ISO 27701:2025 PIMS-bewijsmateriaal voor GDPR-audits

Het is donderdag 08:40 en Ava, compliancemanager bij FinScale, opent zojuist de e-mail die elke snelgroeiende B2B SaaS-organisatie vroeg of laat ontvangt.

Een grote Duitse grootzakelijke klant heeft een GDPR-due-diligencevragenlijst gestuurd met een deadline van 48 uur. De klant vraagt niet om een privacybeleid. Een certificaat is niet voldoende. De klant vraagt om bewijsmateriaal.

Lever uw register van verwerkingsactiviteiten voor onze gegevens aan. Toon bewijsmateriaal van due diligence bij de onboarding van subverwerkers. Leg uit hoe u uw verplichtingen onder GDPR Article 28 met bewijsmateriaal onderbouwt. Geef per workflow aan of uw platform optreedt als PII-verwerkingsverantwoordelijke, PII-verwerker, gezamenlijke verwerkingsverantwoordelijke of subverwerker. Toon aan dat de rechtsgrondslag is gevalideerd voor uw AI-ondersteunde supportfunctie. Toon verplichtingen aan voor verwijdering, auditrechten, ondersteuning bij incidenten en contractuele beheersmaatregelen.

Ava weet dat FinScale de bouwstenen heeft. De juridische afdeling heeft de verwerkersovereenkomst. Het securityteam heeft de ISO/IEC 27001:2022 Verklaring van Toepasselijkheid. Product heeft lanceringschecklists. Inkoop heeft leverancierscontracten. Compliance heeft een verwerkingsregister, al zijn sommige vermeldingen verouderd. Het probleem is niet dat er geen bewijsmateriaal bestaat. Het probleem is dat het bewijsmateriaal verspreid is, de onduidelijkheid over rollen niet is opgelost en niemand snel een verwerkingsactiviteit kan herleiden van doel naar rechtsgrondslag, risicobesluit, leveranciersbeheersmaatregel, beveiligingsmaatregel, auditregistratie en directiebeoordeling.

Dat is de werkelijke kloof in de verantwoordingsplicht.

ISO 27701:2025 wordt krachtig wanneer die kloof wordt gesloten. Een privacy-informatiemanagementsysteem, of PIMS, is niet slechts een beleidsmap voor privacycertificering. Het is een operationeel model voor het produceren van betrouwbaar bewijsmateriaal. Voor CISO’s, compliancemanagers, privacyverantwoordelijken, auditors en bedrijfseigenaren is het doel eenvoudig: bouw een PIMS dat GDPR-verantwoordingsplicht aantoont voor PII-verwerkingsverantwoordelijken en PII-verwerkers, en tegelijk de verwachtingen van ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 en COBIT 2019 ondersteunt.

GDPR-verantwoordingsplicht is een bewijsprobleem

GDPR-verantwoordingsplicht wordt vaak ten onrechte gezien als een documentatievereiste. De verplichting gaat verder dan dat.

GDPR Article 5 definieert de kernbeginselen voor de verwerking van persoonsgegevens, waaronder rechtmatigheid, behoorlijkheid, transparantie, doelbinding, gegevensminimalisatie, juistheid, opslagbeperking, integriteit en vertrouwelijkheid. Article 5(2) maakt de verwerkingsverantwoordelijke verantwoordelijk voor het kunnen aantonen van naleving. Article 4 definieert de begrippen persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, pseudonimisering en inbreuk in verband met persoonsgegevens. Article 6 vereist een rechtsgrondslag voor elke verwerkingsactiviteit van de verwerkingsverantwoordelijke. Article 9 voegt strengere voorwaarden toe voor bijzondere categorieën persoonsgegevens. Article 28 regelt verplichtingen van verwerkers en contractuele voorwaarden.

Aan deze verplichtingen wordt niet voldaan met alleen een openbare privacyverklaring. Zij vereisen bewijsmateriaal op het niveau van de verwerkingsactiviteit.

