Wat ISO 27701 is
ISO/IEC 27701 stelt eisen aan een managementsysteem voor privacy-informatie: hoe een organisatie persoonsgegevens beheert als verwerkingsverantwoordelijke, als verwerker of als beide. De eerste editie, uit 2019, was een uitbreiding op ISO 27001. De editie van 2025 staat op zichzelf en kan zonder ISO 27001 worden gecertificeerd, met een eigen set beveiligingsmaatregelen. Ze bevat aparte beheersmaatregelen voor verwerkingsverantwoordelijken en verwerkers, en koppelt die aan de AVG (GDPR) en andere privacywetten.
Wat klanten vragen
De vragen overlappen met een AVG-beoordeling (GDPR) van leveranciers, geordend naar de sets beheersmaatregelen van de norm:
- Of u gecertificeerd bent, volgens welke editie, en wat de scope omvat.
- Uw rol ten aanzien van de gegevens van de klant, wat voor een SaaS-leverancier meestal die van verwerker is.
- Hoe u de instructies van de klant opvolgt, helpt bij verzoeken van betrokkenen en een register van verwerkingen bijhoudt.
- Subverwerkers: wie ze zijn, hoe ze gebonden zijn, en hoe de klant over wijzigingen wordt geïnformeerd.
- Doorgiften buiten de EU, en de waarborgen die daarvoor gelden.
- Bewaring, teruggave en verwijdering aan het einde van het contract.
- Hoe een datalek wordt ontdekt en aan de klant wordt gemeld.
Antwoorden met een certificaat
Voeg het certificaat bij en citeer de scope en de editie. Beoordelaars die de norm kennen, vragen naar de verwerkersmaatregelen die u hebt gekozen en hoe die zijn geïmplementeerd, zoals een ISO 27001-beoordelaar om de verklaring van toepasselijkheid vraagt.
Antwoorden zonder certificaat
Beantwoord elke rij zoals u dat in een AVG-beoordeling (GDPR) zou doen: het feit, de eigenaar, het bewijs. Uw verwerkersovereenkomst, uw lijst met subverwerkers en uw procedure voor datalekken beantwoorden de meeste rijen. Hebt u ISO 27001 en wilt u 27701 toevoegen, zeg dat dan, met een datum erbij.
In Responsemate
De verwerkersovereenkomst, de lijst met subverwerkers en eventuele certificaten staan in de kennisbank als bewijs met controledatums, en de privacyrijen van elke vragenlijst worden opgesteld vanuit dezelfde goedgekeurde antwoorden, zodat ze niet per klant uiteenlopen. AVG-vragenlijsten voor leveranciersbeoordeling (GDPR).
Veelgestelde vragen
Hebben we ISO 27001 nodig vóór ISO 27701?
Niet meer. Onder de editie van 2019 was ISO 27701 een uitbreiding op ISO 27001 en kon de norm alleen daarbovenop worden gecertificeerd. De editie van 2025 is een zelfstandige norm voor een managementsysteem, al voeren de meeste organisaties de twee nog steeds samen.
Bewijst een ISO 27701-certificering dat u aan de AVG (GDPR) voldoet?
Nee, en een beoordelaar zal het ook niet zo lezen. Het laat zien dat privacy gestructureerd wordt beheerd, met beheersmaatregelen die aansluiten op de AVG (GDPR), waardoor de privacysectie van een vragenlijst makkelijker te beantwoorden en te vertrouwen is.