Wat is een Statement of Applicability?

Een Statement of Applicability (SoA), ook wel toepasselijkheidsverklaring genoemd, is een verplicht document binnen ISO 27001 dat voor elke beheersmaatregel uit Bijlage A vastlegt of die van toepassing is op jouw organisatie, en zo ja, hoe die maatregel is geïmplementeerd. Het document vormt de schakel tussen de risicobehandeling en de daadwerkelijk ingezette controls. In dit artikel beantwoorden we de meest gestelde vragen over de SoA: van de inhoud en het verschil met de risicobehandeling tot het actueel houden van het document.

Wat staat er precies in een Statement of Applicability?

Een Statement of Applicability bevat een overzicht van alle beheersmaatregelen (controls) uit Bijlage A van ISO 27001, met per maatregel drie kerngegevens: of de control van toepassing is, de motivatie voor die keuze, en de implementatiestatus. Daarmee geeft de SoA een volledig beeld van hoe de organisatie haar informatiebeveiliging heeft ingericht.

Concreet bevat een goed opgebouwde SoA de volgende elementen:

• Alle controls uit Bijlage A, gerangschikt per thema (organisatorisch, menselijk, fysiek en technologisch)
• Toepasselijkheid: is de control van toepassing op de organisatie, ja of nee?
• Motivatie: waarom is een control opgenomen of uitgesloten? Dit kan voortkomen uit de risicoanalyse, wettelijke verplichtingen, contractuele eisen of branchenormen
• Implementatiestatus: in welke mate is de maatregel al geïmplementeerd?
• Verwijzing naar beleidsdocumenten of procedures die de control onderbouwen

ISO 27001:2022 kent 93 controls verdeeld over vier thema’s. De SoA dekt ze allemaal, ook als een control niet van toepassing wordt verklaard. Juist die expliciete uitsluiting met onderbouwing is wat het document zo waardevol maakt: het toont aan dat de organisatie bewust heeft nagedacht over elke maatregel, in plaats van controls stilzwijgend over te slaan.

Hoe verschilt de SoA van een risicobehandeling?

De risicobehandeling en de SoA zijn nauw verbonden maar vervullen een andere rol. Het risicobehandelingsplan beschrijft welke risico’s zijn geïdentificeerd en welke aanpak per risico wordt gekozen (accepteren, mitigeren, overdragen of vermijden). De SoA vertaalt die keuzes naar concrete controls en voegt daar ook controls aan toe die niet uit risico’s voortkomen, maar uit wet- en regelgeving of contractuele verplichtingen.

Een eenvoudige manier om het onderscheid te zien:

• Het risicobehandelingsplan beantwoordt de vraag: welke risico’s lopen we en hoe gaan we daarmee om?
• De SoA beantwoordt de vraag: welke maatregelen passen we toe, waarom, en hoe ver zijn we daarmee?

In de praktijk werken de twee documenten als communicerende vaten. Elke control die in het risicobehandelingsplan wordt geselecteerd om een risico te mitigeren, moet terugkomen in de SoA als van toepassing verklaard. Omgekeerd kan de SoA controls bevatten die niet direct uit de risicoanalyse voortkomen, maar die de organisatie toch moet implementeren vanwege de AVG, sectorale eisen of klantvereisten. Die tweerichtingsrelatie maakt het cruciaal dat beide documenten met elkaar in lijn zijn en samen worden onderhouden.

Waarom eisen auditors altijd een actuele SoA?

Auditors beschouwen de SoA als het centrale controledocument van het ISMS. ISO 27001 schrijft expliciet voor dat de organisatie een gedocumenteerde SoA moet opstellen en bijhouden. Zonder een actuele toepasselijkheidsverklaring kan een auditor niet beoordelen of de gekozen beheersmaatregelen aansluiten op de geïdentificeerde risico’s en of de implementatie compleet is.

De SoA is voor een auditor om meerdere redenen onmisbaar:

• Het biedt een referentiepunt om te toetsen of alle relevante controls zijn overwogen
• Het maakt uitsluitingen transparant en controleerbaar, zodat een auditor kan beoordelen of die uitsluitingen gegrond zijn
• Het toont de implementatievoortgang, wat bij een hercertificering laat zien dat het systeem continu wordt verbeterd
• Het verbindt de risicoanalyse met de dagelijkse praktijk, waardoor de auditor kan verifiëren dat het ISMS meer is dan papier

Een verouderde SoA, bijvoorbeeld een die nog is gebaseerd op de oude ISO 27001:2013 terwijl de organisatie al op de 2022-versie werkt, leidt direct tot bevindingen. Hetzelfde geldt voor een SoA die nieuwe systemen, processen of leveranciers nog niet heeft verwerkt. Interne audits zijn een uitstekend moment om de SoA te reviewen voordat een externe auditor dat doet.