Een praktisch ISO 27701:2025 PIMS-bewijsmodel moet antwoord geven op de volgende vragen:

• Welke PII wordt verwerkt?
• Waarom wordt die verwerkt?
• Treedt de organisatie op als verwerkingsverantwoordelijke, verwerker, gezamenlijke verwerkingsverantwoordelijke of subverwerker?
• Welke rechtsgrondslag geldt wanneer de organisatie verwerkingsverantwoordelijke is?
• Welke gedocumenteerde instructie geldt wanneer de organisatie verwerker is?
• Welke systemen, leveranciers, subverwerkers en locaties zijn betrokken?
• Welk besluit is genomen naar aanleiding van de privacyrisicoscreening of een DPIA?
• Welke beveiligingsmaatregelen beschermen de PII?
• Welk bewijsmateriaal toont aan dat de beheersmaatregel heeft gewerkt?
• Wie heeft restrisico’s, uitzonderingen en corrigerende maatregelen goedgekeurd?

De aanpak van Clarysec zet deze vragen om in beleidsverplichtingen, registers en herleidbare bewijsobjecten. Het resultaat is een PIMS dat bestand is tegen klant-due-diligence, toetsing door een toezichthouder, interne audit, ISO-audit, DORA-beoordeling en toetsing door het bestuur.

Begin met rolduidelijkheid: verwerkingsverantwoordelijke, verwerker of beide

De snelste manier om een PIMS-audit niet te halen, is elke verwerkingsactiviteit hetzelfde te behandelen.

Onder GDPR bepaalt een verwerkingsverantwoordelijke de doeleinden en middelen van de verwerking. Een verwerker verwerkt persoonsgegevens namens een verwerkingsverantwoordelijke. Veel SaaS- en technologiebedrijven doen beide. FinScale is verwerker wanneer het eindgebruikersgegevens van klanten host op basis van klantinstructies. Het is verwerkingsverantwoordelijke voor werknemersregistraties, marketingleads, factureringscontacten, recruitmentgegevens en bepaalde productanalytics.

Dit onderscheid bepaalt de bewijsvereisten.

Clarysec’s Privacy-informatiemanagementsysteembeleid maakt rolclassificatie een operationele verplichting:

[Beide] De proceseigenaar / bedrijfseigenaar MOET de PIMS-rol van de organisatie voor elke PII-verwerkingsactiviteit in REG02 classificeren voordat de verwerkingsactiviteit begint.

Deze ene verplichting verandert het operationele privacymodel. Juridische toetsing is niet langer iets wat pas na de lancering plaatsvindt. Elke proceseigenaar moet de PIMS-rol classificeren voordat de verwerking start. Die classificatie bepaalt de daaropvolgende bewijsketen.

Voor activiteiten als verwerkingsverantwoordelijke vereist Clarysec’s Beleid inzake PII-verwerkingsinventaris en rechtsgrondslag validatie van de rechtsgrondslag:

[Verwerkingsverantwoordelijke] De privacyverantwoordelijke / PIMS-manager MOET de in REG02 vastgelegde rechtsgrondslag valideren voordat verwerking door de verwerkingsverantwoordelijke begint en voordat een doelwijziging van kracht wordt.

Uit de sectie “Registraties van doeleinden en rechtsgrondslagen voor verwerkingsverantwoordelijken”, beleidsclausule 4.2.2.

Voor activiteiten als verwerker verschuift de focus van het bewijsmateriaal naar gedocumenteerde instructies, contractuele beheersmaatregelen, governance van subverwerkers, beveiligingsmaatregelen, assistentieverplichtingen, ondersteuning bij incidenten en teruggave of verwijdering bij beëindiging. Daar wordt REG08 cruciaal.

Clarysec’s Beleid inzake beheer van verwerkers, subverwerkers en privacyrelaties met derde partijen vereist:

[Verwerkingsverantwoordelijke] De privacyverantwoordelijke / PIMS-manager MOET vóór goedkeuring verifiëren dat de velden voor contractuele beheersmaatregelen voor verwerkers in REG08 betrekking hebben op verwerkingsscope, duur, doel, PII-categorieën, categorieën betrokkenen, vertrouwelijkheid, beveiliging, autorisatie van subverwerkers, assistentie, audit of assurance, teruggave, verwijdering en beëindiging.

