Verklaring van toepasselijkheid (SoA) ISO 27001: voorbeeld
Door Niels Maas (LinkedIn) · Gepubliceerd op 19 maart 2026 · Bijgewerkt op 16 oktober 2026
Een verklaring van toepasselijkheid (Statement of Applicability, SoA) is het document waarin u per beheersmaatregel vastlegt of die nodig is, waarom, en of die is geïmplementeerd. ISO 27001:2022 eist het in clausule 6.1.3 d). Hieronder vindt u een voorbeeld van een verklaring van toepasselijkheid voor ISO 27001, met uitgewerkte tabel, stappenplan en checklist.
Wat is een verklaring van toepasselijkheid?
De verklaring van toepasselijkheid is een verplicht document van ISO 27001. Volgens clausule 6.1.3 d) bevat de SoA:
| Onderdeel volgens 6.1.3 d) | Wat u per maatregel invult |
|---|---|
| De noodzakelijke beheersmaatregelen | Nummer en naam, uit bijlage A of eigen maatregelen |
| Rechtvaardiging voor het opnemen | Het risico, de wet of het contract waaruit de maatregel volgt |
| Of de maatregel is geïmplementeerd | Status: geïmplementeerd, gedeeltelijk, gepland |
| Rechtvaardiging voor uitsluiten | Bij elke maatregel uit bijlage A die u niet nodig hebt: waarom niet |
De SoA verbindt de risicobeoordeling met de maatregelen die u neemt. Een auditor gebruikt haar om te zien hoe uw ISMS zich verhoudt tot bijlage A.
De vier thema's van bijlage A (ISO 27001:2022)
Sinds de editie van 2022 zijn de beheersmaatregelen in bijlage A ingedeeld in vier thema's, in plaats van de 14 domeinen uit 2013. De uitwerking per maatregel staat in ISO/IEC 27002:2022.
| Thema | Bijlage A | Aantal | Voorbeelden |
|---|---|---|---|
| Organisatorisch | A.5 | 37 | Beleid, rollen, classificatie, leveranciers |
| Mensen | A.6 | 8 | Screening, bewustwording, thuiswerken |
| Fysiek | A.7 | 14 | Beveiligingszones, apparatuur, bekabeling |
| Technologisch | A.8 | 34 | Endpoints, versleuteling, logging, back-ups |
Totaal: 93 beheersmaatregelen. Elke maatregel komt in de SoA terug, ook als u hem uitsluit: daarvoor vraagt de norm een rechtvaardiging.
Voorbeeld verklaring van toepasselijkheid: 10 maatregelen
Hieronder een uitgewerkt voorbeeld voor een fictief softwarebedrijf met 35 medewerkers dat volledig in de cloud werkt. De risiconummers (R-03 enzovoort) verwijzen naar de eigen risicobeoordeling.
| Maatregel | Naam | Nodig | Rechtvaardiging | Status |
|---|---|---|---|---|
| A.5.1 | Beleidsregels voor informatiebeveiliging | Ja | Basis van het ISMS | Geïmplementeerd |
| A.5.15 | Toegangsbeveiliging | Ja | R-03: onbevoegde toegang tot klantgegevens | Geïmplementeerd |
| A.5.31 | Wettelijke, statutaire, regelgevende en contractuele eisen | Ja | AVG en klantcontracten | Geïmplementeerd |
| A.6.1 | Screening | Ja | R-07: medewerkers met toegang tot broncode | Gedeeltelijk |
| A.6.3 | Bewustwording, opleiding en training | Ja | R-12: phishing en social engineering | Gepland |
| A.7.1 | Fysieke beveiligingszones | Nee | Geen eigen serverruimte; datacenter valt onder de cloudleverancier (zie A.5.23) | n.v.t. |
| A.7.4 | Monitoren van de fysieke beveiliging | Nee | Geen eigen fysieke IT-infrastructuur | n.v.t. |
| A.8.1 | User endpoint devices | Ja | R-05: gegevensverlies via laptops en telefoons | Geïmplementeerd |
| A.8.9 | Configuratiebeheer | Ja | R-09: verkeerde configuratie van de cloudomgeving | Gedeeltelijk |
| A.8.24 | Gebruik van cryptografie | Ja | R-11: onderschepping van gegevens | Geïmplementeerd |
Let op drie dingen in dit voorbeeld:
- Elke "Ja" heeft een reden: een risico, een wet of een contract.
- De twee uitgesloten maatregelen hebben een concrete reden, met een verwijzing naar de maatregel die het risico wel afdekt.
- De status is eerlijk: niet alles staat op geïmplementeerd.
Alle 93 maatregelen om zelf in te vullen staan in de gratis verklaring van toepasselijkheid in Excel, met een controle per regel. In de ISO 27001 Toolkit zit de verklaring als Word-document (ISB-001), met een ingevuld voorbeeld.
Stappenplan: zo stelt u de SoA op
De SoA komt na de risicobeoordeling. Clausule 6.1.3 geeft de volgorde:
| Stap | Clausule | Wat u doet |
|---|---|---|
| 1 | 6.1.2 | Risicobeoordeling uitvoeren |
| 2 | 6.1.3 a) | Per risico een behandeloptie kiezen |
| 3 | 6.1.3 b) | De maatregelen bepalen die daarvoor nodig zijn |
| 4 | 6.1.3 c) | Die maatregelen vergelijken met bijlage A: is er niets vergeten? |
| 5 | 6.1.3 d) | De SoA opstellen: opgenomen en uitgesloten maatregelen, met reden en status |
| 6 | 6.1.3 e) en f) | Risicobehandelingsplan opstellen en laten goedkeuren door de risico-eigenaren |
Neem bij stap 3 ook wettelijke en contractuele eisen mee, zoals de AVG of de Cyberbeveiligingswet. Bijlage A is niet volledig: u mag eigen maatregelen toevoegen.
