ISO 27701-eisen per hoofdstuk en de maatregelen uit bijlage A

ISO 27701:2025 heeft twee soorten eisen. Hoofdstuk 4 tot en met 10 beschrijven het managementsysteem voor privacy. Bijlage A bevat de maatregelen. Beide zijn verplicht. Daarnaast heeft de norm uitleg en vergelijkingen. Dit is de indeling:

Bijlage B hoort officieel bij de norm. De tekst zelf is uitleg: hoe je een maatregel uit bijlage A kunt uitvoeren. Welke maatregelen je moet invoeren, volgt uit bijlage A en je risicobehandeling.

De hoofdstukken volgen de vaste opbouw die alle ISO-managementnormen delen. Daardoor sluiten ze aan op ISO 27001, ISO 9001 en andere normen. De norm verwijst naar één andere norm als vaste basis: ISO/IEC 29100. Die beschrijft de begrippen en principes van privacy.

Je beschrijft je bedrijf en de partijen die iets van je verwachten. Denk aan klanten en aan de mensen van wie je gegevens hebt. Je legt het toepassingsgebied van je systeem vast. De versie van 2025 vraagt ook of klimaatverandering een relevant onderwerp is. Die vraag over klimaat kwam in 2024 ook in andere managementnormen, zoals ISO 9001 en ISO 27001.

De directie draagt het systeem. Ze stelt een eigen privacybeleid vast. Ze verdeelt ook de rollen en de bevoegdheden. In de versie van 2019 hing dit aan het beleid voor informatiebeveiliging uit ISO 27001. Nu heeft privacy een eigen beleid.

Je beoordeelt de privacyrisico's met een vaste methode. Per risico kies je een behandeling. Je stelt doelen voor privacy en plant hoe je die haalt. Plan je een verandering in je systeem, dan doe je dat op een geregelde manier. Uit de behandeling van je risico's volgt welke maatregelen uit bijlage A je neemt.

Je zorgt voor genoeg mensen en middelen. Je mensen hebben de kennis die nodig is en weten wat privacy van ze vraagt. Je regelt wie wat communiceert. Je beheert je documenten. Welke documenten verplicht zijn, staat bij de verplichte documenten van ISO 27701.

Je voert uit wat je in hoofdstuk 6 hebt gepland. Je herhaalt de risicobeoordeling op vaste momenten en bij grote veranderingen. Je voert ook de behandeling uit. Werk dat je uitbesteedt, beheers je net zo goed.

Je meet of je systeem werkt. Je houdt een interne audit met een vast programma. De leiding kijkt op een vast moment of het systeem werkt. Dat heet de directiebeoordeling.

Je verbetert je systeem steeds. Gaat er iets mis, dan los je het op bij de oorzaak. Je legt vast wat je deed.

Bijlage A bevat de maatregelen, verdeeld over drie tabellen. Je neemt de tabellen die bij jouw rollen horen:

Tabel A.3 is nieuw in de versie van 2025. Hij bevat de beveiligingsmaatregelen die vroeger als aanvulling op ISO 27002 in de norm stonden. Daardoor kun je ISO 27701 nu halen zonder ISO 27001. Bijlage B legt per maatregel uit hoe je hem uitvoert. Die uitleg volgt dezelfde nummering als de tabellen.

Twijfel je over je rol, stel dan per verwerking één vraag. Bepaal je zelf waarom je de gegevens gebruikt? Dan ben je verwerkingsverantwoordelijke. Gebruik je ze in opdracht van een klant? Dan ben je verwerker.

Neem een webwinkel van 20 mensen die alleen eigen klantgegevens verwerkt. Die is verwerkingsverantwoordelijke. Hij neemt tabel A.1 en A.3. Een hostingbedrijf dat servers voor andere bedrijven beheert, is verwerker voor de gegevens op die servers. Het is verwerkingsverantwoordelijke voor zijn eigen personeel en klantcontacten. Dat bedrijf neemt dus alle drie de tabellen.

Veel maatregelen sluiten aan op plichten uit de AVG. Bijlage D van de norm laat die koppeling per onderdeel zien. Dit zijn de bekendste:

De norm vraagt daarbij meer dan de AVG op één punt. Je moet laten zien dat deze stukken bij een systeem horen dat je bijhoudt, meet en verbetert. Een ISO 27701-certificaat is daarbij geen AVG-certificaat. Waarom niet, staat bij ISO 27701 en de AVG.

Een tabel die niet bij je rol hoort, neem je niet. Een webwinkel die alleen eigen klantgegevens verwerkt, neemt tabel A.1 en A.3 en laat tabel A.2 liggen. Binnen een tabel volgt uit je risicobehandeling welke maatregelen je neemt. Bij ISO 27001 leg je die keuze vast in een verklaring van toepasselijkheid.

Of ISO 27701:2025 die verklaring op dezelfde manier vraagt, hebben we niet kunnen nalezen. Bij ISO 27001 staat die eis in paragraaf 6.1.3. ISO 27701:2025 heeft ook een paragraaf 6.1.3, over de behandeling van privacyrisico's, maar die tekst is alleen te koop.

Leg daarom in elk geval per maatregel vast of je hem toepast, en waarom niet als je hem niet nodig hebt. Vraag je certificeerder vóór fase 1 in welke vorm hij het wil zien.

De editie die geldt is ISO/IEC 27701:2025, de tweede editie. Die verscheen in oktober 2025 en vervangt de versie van 2019. Het voorwoord noemt als belangrijkste wijziging dat de norm opnieuw is geschreven als zelfstandige norm. De Europese versie is EN ISO/IEC 27701:2025. De Europese normalisatie-instituten moesten die uiterlijk in april 2026 als eigen norm uitgeven.

Heb je een certificaat op de versie van 2019? Dan blijft dat nog even geldig. De nationale accreditatie-instantie noemt in de accreditaties 15 oktober 2028 als einddatum voor de versie van 2019. Hoe je overgaat, staat bij de overgang naar ISO 27701:2025.

Je rol en de versie bepalen samen welke certificeerder past. Op 24 september 2026 hadden 8 certificeerders in Nederland ISO 27701 in hun accreditatie. Daarvan mochten er 2 de versie van 2025 doen. De andere 6 mochten alleen de versie van 2019 doen, en alleen samen met ISO 27001. Wil je ISO 27701 los halen, dan kom je dus bij een kleine groep uit. Vraag ook of de auditor ervaring heeft met jouw rol. Een verwerker in de cloud vraagt andere kennis dan een zorginstelling die vooral verwerkingsverantwoordelijke is.

Bij CertificeerWijzer vraag je met één aanvraag offertes op bij certificeerders die ISO 27701 geaccrediteerd mogen doen. In die aanvraag geef je je rollen en de gewenste versie op. Dan zie je meteen wie bij jouw situatie past.