Uit de sectie “Contractuele beheersmaatregelen en gedocumenteerde instructies”, beleidsclausule 4.3.2.

REG02 legt de verwerkingsactiviteit en rol vast. REG04 screent privacyrisico’s. REG08 valideert beheersmaatregelen voor verwerkers, subverwerkers en leveranciers. REG12 indexeert het bewijsmateriaal. Samen vormen zij de PIMS-bewijsketen.

De PIMS-bewijsketen die auditors verwachten

Een sterk PIMS vraagt teams niet om losse spreadsheets bij te houden. Het definieert bewijsobjecten, eigenaren, timing, beoordelingscycli en audittrails.

Clarysec’s Beleid inzake gedocumenteerde informatie en bewijsbeheer voor PIMS bepaalt:

[Alle] De privacyverantwoordelijke / PIMS-manager MOET vóór de eerste publicatie van het PIMS en daarna per kwartaal een index van PIMS-gedocumenteerde informatie in REG12 bijhouden.

REG12 voorkomt dat het privacyprogramma verandert in een map met verouderde PDF’s. Het laat de auditor zien welk bewijsmateriaal bestaat, waar het is opgeslagen, wie de eigenaar is, wanneer het voor het laatst is beoordeeld en welke verwerkingsactiviteiten, risico’s, verplichtingen of beheersmaatregelen het ondersteunt.

Deze bewijsketen sluit op natuurlijke wijze aan op de vereisten van ISO/IEC 27001:2022 voor context, belanghebbenden, risicoplanning, operationele beheersing, gedocumenteerde informatie, prestatie-evaluatie, interne audit, directiebeoordeling en continue verbetering. Zij sluit ook aan op ISO/IEC 27002:2022-beheersmaatregelen zoals 5.2 Rollen en verantwoordelijkheden voor informatiebeveiliging, 5.20 Informatiebeveiliging in leveranciersovereenkomsten, 5.21 Beheer van informatiebeveiliging in de ICT-toeleveringsketen, 5.34 Privacy en bescherming van PII en 8.10 Verwijdering van informatie.

Bewijsmateriaal voor verwerkingsverantwoordelijken en verwerkers is niet hetzelfde

Ava’s Duitse klant vraagt niet alleen of FinScale privacybeleid heeft. De klant wil bewijs dat FinScale begrijpt welke rol het per gegevensstroom vervult.

Wanneer FinScale optreedt als verwerkingsverantwoordelijke, moet het rechtvaardigen waarom het gegevens verwerkt. Verwerking van salarisgegevens van werknemers kan bijvoorbeeld steunen op noodzakelijkheid voor de uitvoering van een overeenkomst en op een wettelijke verplichting. Marketing kan steunen op toestemming of gerechtvaardigde belangen, afhankelijk van context en rechtsgebied. Recruitment kan bewaarbeperkingen, transparantie en toegangscontrole vereisen. Het bewijsmateriaal is niet alleen de gekozen rechtsgrondslag. Het omvat de gevalideerde registratie, de privacyverklaring, de bewaartermijnregel, de procedure voor rechten van betrokkenen en het risicobesluit.

Wanneer FinScale optreedt als verwerker, moet het aantonen dat het handelt op basis van gedocumenteerde klantinstructies. Het bewijsmateriaal omvat de verwerkersovereenkomst, productconfiguratie, systeemlogboeken, beveiligingsmaatregelen, autorisaties van subverwerkers, assistentieprocedures, het proces voor ondersteuning bij inbreuken, auditrechten en bewijs van verwijdering of teruggave.

Clarysec’s P17 Beleid inzake gegevensbescherming en privacy benadrukt dat privacy in het ISMS moet worden geïntegreerd:

De organisatie moet een formeel privacygovernancekader onderhouden dat is geïntegreerd in het Informatiebeveiligingsmanagementsysteem (ISMS) om dit beleid af te dwingen.

Uit de sectie “Governancevereisten”, beleidsclausule 5.1.