Welke ISO 27001-controls mag je uitsluiten van de SoA?

Een organisatie mag een control uit Bijlage A uitsluiten als die control aantoonbaar niet van toepassing is op de eigen situatie, én als die uitsluiting geen invloed heeft op de beheersing van geïdentificeerde risico’s. De motivatie voor elke uitsluiting moet expliciet in de SoA worden gedocumenteerd.

Veelvoorkomende gronden voor uitsluiting zijn:

• Technische irrelevantie: een organisatie zonder eigen datacenter of fysieke serverruimte kan bepaalde fysieke beveiligingscontrols uitsluiten
• Geen toepasselijk proces: een organisatie die geen software ontwikkelt, kan controls rondom veilige softwareontwikkeling uitsluiten
• Uitbesteed aan derden: als een activiteit volledig bij een leverancier ligt en contractueel is geborgd, kan de bijbehorende control worden uitgesloten mits de risicoafweging dat rechtvaardigt

Wat een organisatie niet mag doen, is een control uitsluiten puur omdat implementatie lastig is. De uitsluiting moet inhoudelijk gemotiveerd zijn. Auditors letten hier scherp op: een te ruim gebruik van uitsluitingen zonder onderbouwing is een veelvoorkomende bevinding bij certificeringsaudits. Houd er ook rekening mee dat de NIS2-richtlijn en sectorale normen aanvullende eisen kunnen stellen die bepaalde controls alsnog verplicht maken, ongeacht wat de eigen risicoanalyse aangeeft.

Hoe houd je een Statement of Applicability up-to-date?

Een SoA up-to-date houden vraagt om een gestructureerd beheerproces. De toepasselijkheidsverklaring is geen eenmalig document, maar een levend onderdeel van het ISMS dat meebeweegt met wijzigingen in de organisatie, de risico’s en de regelgeving. Minimaal eenmaal per jaar, en bij elke significante verandering, moet de SoA worden herzien.

Praktische momenten om de SoA te reviewen:

• Jaarlijkse managementbeoordeling: gebruik deze verplichte ISMS-review als vast moment om de SoA door te lopen
• Nieuwe systemen of leveranciers: elke introductie van een nieuw systeem, cloudplatform of kritieke leverancier kan nieuwe controls relevant maken
• Organisatorische wijzigingen: fusies, nieuwe vestigingen of gewijzigde werkprocessen beïnvloeden de toepasselijkheid van controls
• Incidenten en bevindingen: een beveiligingsincident of auditbevinding kan aanleiding zijn om een eerder uitgesloten control alsnog op te nemen
• Wijzigingen in wet- en regelgeving: nieuwe verplichtingen vanuit de AVG, de Cyberbeveiligingswet of sectorale normen kunnen de SoA direct raken

Een effectief beheerproces koppelt de SoA aan het onderhoud van het ISMS. Wijs een verantwoordelijke aan voor het document, stel een reviewcyclus in en zorg dat wijzigingen worden gelogd met datum en motivatie. Zo is de SoA altijd aantoonbaar actueel, ook bij een onaangekondigde controle-audit.

Hoe Kwinzo helpt met de Statement of Applicability

Een correcte en actuele SoA opstellen is voor veel organisaties een uitdaging, zeker als het de eerste keer is of als de organisatie na een normwijziging moet herinrichten. Wij ondersteunen organisaties in zorg, ICT en onderwijs bij het volledige ISO 27001-traject, inclusief het opstellen en onderhouden van de toepasselijkheidsverklaring.

Wat wij concreet bieden:

• Begeleiding bij het opstellen van een SoA die aansluit op jouw risicoanalyse en bedrijfsvoering
• Ondersteuning bij het motiveren van uitsluitingen op een manier die auditbestendig is
• Een eigen ISMS-tool waarmee de SoA, risicobehandeling en beleidsdocumenten samenhangend worden beheerd
• Interne audits uitgevoerd door een onafhankelijke consultant, als generale repetitie voor de externe certificeringsaudit
• Maandelijkse workshops voor Security Officers, onder andere gericht op het onderhouden van het ISMS en de SoA

Wil je weten hoe wij jouw organisatie kunnen helpen met een sluitende SoA en een efficiënt ISO 27001-traject? Neem contact op voor een vrijblijvend adviesgesprek.