Veelgemaakte fouten bij de SoA
1. Alles op "nodig" zetten zonder reden. Een maatregel opnemen mag, maar de norm vraagt een rechtvaardiging. "Standaard" of "op basis van risicobeoordeling" is geen reden; een risiconummer of wetsartikel wel.
2. Geen koppeling met de risicobeoordeling. Een auditor zoekt de lijn risico → maatregel → status. Zonder risiconummers is die lijn niet te volgen.
3. Een sjabloon overnemen zonder aanpassen. Een SoA met risico's of systemen die niet bij uw organisatie horen, valt bij de audit op.
4. Status niet bijwerken. Dezelfde statussen als vorig jaar suggereren dat er niets is verbeterd of dat niemand het document bijhoudt.
5. Nog de oude nummering gebruiken. Zie hieronder.
Van 114 naar 93 maatregelen: de overgang van 2013 naar 2022
Certificaten op ISO 27001:2013 zijn na 31 oktober 2025 vervallen (overgangsregels van IAF, zie bijvoorbeeld NSAI). Een SoA op de oude structuur is dus niet meer bruikbaar. De belangrijkste verschillen:
| ISO 27001:2013 | ISO 27001:2022 | |
|---|---|---|
| Aantal maatregelen | 114 | 93 |
| Indeling | 14 domeinen (A.5 tot en met A.18) | 4 thema's (A.5 tot en met A.8) |
| Nieuwe maatregelen | – | 11, onder meer A.5.7, A.5.23, A.5.30 en A.8.11 |
Voorbeelden van de nieuwe maatregelen: informatie en analyses over dreigingen (A.5.7), informatiebeveiliging bij het gebruik van clouddiensten (A.5.23), ICT-gereedheid voor bedrijfscontinuïteit (A.5.30) en het maskeren van gegevens (A.8.11). ISO/IEC 27002:2022 geeft elke maatregel daarnaast attributen, zoals het type (preventief, detectief, correctief).
Checklist: is uw SoA klaar voor de audit?
- Alle 93 maatregelen uit bijlage A staan erin, opgenomen of uitgesloten
- Elke opgenomen maatregel heeft een reden (risico, wet of contract)
- Elke uitgesloten maatregel heeft een concrete reden
- De implementatiestatus is actueel
- Eigen maatregelen buiten bijlage A staan er ook in
- De SoA past bij het risicobehandelingsplan
- De nummering is die van 2022 (A.5 tot en met A.8)
- Het document heeft versie, datum en goedkeuring
- De SoA is bijgewerkt na de laatste risicobeoordeling
Conclusie
Een verklaring van toepasselijkheid volgens ISO 27001 legt per beheersmaatregel vast of die nodig is, waarom, en of die is geïmplementeerd. Begin bij de risicobeoordeling, vergelijk met de 93 maatregelen uit bijlage A en onderbouw elke keuze.
Wilt u niet vanaf nul beginnen? De ISO 27001 Toolkit bevat een verklaring van toepasselijkheid (ISB-001) met alle 93 maatregelen, en een ingevulde versie voor een fictief IT-bedrijf als voorbeeld. Gratis is de lijst met verplichte documenten voor ISO 27001.
Veelgestelde vragen
Wat is een verklaring van toepasselijkheid (SoA) bij ISO 27001?
Een verklaring van toepasselijkheid (Statement of Applicability) is het verplichte ISO 27001-document waarin u vastlegt welke beheersmaatregelen nodig zijn, waarom u ze opneemt, of ze zijn geïmplementeerd, en waarom u maatregelen uit bijlage A uitsluit (clausule 6.1.3 d) van ISO 27001:2022).
Hoeveel beheersmaatregelen moet een SoA bevatten?
Bijlage A van ISO 27001:2022 telt 93 beheersmaatregelen. De SoA bevat de maatregelen die u nodig hebt, met een reden, en een reden voor elke maatregel uit bijlage A die u uitsluit. In de praktijk staan dus alle 93 maatregelen in de SoA, aangevuld met eventuele eigen maatregelen.
Mag u beheersmaatregelen in de SoA uitsluiten?
Ja. De norm vraagt alleen een rechtvaardiging voor het uitsluiten. Een organisatie die volledig in de cloud werkt, kan bijvoorbeeld fysieke maatregelen voor een eigen serverruimte uitsluiten, met de verwijzing naar de leverancier die daarvoor zorgt.
Wat is het verschil tussen de SoA en het risicobehandelingsplan?
De SoA geeft per beheersmaatregel aan of die nodig is en of die is geïmplementeerd (6.1.3 d). Het risicobehandelingsplan beschrijft hoe en wanneer u de risico's behandelt (6.1.3 e). De risico-eigenaren keuren het plan goed en accepteren de restrisico's (6.1.3 f).
Hoe vaak moet u de SoA bijwerken?
ISO 27001 noemt geen frequentie. De SoA volgt uit de risicobeoordeling, die u met geplande tussenpozen en bij belangrijke wijzigingen uitvoert (clausule 8.2). Werk de SoA dus bij na elke risicobeoordeling en bij wijzigingen zoals een nieuwe clouddienst of nieuwe wetgeving.