De mkb-versie, Beleid inzake gegevensbescherming en privacy voor het mkb, hanteert dezelfde discipline voor bewijsmateriaal:

De privacycoördinator moet een register bijhouden van alle verwerkingsactiviteiten van persoonsgegevens, inclusief gegevenscategorieën, doel, rechtsgrondslag en bewaartermijnen

Zij vereist ook:

De rechtsgrondslag (bijv. toestemming, overeenkomst, wettelijke verplichting) moet in het verwerkingsregister worden gedocumenteerd

Voor enterpriseprogramma’s voegt het P17 Beleid inzake gegevensbescherming en privacy eigenaarschap toe:

De juridische afdeling moet het register van rechtsgronden onderhouden en bijwerken.

Praktische walkthrough: productanalytics lanceren

Beschouw een productanalyticsfunctie die gebruikersnavigatie, functiegebruik, sessiemetadata, organisatie-ID, gebruikersrol en apparaatinformatie volgt. Product wil gebruiksinzichten. Sales wil adoptiemetingen. Customer Success wil signalen voor klantverloop. De juridische afdeling vraagt of FinScale verwerkingsverantwoordelijke of verwerker is. Security vraagt of logboeken persoonsgegevens bevatten. Inkoop merkt op dat de analyticsleverancier subverwerkers gebruikt.

Een sterk PIMS zet dit om in een herhaalbare workflow.

1. Maak of actualiseer REG02 voordat de verwerking begint

De bedrijfseigenaar registreert de activiteit in REG02. De registratie moet doel, PII-categorieën, categorieën betrokkenen, systemen, bewaartermijn, doorgiften, beveiligingsmaatregelen, rolclassificatie en rechtsgrondslag of gedocumenteerde instructie bevatten.

Als analytics worden gebruikt voor FinScale’s eigen productverbeteringsdoeleinden, kan FinScale voor die activiteit verwerkingsverantwoordelijke zijn. Als analytics uitsluitend worden uitgevoerd op basis van door de klant geconfigureerde instellingen namens de klant, kan FinScale verwerker zijn. In veel SaaS-omgevingen kunnen beide rollen binnen één functie voorkomen, afhankelijk van gegevensstroom en doel.

2. Valideer rechtsgrondslag of gedocumenteerde instructie

Als FinScale verwerkingsverantwoordelijke is, valideert de privacyverantwoordelijke of de juridische afdeling de rechtsgrondslag in REG02 voordat de verwerking begint. Als bijzondere categorieën persoonsgegevens betrokken zijn, moet het team ook de relevante voorwaarde onder GDPR Article 9 en aanvullende waarborgen identificeren.

Als FinScale verwerker is, moet het bewijsmateriaal verwijzen naar de gedocumenteerde instructie van de klant. De vraag wordt dan: waar staat de instructie, welke verwerking is toegestaan en hoe toont FinScale aan dat het de instructie heeft gevolgd?

3. Activeer REG04-privacyrisicoscreening

Clarysec’s Beleid inzake privacyrisicobeoordeling en DPIA vereist:

[Beide] De proceseigenaar / bedrijfseigenaar MOET privacyrisicoscreening in REG04 initiëren voordat nieuwe of wezenlijk gewijzigde PII-verwerking die in REG02 is vastgelegd begint.

Uit de sectie “Privacyrisicoscreening”, beleidsclausule 4.1.1.

De screening moet gevoeligheid, schaal, gevolgen van monitoring, verwachtingen van betrokkenen, profilering, geautomatiseerde besluiten, grensoverschrijdende doorgiften, leverancierstoegang, bewaring en doeltreffendheid van beheersmaatregelen beoordelen. Als het risico verhoogd is, moet het PIMS een DPIA activeren en het besluit vastleggen.

4. Werk REG08 bij voor leveranciers en subverwerkers

Als een externe analyticsaanbieder PII ontvangt, werken Inkoop, de juridische afdeling en Privacy REG08 bij. Contractvelden moeten betrekking hebben op scope, duur, doel, PII-categorieën, vertrouwelijkheid, beveiliging, autorisatie van subverwerkers, assistentie, audit of assurance, teruggave, verwijdering en beëindiging.

