Wat is een verklaring van toepasselijkheid?
Clausule 6.1.3 d) van ISO/IEC 27001:2022 vraagt een verklaring van toepasselijkheid met de noodzakelijke maatregelen, de reden om ze op te nemen, of ze zijn ingevoerd en de reden om een Annex A-maatregel uit te sluiten. De VvT verbindt je risicobehandeling met Annex A: elke maatregel volgt uit een risico, een wettelijke of contractuele eis of een bedrijfskeuze. Werk je ook met NEN 7510 of BIO2, dan geldt hetzelfde principe met hun eigen maatregelen.
Wat hoort erin
- Maatregel: nummer en titel uit Annex A, bijvoorbeeld 5.15 Toegangsbeveiliging.
- Van toepassing: ja of nee, voor alle 93 maatregelen.
- Onderbouwing: waarom opgenomen (risico, wet of contract, bedrijfsbelang, goede praktijk) of uitgesloten (activiteit komt niet voor, risico bestaat niet, buiten de scope).
- Status: ingevoerd, deels ingevoerd, gepland of niet ingevoerd.
- Bewijs en eigenaar: waar de auditor ziet dat het werkt, en wie verantwoordelijk is.
- Versie en goedkeuring: datum, versie en wie de VvT goedkeurde; de auditor controleert of hij past bij het actuele risicobehandelplan.
Voorbeeld: SaaS-bedrijf met 60 medewerkers
Een volledig remote softwarebedrijf dat zijn product host bij een ISO 27001-gecertificeerde cloudleverancier en zelf ontwikkelt. Acht regels uit de VvT:
Fouten die auditors vaak noteren
- Een maatregel uitsluiten zonder reden, of met alleen "niet relevant".
- Een VvT die niet past bij het risicobehandelplan, of nog de 114 maatregelen van ISO 27001:2013 bevat.
- Status "ingevoerd" zonder bewijs dat de auditor kan inzien.
- Geen versie, datum of goedkeuring, zodat niemand weet welke VvT geldt.
- Een maatregel uitsluiten die de scope duidelijk nodig heeft, zoals cloudbeveiliging terwijl alles in de cloud draait.
De VvT maken in Dazr
- Vanuit je maatregelen: elke Annex A-maatregel in het ISO 27001-framework krijgt een besluit van toepassing of uitgesloten, met redenen en onderbouwing.
- Status uit het werk zelf: status, bewijs en reviewdatum komen uit de maatregel, dus de VvT blijft actueel.
- Filteren en goedkeuren: filter op van toepassing of uitgesloten, keur een versie goed en zie wanneer de VvT na de laatste goedkeuring is gewijzigd.
- Exporteren: PDF voor de auditor, CSV of Excel om mee te werken; de auditor kan hem ook alleen-lezen inzien.
- Abonnement: de verklaring van toepasselijkheid zit in Pro, € 99 per maand, met 14 dagen gratis proberen.
Dazr helpt je de VvT op te bouwen en te onderbouwen; Dazr certificeert niet. Certificering doet een geaccrediteerde certificerende instelling.
Bron: ISO/IEC 27001:2022, clausule 6.1.3 en Annex A (93 maatregelen). Laatst gecontroleerd op 19 oktober 2026.
Veelgestelde vragen
Moeten alle 93 maatregelen in de VvT?
Ja. Elke Annex A-maatregel staat erin, met een besluit. Uitgesloten maatregelen blijven in het document staan, met de reden van uitsluiting.
Mogen we een maatregel uitsluiten?
Ja, met een onderbouwing, bijvoorbeeld omdat de activiteit niet voorkomt, het risico niet bestaat of het buiten de scope valt. Alleen "niet relevant" is geen onderbouwing.
Is er een officieel sjabloon?
Nee. ISO/IEC 27001 schrijft de inhoud voor, niet de vorm. Een tabel met maatregel, toepasselijkheid, onderbouwing, status en bewijs is gebruikelijk.
Worden we met Dazr ISO 27001-gecertificeerd?
Nee. Dazr houdt je maatregelen, bewijs en VvT op orde voor de audit; het certificaat komt van een geaccrediteerde certificerende instelling.