten, bestanden en media. |
| A.5.14 | Overdragen van informatie | Afspraken over hoe informatie veilig wordt verstuurd of gedeeld, intern en met anderen. |
| A.5.15 | Toegangsbeveiliging | Regels over wie bij welke informatie en systemen mag, fysiek en digitaal. |
| A.5.16 | Identiteitsbeheer | Accounts worden aangemaakt, gewijzigd en verwijderd volgens een vast proces. |
| A.5.17 | Authenticatie-informatie | Wachtwoorden en andere inloggegevens worden veilig uitgegeven, bewaard en gebruikt. |
| A.5.18 | Toegangsrechten | Rechten worden aangevraagd, goedgekeurd, periodiek gecontroleerd en ingetrokken. |
| A.5.19 | Informatiebeveiliging in leveranciersrelaties | U beheerst de beveiligingsrisico's van leveranciers die met uw informatie werken. |
| A.5.20 | Adresseren van informatiebeveiliging in leveranciersovereenkomsten | Beveiligingseisen staan in de contracten met leveranciers. |
| A.5.21 | Beheren van informatiebeveiliging in de ICT-toeleveringsketen | U let op de beveiliging in de keten van ICT-leveranciers, ook bij hun onderaannemers. |
| A.5.22 | Monitoren, beoordelen en het beheren van wijzigingen van leveranciersdiensten | U volgt of leveranciers hun afspraken nakomen en beoordeelt wijzigingen in hun dienst. |
| A.5.23 | Informatiebeveiliging voor het gebruik van clouddiensten | Afspraken over het kiezen, gebruiken en beëindigen van clouddiensten. |
| A.5.24 | Plannen en voorbereiden van het beheer van informatiebeveiligingsincidenten | Rollen, afspraken en middelen om incidenten af te handelen liggen vooraf klaar. |
| A.5.25 | Beoordelen van en besluiten over informatiebeveiligingsgebeurtenissen | Meldingen worden beoordeeld: is dit een incident en hoe ernstig is het? |
| A.5.26 | Reageren op informatiebeveiligingsincidenten | Incidenten worden afgehandeld volgens de afgesproken procedure. |
| A.5.27 | Leren van informatiebeveiligingsincidenten | Na een incident leert u ervan en past u maatregelen aan. |
| A.5.28 | Verzamelen van bewijsmateriaal | Bij een incident wordt bewijs zo vastgelegd dat het later bruikbaar is. |
| A.5.29 | Informatiebeveiliging tijdens een verstoring | Ook tijdens een verstoring of crisis blijft de beveiliging op peil. |
| A.5.30 | ICT-gereedheid voor bedrijfscontinuïteit | ICT-systemen zijn zo ingericht en getest dat ze na uitval op tijd terug zijn. |
| A.5.31 | Wettelijke, statutaire, regelgevende en contractuele eisen | U weet welke wetten, regels en contracten eisen stellen aan uw informatiebeveiliging. |
| A.5.32 | Intellectuele-eigendomsrechten | U respecteert auteursrecht en licenties, bijvoorbeeld van software. |
| A.5.33 | Beschermen van registraties | Registraties zijn beschermd tegen verlies, vervalsing en onbevoegde inzage. |
| A.5.34 | Privacy en bescherming van persoonsgegevens | U voldoet aan de AVG en andere regels voor persoonsgegevens. |
| A.5.35 | Onafhankelijke beoordeling van informatiebeveiliging | Uw aanpak van informatiebeveiliging wordt regelmatig onafhankelijk beoordeeld. |
| A.5.36 | Naleving van beleid, regels en normen voor informatiebeveiliging | U controleert of beleid, regels en normen in de praktijk worden nageleefd. |
| A.5.37 | Gedocumenteerde bedieningsprocedures | Bedieningsprocedures voor systemen zijn vastgelegd en beschikbaar voor wie ze nodig heeft. |
A.6 Mensgericht
| Nummer | Beheersmaatregel | Wat het inhoudt |
|---|---|---|
| A.6.1 | Screening | Nieuwe medewerkers worden vooraf gescreend, passend bij hun functie. |
| A.6.2 | Arbeidsovereenkomst | Arbeidsovereenkomsten noemen de verantwoordelijkheden voor informatiebeveiliging. |
| A.6.3 | Bewustwording van, opleiding en training in informatiebeveiliging | Medewerkers krijgen voorlichting en training over informatiebeveiliging. |
| A.6.4 | Disciplinaire procedure | Er is een procedure voor maatregelen als iemand de regels overtreedt. |
| A.6.5 | Verantwoordelijkheden na beëindiging of wijziging van het dienstverband | Ook na vertrek of functiewissel blijven geheimhouding en andere plichten gelden. |