Het Beleid inzake beveiliging van derde partijen en leveranciers voor het mkb ondersteunt deze operationele discipline door te vereisen:

Verificatie van gegevensverwerkingspraktijken of naleving van gegevensprivacy wanneer persoonlijk identificeerbare informatie (PII) betrokken is

Het P17 Beleid inzake gegevensbescherming en privacy vereist ook:

Inkoop en de teams voor juridische zaken en compliance moeten naleving van Article 28 van de GDPR verifiëren en een jaarlijkse herbeoordeling van alle leveranciers met een hoog risico vereisen.

5. Indexeer bewijsmateriaal in REG12

Ten slotte werkt de PIMS-manager REG12 bij met links naar REG02, validatie van de rechtsgrondslag, gedocumenteerde instructie, REG04-screening, DPIA indien vereist, REG08-leveranciersregistratie, verwerkersovereenkomst, beveiligingsbeoordeling, bewaarbesluit, productgoedkeuring en bewijsmateriaal uit monitoring.

Zo wordt gegevensbescherming door ontwerp omgezet in auditgereed bewijs.

De Zenith Blueprint gebruiken om herleidbaarheid op te bouwen

Weten welk bewijsmateriaal moet worden verzameld, is slechts de helft van de uitdaging. Het moeilijkere deel is het bouwen van een systeem dat dit betrouwbaar oplevert.

De Zenith Blueprint: een 30-stappenroadmap voor auditors plaatst dit in de fase ISMS Foundation & Leadership, stap 2: Stakeholder Needs and ISMS Scope. De gids laat zien hoe verwachtingen van belanghebbenden worden omgezet in geplande beheersmaatregelen:

Klanten
(B2B SaaS)
Vertrouwelijkheid van gegevens, uptime volgens
SLA, melding van inbreuken binnen
24 uur
Implementeer toegangscontrole en encryptie;
het incidentresponsplan bevat
meldingsprocedures.

De gids bevat ook:

Actiepunt 4.2: Stel een lijst op van alle belangrijke belanghebbenden en noteer hun vereisten met betrekking tot informatiebeveiliging.

Voor ISO 27701:2025 moet dat actiepunt worden uitgebreid naar privacy. Belanghebbenden zijn onder meer klanten, betrokkenen, toezichthouders, verwerkers, subverwerkers, werknemers, productteams, interne audit, management, klanten in de financiële sector en sectorale toezichthouders waar NIS2 of DORA van toepassing is.

In de fase Risk Management, stap 13: Risk Treatment Planning and Statement of Applicability, adviseert de Zenith Blueprint herleidbaarheid:

Verwijs kruislings naar regelgeving: als bepaalde beheersmaatregelen specifiek zijn geïmplementeerd om te voldoen aan GDPR, NIS2 of DORA, kunt u dat vermelden in het risicoregister (als onderdeel van de onderbouwing van de risico-impact) of in de SoA-notities.

Dit creëert de rode draad die auditors willen zien: vereiste, risico, beheersmaatregel, eigenaar, bewijsmateriaal, testresultaat en verbetermaatregel.

Waar Zenith Controls past in het PIMS-model

Clarysec’s Zenith Controls: de gids voor geïntegreerde compliance helpt teams dubbele complianceprogramma’s te vermijden door thema’s voor beheersmaatregelen uit ISO/IEC 27001:2022 en ISO/IEC 27002:2022 te mappen naar andere normen, auditverwachtingen en bewijsmodellen.

Voor ISO 27701:2025 PIMS-bewijsmateriaal zijn vier ISO/IEC 27002:2022-beheersmaatregelen bijzonder belangrijk:

• 5.2 Rollen en verantwoordelijkheden voor informatiebeveiliging
• 5.20 Informatiebeveiliging in leveranciersovereenkomsten
• 5.21 Beheer van informatiebeveiliging in de ICT-toeleveringsketen
• 5.34 Privacy en bescherming van PII

Beheersmaatregel 5.2 ondersteunt rolduidelijkheid. Een PIMS heeft duidelijke verantwoordingsplicht nodig voor de PIMS-manager, privacyverantwoordelijke, proceseigenaar, bedrijfseigenaar, juridische afdeling, inkoop, security, interne audit en topmanagement.

