Direct antwoord
De Verklaring van Toepasselijkheid (VvT, Engels: Statement of Applicability) is een verplicht ISO 27001-document waarin je per Annex A-maatregel vastlegt of hij van toepassing is, waarom, en wat de implementatiestatus is. Je stelt de VvT op vanuit je risicoanalyse: elke gekozen maatregel moet herleidbaar zijn tot een risico, en elke uitsluiting moet onderbouwd zijn.
De Verklaring van Toepasselijkheid (VvT) is het kerndocument van ISO 27001. Je legt er per Annex A-maatregel in vast of de maatregel van toepassing is op jouw organisatie, waarom wel of niet, en wat de implementatiestatus is. De VvT verbindt je risicoanalyse met je maatregelen en is bij elke certificeringsaudit het eerste document dat de auditor opvraagt.
Wat moet er per maatregel in staan?
Voor elk van de 93 maatregelen uit Annex A noteer je:
- Van toepassing: ja of nee
- Onderbouwing: bij toepassing verwijs je naar het risico of de verplichting waaruit de maatregel volgt; bij uitsluiting leg je uit waarom de maatregel niet relevant is
- Implementatiestatus: geïmplementeerd, deels, of gepland
- Verwijzing: waar de maatregel is uitgewerkt (beleid, procedure of systeem)
Stappenplan
- Begin bij je risicoanalyse. Elke maatregel die je in het behandelplan hebt gekozen, komt als “van toepassing” in de VvT.
- Loop daarna alle 93 maatregelen langs. Ook maatregelen die niet uit een risico volgen kunnen van toepassing zijn, bijvoorbeeld door wetgeving of contractuele eisen.
- Onderbouw elke uitsluiting. “Niet relevant” is niet genoeg; schrijf op waarom, bijvoorbeeld: “wij ontwikkelen geen software, dus maatregelen over veilig ontwikkelen zijn niet van toepassing”.
- Vul de status eerlijk in. “Gepland” is een acceptabele status, zolang er een actie met deadline aan hangt.
- Houd de VvT actueel. Werk hem bij wanneer de risicoanalyse verandert en bij de jaarlijkse cyclus.
Waar letten auditors op?
De auditor controleert de consistentie tussen drie documenten: risicoanalyse, behandelplan en VvT. Een maatregel die in het behandelplan staat maar in de VvT als “niet van toepassing” is gemarkeerd, is een directe bevinding. Ook toetst de auditor steekproefsgewijs of de status klopt: staat een maatregel op “geïmplementeerd”, dan moet het bewijs er zijn.
Zo werkt dit in Control One
Dit document staat als vooringevuld sjabloon in de portal klaar: jij past alleen aan wat uniek is voor jouw organisatie.
Veelgestelde vragen
Mag je Annex A-maatregelen uitsluiten?
Ja, mits onderbouwd. Als een maatregel niet relevant is voor jouw organisatie (bijvoorbeeld omdat een activiteit niet voorkomt), leg je uit waarom. De auditor toetst of de redenering klopt.
Hoe vaak moet de VvT worden bijgewerkt?
Bij elke wijziging in de risicoanalyse of de maatregelen, en minimaal bij de jaarlijkse beoordelingscyclus. Een verouderde VvT is een klassieke auditbevinding.
Is er een verplicht format voor de VvT?
Nee. Gebruikelijk is een tabel met per maatregel: van toepassing ja/nee, onderbouwing, implementatiestatus en verwijzing naar documentatie. Een export als PDF voor de auditor is voldoende.