De meest voorkomende fouten in een verklaring van toepasselijkheid (VvT) zijn: uitsluitingen zonder aantoonbare onderbouwing, beheersmaatregelen die niet zijn gekoppeld aan de risicobehandeling, en een VvT die niet overeenkomt met de werkelijke situatie in de organisatie. Deze fouten vallen een auditor direct op, omdat ze de kern raken van wat de VvT moet bewijzen: een bewuste, gedocumenteerde keuze over welke ISO 27001-beheersmaatregelen van toepassing zijn en waarom. In dit artikel beantwoorden we de vragen die organisaties het meest stellen over de VvT, zodat jij goed voorbereid de audit ingaat. Heb je vragen over jouw specifieke situatie? Neem gerust contact op en wij helpen je graag verder.
Welke onderdelen van de VvT beoordeelt een auditor als eerste?
Een auditor kijkt als eerste naar de volledigheid en de structuur van de verklaring van toepasselijkheid. Concreet betekent dit: zijn alle beheersmaatregelen uit Annex A van ISO 27001 opgenomen, is per maatregel duidelijk aangegeven of deze van toepassing is, en is er een heldere verwijzing naar de risicobehandeling? Die drie elementen vormen het fundament van een geldige VvT.
Nadat de structuur is gecontroleerd, kijkt de auditor naar de consistentie. Is de VvT actueel? Klopt de versiedatering? Zijn er recente wijzigingen in de organisatie, zoals een nieuwe dienst of een fusie, die nog niet zijn verwerkt? Een VvT die dateert van twee jaar geleden maar sindsdien niet is herzien, roept direct vragen op.
Vervolgens wordt de samenhang met andere ISMS-documenten getoetst. De VvT staat niet op zichzelf: zij moet aansluiten op het risicobehandelingsplan, het informatiebeveiligingsbeleid en de risicoregistratie. Wanneer die aansluiting ontbreekt, is dat voor ons als auditor een signaal dat de VvT meer op papier bestaat dan in de praktijk.
Waarom worden uitsluitingen van beheersmaatregelen zo kritisch bekeken?
Uitsluitingen worden kritisch beoordeeld omdat ze een bewuste keuze vertegenwoordigen om een beveiligingsmaatregel niet te implementeren. Dat is toegestaan binnen ISO 27001, maar alleen als de uitsluiting volledig is onderbouwd en als aangetoond kan worden dat de bijbehorende risico’s op een andere manier worden beheerst of simpelweg niet van toepassing zijn op de organisatie.
In de praktijk zien wij regelmatig dat uitsluitingen worden opgevoerd zonder dat er een directe koppeling is aan de risicoanalyse. Een organisatie sluit bijvoorbeeld de beheersmaatregelen rondom fysieke beveiliging van externe locaties uit, terwijl zij wel gebruikmaakt van externe datacenters. Dat is een tegenstrijdigheid die een auditor direct opmerkt.
Een sterke onderbouwing van een uitsluiting bevat minimaal:
- Een heldere beschrijving van waarom de maatregel niet van toepassing is
- Een verwijzing naar de risicoanalyse die deze conclusie ondersteunt
- Een bevestiging dat de uitsluiting geen onaanvaardbare restrisico’s introduceert
Ontbreekt een van deze elementen, dan is de uitsluiting kwetsbaar tijdens de informatiebeveiligingsaudit.
Wat zijn de meest voorkomende fouten in de onderbouwing van de VvT?
De meest voorkomende fouten in de onderbouwing van een VvT zijn: vage of generieke motivaties, ontbrekende koppelingen naar specifieke risico’s, en beheersmaatregelen die als “van toepassing” zijn gemarkeerd maar in de praktijk niet zijn geïmplementeerd. Elk van deze fouten ondermijnt de geloofwaardigheid van het document.
Vage motivaties zonder risicocontext
Een onderbouwing als “niet relevant voor onze organisatie” of “laag risico” is onvoldoende. De VvT moet uitleggen waarom iets niet relevant is, en dat moet traceerbaar zijn naar de risicoanalyse. Generieke teksten die voor elke organisatie zouden kunnen gelden, zijn voor een auditor een teken dat er niet serieus over is nagedacht.
Beheersmaatregelen die op papier bestaan maar niet leven
Een andere veelgemaakte fout is het aanvinken van beheersmaatregelen als “geïmplementeerd” terwijl er geen beleid, procedure of bewijs van uitvoering beschikbaar is. Tijdens de audit vragen wij altijd om bewijsmateriaal. Als dat ontbreekt, telt de maatregel niet mee, ongeacht wat de VvT aangeeft. Dit is een van de redenen waarom een VvT altijd in samenhang met de rest van het ISMS moet worden opgesteld.
Hoe controleer je of de VvT aansluit op de risicobehandeling?
Je controleert de aansluiting tussen de VvT en de risicobehandeling door elke geselecteerde beheersmaatregel te traceren naar een of meer geïdentificeerde risico’s in het risicobehandelingsplan. Als een maatregel in de VvT staat maar nergens terugkomt in de risicoregistratie, is er een gat in de documentatie.