| A.6.6 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten | Wie met vertrouwelijke informatie werkt, tekent een geheimhoudingsverklaring. |
| A.6.7 | Werken op afstand | Regels voor veilig thuiswerken en werken op andere plekken. |
| A.6.8 | Melden van informatiebeveiligingsgebeurtenissen | Medewerkers weten hoe en waar ze een beveiligingsprobleem snel melden. |
A.7 Fysiek
| Nummer | Beheersmaatregel | Wat het inhoudt |
|---|---|---|
| A.7.1 | Fysieke beveiligingszones | Duidelijke grenzen tussen openbare ruimten en ruimten met gevoelige informatie. |
| A.7.2 | Fysieke toegangsbeveiliging | Alleen bevoegde personen komen in beveiligde ruimten. |
| A.7.3 | Beveiligen van kantoren, ruimten en faciliteiten | Kantoren en ruimten zijn beveiligd, passend bij wat er staat en gebeurt. |
| A.7.4 | Monitoren van de fysieke beveiliging | Bewaking op ongeoorloofde fysieke toegang, bijvoorbeeld met alarm of camera. |
| A.7.5 | Beschermen tegen fysieke en omgevingsdreigingen | Bescherming tegen brand, water, stroomuitval en andere fysieke dreigingen. |
| A.7.6 | Werken in beveiligde zones | Regels voor werken in beveiligde ruimten. |
| A.7.7 | 'Clear desk' en 'clear screen' | Geen gevoelige papieren op bureaus en vergrendelde schermen bij afwezigheid. |
| A.7.8 | Plaatsen en beschermen van apparatuur | Apparatuur staat op een veilige plek en is beschermd tegen schade. |
| A.7.9 | Beveiligen van bedrijfsmiddelen buiten het terrein | Laptops en andere bedrijfsmiddelen die mee naar buiten gaan, zijn beschermd. |
| A.7.10 | Opslagmedia | USB-sticks, schijven en andere opslagmedia worden veilig gebruikt en vernietigd. |
| A.7.11 | Nutsvoorzieningen | Stroom, koeling en andere voorzieningen vallen niet zomaar uit. |
| A.7.12 | Beveiligen van bekabeling | Netwerk- en stroomkabels zijn beschermd tegen schade en afluisteren. |
| A.7.13 | Onderhoud van apparatuur | Apparatuur wordt onderhouden, zodat die blijft werken en veilig is. |
| A.7.14 | Veilig verwijderen of hergebruiken van apparatuur | Voordat apparatuur weggaat of opnieuw wordt gebruikt, is alle informatie veilig verwijderd. |
A.8 Technologisch
| Nummer | Beheersmaatregel | Wat het inhoudt |
|---|---|---|
| A.8.1 | 'User endpoint devices' | Laptops, telefoons en andere apparaten van gebruikers zijn beveiligd. |
| A.8.2 | Speciale toegangsrechten | Beheerdersrechten zijn beperkt, gescheiden van gewone accounts en gecontroleerd. |
| A.8.3 | Beperking toegang tot informatie | Toegang tot informatie is beperkt tot wat iemand voor het werk nodig heeft. |
| A.8.4 | Toegangsbeveiliging op broncode | Alleen bevoegden kunnen broncode lezen en wijzigen. |
| A.8.5 | Beveiligde authenticatie | Inloggen is veilig, bijvoorbeeld met meerstapsverificatie. |
| A.8.6 | Capaciteitsbeheer | Systemen hebben genoeg capaciteit, nu en in de toekomst. |
| A.8.7 | Bescherming tegen malware | Bescherming tegen virussen en andere schadelijke software. |
| A.8.8 | Beheer van technische kwetsbaarheden | U spoort kwetsbaarheden in software en systemen op en lost ze op tijd op. |
| A.8.9 | Configuratiebeheer | Instellingen van systemen zijn vastgelegd, veilig en beheerd. |
| A.8.10 | Wissen van informatie | Informatie die niet meer nodig is, wordt gewist. |
| A.8.11 | Maskeren van gegevens | Gevoelige gegevens worden afgeschermd waar mensen ze niet hoeven te zien, bijvoorbeeld in tests. |
| A.8.12 | Voorkomen van gegevenslekken (data leakage prevention) | Maatregelen tegen het ongewild weglekken van gevoelige gegevens. |
| A.8.13 | Back-up van informatie | Back-ups worden gemaakt, veilig bewaard en regelmatig teruggezet om te testen. |
| A.8.14 | Redundantie van informatieverwerkende faciliteiten | Belangrijke systemen zijn dubbel uitgevoerd waar uitval niet mag. |
| A.8.15 | Logging | Belangrijke gebeurtenissen in systemen worden vastgelegd en beschermd. |
| A.8.16 | Monitoren van activiteiten | Systemen en netwerken worden gevolgd op afwijkend gedrag. |
| A.8.17 | Kloksynchronisatie | Alle systemen gebruiken dezelfde, juiste tijd. |
