Begin pas wanneer de uitgangspunten duidelijk zijn
U kunt een SoA niet zinvol invullen zonder te weten welke dienstverlening en informatie onder het managementsysteem vallen. Bepaal eerst de scope, relevante risico's en eisen van bijvoorbeeld klanten en toepasselijke wetgeving. Dezelfde maatregel kan voor twee organisaties een andere betekenis hebben.
Een bestaande template mag helpen om overzicht te houden. Zij kan de inhoudelijke afweging niet vervangen. Laat de eigenaar van het betrokken proces uitleggen hoe het werk verloopt voordat u conclusies over toepasselijkheid trekt.
Onderbouw de keuze per maatregel
Een korte motivatie hoort te laten zien waarom een maatregel relevant is of waarom uitsluiting verdedigbaar is. Verwijs naar de betreffende risico's en eisen. De keuze moet begrijpelijk zijn voor iemand die niet aanwezig was bij het projectoverleg.
Vermijd cirkelredeneringen zoals 'niet van toepassing omdat we dit niet doen' wanneer juist onderzocht moet worden of het proces ontbreekt. Geen eigen serverruimte betekent bijvoorbeeld niet dat fysieke afhankelijkheden volledig verdwijnen. Uw leverancier en de afspraken over zijn dienstverlening kunnen nog steeds relevant zijn.
Houd toepasselijkheid en implementatiestatus uit elkaar
Een noodzakelijke maatregel is niet opeens niet van toepassing omdat zij nog moet worden ingericht. Maak de openstaande actie zichtbaar en leg vast wie verantwoordelijk is. Zo blijft het verschil tussen een gemotiveerde uitzondering en een tekortkoming helder.
Gebruik statussen die uw team eenduidig begrijpt. Leg naast de status vast waar de werkwijze staat en welk bewijs beschikbaar is. Een verwijzing naar een beleidstekst zegt iets anders dan een registratie waaruit blijkt dat de controle daadwerkelijk is uitgevoerd.
Een praktisch voorbeeld: toegang bij uitdiensttreding
Stel dat vertrekkende medewerkers toegang hebben tot klantomgevingen. De relevante afweging is dan wie het vertrek meldt, welke accounts moeten worden ingetrokken en hoe de organisatie controleert dat dit is gebeurd. De SoA verwijst naar die samenhang.
Als de procedure bestaat maar accounts soms open blijven, is 'geïmplementeerd' mogelijk te stellig. Onderzoek het knelpunt en leg een herstelactie vast. Dit illustratieve voorbeeld laat zien waarom de verklaring moet meebewegen met de werkelijkheid en niet alleen met de aanwezigheid van documenten.
Maak onderhoud onderdeel van veranderingen
Wijs een beheerder aan en spreek af wanneer inhoudelijke herbeoordeling plaatsvindt. Nieuwe diensten, risico's, incidenten of andere leveranciers kunnen de onderbouwing veranderen. Laat relevante proceseigenaren wijzigingen beoordelen en bewaar inzicht in belangrijke besluiten.
Datajuristen helpt om de verklaring overzichtelijk te maken en met uw dossier te verbinden. Gebruik daarbij de actuele normtekst binnen de toepasselijke licentievoorwaarden. We publiceren geen kopie van de volledige norm of een schijnbaar universele afvinklijst.
Nog een vraag?
Veelgestelde vragen
Is een SoA hetzelfde als de risicoanalyse?
Nee. De risicoanalyse onderzoekt en beoordeelt risico's. De verklaring van toepasselijkheid maakt de relevante beheersmaatregelen en hun onderbouwing inzichtelijk. De documenten moeten op elkaar aansluiten.
Kunnen wij de SoA van een ander bedrijf overnemen?
Die kan hooguit een vormvoorbeeld geven. Scope, risico's, eisen en uitvoering verschillen. Overgenomen motivaties zonder eigen beoordeling leveren geen bruikbare onderbouwing op.
Bronnen en actualiteit
Deze uitleg gebruikt onderstaande bronnen, geraadpleegd op 12 oktober 2026. De precieze eisen en aanpak hangen af van uw scope, activiteiten en de actuele afspraken met de onafhankelijke toetsende partij.
Van uitleg naar uw praktijk
Wat betekent dit voor uw organisatie?
Vertel waar u staat en welke vraag u wilt oplossen. We bespreken een concrete eerste stap.