Verklaring van Toepasselijkheid (SoA) ISO 27001: Voorbeeld & Uitleg

De Verklaring van Toepasselijkheid (Statement of Applicability) is een verplicht ISO 27001 document waarin je per Annex A control vastlegt of deze toepasselijk is voor jouw organisatie. Per control documenteer je de rechtvaardiging (waarom wel of niet toepasselijk) en de huidige implementatiestatus. Het vormt de brug tussen je risicoanalyse en je beveiligingsmaatregelen.

De huidige versie (ISO 27002:2022) bevat 93 controls, verdeeld over 4 categorieën: organisatorisch (37), menselijk (8), fysiek (14) en technologisch (34). De vorige versie uit 2013 had 114 controls in 14 categorieën. Als je SoA nog de oude structuur volgt, moet je deze updaten naar de 93-controls structuur.

Nee. Je mag controls als niet-toepasselijk markeren, mits je dit onderbouwt met een duidelijke rechtvaardiging. Een cloud-only organisatie zonder eigen serverruimte kan bijvoorbeeld fysieke beveiligingszones (control 7.1) uitsluiten. Een SoA waarin álle 93 controls toepasselijk zijn is juist een rode vlag — het suggereert dat je niet kritisch hebt nagedacht.

Minimaal jaarlijks, en daarnaast bij significante wijzigingen in je risicoprofiel, organisatiestructuur of IT-omgeving. Denk aan een migratie naar de cloud, een overname, of nieuwe wetgeving zoals NIS2. De review van de SoA koppel je idealiter aan de management review (directiebeoordeling) van je ISMS.

De risicoanalyse identificeert welke dreigingen en kwetsbaarheden relevant zijn en hoe groot het risico is. De SoA vertaalt die risico's naar concrete Annex A maatregelen en legt vast welke controls je implementeert. De risicoanalyse is de input, de SoA is de output. Samen vormen ze de kern van je ISMS.