| A.8.18 | Gebruik van speciale systeemhulpmiddelen | Krachtige hulpprogramma's die beveiliging kunnen omzeilen, zijn beperkt. |
| A.8.19 | Installeren van software op operationele systemen | Software wordt alleen gecontroleerd en door bevoegden geïnstalleerd. |
| A.8.20 | Beveiliging netwerkcomponenten | Netwerken en netwerkapparatuur zijn beveiligd en beheerd. |
| A.8.21 | Beveiliging van netwerkdiensten | Netwerkdiensten, ook van leveranciers, voldoen aan beveiligingseisen. |
| A.8.22 | Netwerksegmentatie | Het netwerk is opgedeeld, zodat niet alles bij alles kan. |
| A.8.23 | Toepassen van webfilters | Toegang tot schadelijke websites wordt beperkt. |
| A.8.24 | Gebruik van cryptografie | Afspraken over versleuteling en het beheer van sleutels. |
| A.8.25 | Beveiligen tijdens de ontwikkelcyclus | Beveiliging is onderdeel van elke fase van softwareontwikkeling. |
| A.8.26 | Toepassingsbeveiligingseisen | Beveiligingseisen worden vastgesteld voordat een applicatie wordt gebouwd of gekocht. |
| A.8.27 | Veilige systeemarchitectuur en technische uitgangspunten | Systemen worden volgens vaste beveiligingsprincipes ontworpen. |
| A.8.28 | Veilig coderen | Ontwikkelaars volgen regels voor veilig programmeren. |
| A.8.29 | Testen van de beveiliging tijdens ontwikkeling en acceptatie | Beveiliging wordt getest tijdens ontwikkeling en voor ingebruikname. |
| A.8.30 | Uitbestede systeemontwikkeling | Ook uitbestede ontwikkeling voldoet aan uw beveiligingseisen. |
| A.8.31 | Scheiding van ontwikkel-, test- en productieomgevingen | Ontwikkel-, test- en productieomgeving zijn van elkaar gescheiden. |
| A.8.32 | Wijzigingsbeheer | Wijzigingen aan systemen gaan via een vast, gecontroleerd proces. |
| A.8.33 | Testgegevens | Testgegevens zijn zorgvuldig gekozen en beschermd. |
| A.8.34 | Bescherming van informatiesystemen tijdens audits | Audits en tests op productiesystemen verstoren de bedrijfsvoering niet. |
De verklaring volgt uit de risicobeoordeling. De ISO 27001 Toolkit bevat daarvoor ISB-001 Verklaring van toepasselijkheid en RSK-002 Risicoregister en behandelplan, met een ingevuld voorbeeld, in totaal 46 documenten. Bekijk de ISO 27001 Toolkit
Licentie en bronnen
De Excel valt onder CC BY 4.0: gebruiken, aanpassen en delen mag, ook commercieel, met vermelding van MaasISO en een link naar deze pagina. Uitgezonderd zijn de officiële titels van de maatregelen: die komen uit NEN-EN-ISO/IEC 27001:2023 (© NEN). De omschrijvingen zijn eigen tekst van MaasISO en geen normtekst; de norm zelf is te koop bij NEN. Meer over de eisen leest u in ISO 27001 eisen.
Feiten en bronnen
Veelgestelde vragen
Wat is een verklaring van toepasselijkheid?
Het document waarin u per beheersmaatregel uit bijlage A van ISO 27001 vastlegt of hij nodig is, waarom, en of hij is ingevoerd. Clausule 6.1.3 d maakt het verplicht. In het Engels heet het Statement of Applicability (SoA).
Moet ik alle 93 maatregelen opnemen?
U beoordeelt ze alle 93, maar u neemt alleen op wat nodig is om uw risico's te behandelen of aan een wet of contract te voldoen. Bij elke maatregel die u uitsluit, schrijft u waarom.
Mag ik eigen maatregelen toevoegen?
Ja. Maatregelen die niet in bijlage A staan maar die u wel nodig hebt, horen ook in de verklaring. In de Excel staan daarvoor tien lege regels.
Wat is het verschil met het risicobehandelplan?
De verklaring laat per maatregel zien of die nodig is en of hij is ingevoerd. Het risicobehandelplan (6.1.3 e) zegt per risico welke maatregelen u neemt, wie en wanneer. Beide volgen uit de risicobeoordeling.
Mag ik de Excel aanpassen en delen?
Ja, onder CC BY 4.0: gebruiken, aanpassen en delen mag, ook commercieel, met vermelding van MaasISO en een link naar deze pagina. Uitgezonderd zijn de officiële titels van de maatregelen: die komen uit de Nederlandse uitgave van de norm (© NEN).
Verder
Gratis: welke normen en wetten passen bij uw organisatie? Start de ISO-selector
Meer in de kennisbank
Deze pagina geeft algemene informatie en is geen juridisch advies. Uw organisatie blijft zelf verantwoordelijk voor de toepassing van normen en wetgeving.