Een praktische manier om dit te doen is een kruisreferentietabel opstellen: links de risico’s, rechts de bijbehorende beheersmaatregelen uit Annex A. Zo zie je in één oogopslag of elke maatregel is gemotiveerd vanuit een risico, en of elk geïdentificeerd risico is afgedekt door minimaal één maatregel.
Let ook op de omgekeerde richting: zijn er risico’s in het behandelingsplan waarvoor geen maatregel is opgenomen in de VvT? Dat kan bewust zijn, bijvoorbeeld als het risico wordt geaccepteerd, maar ook dat moet dan expliciet zijn gedocumenteerd. Wij raden organisaties aan deze check te doen voordat de audit begint, zodat eventuele hiaten tijdig kunnen worden gedicht. Meer over hoe dit in de praktijk werkt, lees je op onze pagina over ISO 27001-certificering.
Wanneer is een VvT goed genoeg voor certificering?
Een VvT is goed genoeg voor ISO 27001-certificering wanneer zij volledig, consistent, actueel en aantoonbaar is. Volledig betekent dat alle beheersmaatregelen uit Annex A zijn behandeld. Consistent betekent dat de keuzes in de VvT overeenkomen met de risicoanalyse, het beleid en de daadwerkelijke praktijk. Actueel betekent dat de VvT de huidige situatie van de organisatie weerspiegelt.
Aantoonbaar is misschien wel het zwaarste criterium: voor elke van toepassing zijnde maatregel moet bewijs beschikbaar zijn dat zij ook echt is geïmplementeerd. Dat bewijs hoeft niet uitputtend te zijn, maar het moet overtuigend genoeg zijn om aan te tonen dat de maatregel leeft in de organisatie.
Daarnaast moet de VvT zijn goedgekeurd door de verantwoordelijke binnen de organisatie, doorgaans het management, en moet de goedkeuring zijn gedateerd en gedocumenteerd. Een VvT zonder formele goedkeuring is formeel onvolledig.
Tot slot: een goede VvT is geen statisch document. Zij wordt bijgehouden naarmate de organisatie verandert, nieuwe risico’s ontstaan of beheersmaatregelen worden herzien. Organisaties die de VvT behandelen als een eenmalige exercitie, lopen bij de jaarlijkse controle-audit vaak tegen problemen aan.
Wil je zeker weten dat jouw verklaring van toepasselijkheid klaar is voor de audit? Neem contact op met ons team en plan een afspraak. Wij kijken graag met je mee.
Veelgestelde vragen
Wat controleert een auditor als eerste in een verklaring van toepasselijkheid?
V: Wat controleert een auditor als eerste in een verklaring van toepasselijkheid? A: Een auditor beoordeelt als eerste of alle beheersmaatregelen uit Annex A zijn opgenomen, of per maatregel duidelijk is aangegeven of deze van toepassing is, en of er een heldere verwijzing is naar de risicobehandeling. Daarna wordt gecontroleerd of de VvT actueel is en aansluit op andere ISMS-documenten zoals het risicobehandelingsplan en het informatiebeveiligingsbeleid.
Waarom worden uitsluitingen van beheersmaatregelen zo kritisch beoordeeld tijdens een audit?
V: Waarom worden uitsluitingen van beheersmaatregelen zo kritisch beoordeeld tijdens een audit? A: Uitsluitingen vertegenwoordigen een bewuste keuze om een beveiligingsmaatregel niet te implementeren, wat alleen is toegestaan als de uitsluiting volledig is onderbouwd met een verwijzing naar de risicoanalyse en er geen onaanvaardbare restrisico’s ontstaan. Ontbreekt deze onderbouwing, dan is de uitsluiting kwetsbaar en zal een auditor hier direct vragen over stellen.
Hoe controleer je of jouw VvT goed genoeg is voor ISO 27001-certificering?
V: Hoe controleer je of jouw VvT goed genoeg is voor ISO 27001-certificering? A: Een VvT is gereed voor certificering als zij volledig, consistent, actueel en aantoonbaar is: alle Annex A-maatregelen zijn behandeld, de keuzes sluiten aan op de risicoanalyse en de praktijk, en voor elke van toepassing zijnde maatregel is bewijs van implementatie beschikbaar. Daarnaast moet de VvT formeel zijn goedgekeurd door het management en voorzien zijn van een datum.
Wat zijn de meest voorkomende fouten in de onderbouwing van een VvT?
V: Wat zijn de meest voorkomende fouten in de onderbouwing van een VvT? A: De meest gemaakte fouten zijn vage motivaties zonder koppeling aan specifieke risico’s, uitsluitingen die niet traceerbaar zijn naar de risicoanalyse, en beheersmaatregelen die als geïmplementeerd zijn gemarkeerd maar waarvoor geen beleid, procedure of bewijs van uitvoering beschikbaar is. Deze fouten ondermijnen direct de geloofwaardigheid van de VvT tijdens een audit.