Beheersmaatregel 5.34 ondersteunt de kernverplichting voor privacy. De Zenith Blueprint, fase Controls in Action, stap 23, licht de auditverwachting toe:

Vanuit auditperspectief krijgt deze beheersmaatregel steeds meer aandacht. Auditors, toezichthouders en klanten willen allemaal zien:

✓ Waar PII zich bevindt,
✓ Welke rechtsgrondslag de verwerking beheerst,
✓ Hoe toegang wordt beperkt,
✓ Hoe incidenten worden gemeld,
✓ En hoe de organisatie rechten respecteert en transparantie waarborgt.

De Zenith Blueprint vervolgt:

Beheersmaatregel 5.34 is niet slechts een afvinkpunt. Het is een verklaring van ethisch beheer.

Beheersmaatregelen 5.20 en 5.21 verbinden PIMS-bewijsmateriaal met leveranciersgovernance en governance van de ICT-toeleveringsketen. De Zenith Blueprint, fase Controls in Action, stap 23, noemt onderwerpen voor leveranciersovereenkomsten:

Belangrijke onderwerpen die doorgaans in leveranciersovereenkomsten worden behandeld, zijn onder meer:

✓ Vertrouwelijkheidsverplichtingen, inclusief scope, duur en beperkingen op verstrekking aan derden;
✓ Verantwoordelijkheden voor toegangscontrole, zoals wie toegang heeft tot uw gegevens, hoe inloggegevens worden beheerd en welke monitoring is ingericht;
✓ Technische en organisatorische maatregelen voor gegevensbescherming, encryptie, veilige overdracht, back-up en beschikbaarheidsverplichtingen;
✓ Tijdlijnen en protocollen voor incidentmelding, vaak met vastgestelde termijnen (bijv. “melden binnen 24 uur”);
✓ Auditrechten, inclusief frequentie, scope en toegang tot relevant bewijsmateriaal (bijv. penetratietestrapporten, SoA, certificeringen);
✓ Beheersmaatregelen voor onderaannemers, waarbij uw leverancier gelijkwaardige beveiligingsverplichtingen moet doorleggen aan downstream-partners;
✓ Bepalingen voor het einde van het contract, zoals teruggave of vernietiging van gegevens, terugvordering van activa en deactivering van accounts.

Dit is de brug tussen GDPR-verantwoordingsplicht en ISMS-bewijsmateriaal.

PIMS-bewijsmateriaal mappen over GDPR, NIS2, DORA, NIST en COBIT 2019

Privacybewijsmateriaal dient zelden slechts één kader. Een goed ontworpen PIMS-bewijsobject kan meerdere auditvragen beantwoorden.

GDPR verankert privacyverantwoordingsplicht via rechtsgrondslag, rolduidelijkheid, verwerkerscontracten, rechten, afhandeling van inbreuken en aantoonbare naleving.

NIS2 is relevant voor essentiële en belangrijke entiteiten, waaronder bepaalde cloudproviders, managed service providers, managed security service providers, datacenterproviders en organisaties voor digitale infrastructuur. NIS2 Article 20 legt verantwoordelijkheid voor cyberbeveiligingsgovernance bij leidinggevende organen. Article 21 vereist passende technische, operationele en organisatorische maatregelen, waaronder risicoanalyse, incidentenafhandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, veilige ontwikkeling, beoordeling van doeltreffendheid, training, cryptografie, HR-beveiliging, toegangscontrole, beheer van bedrijfsmiddelen en MFA of continue authenticatie waar passend. Article 23 introduceert verwachtingen voor het melden van significante incidenten, waaronder een vroegtijdige waarschuwing binnen 24 uur en een incidentmelding binnen 72 uur.

DORA is relevant voor financiële entiteiten en ICT-dienstverleners van derden binnen financiële ecosystemen. DORA Articles 5 en 6 vereisen ICT-risicogovernance, beleid, strategie, testen en continue verbetering. Articles 17 tot en met 19 behandelen detectie, classificatie, escalatie, rapportage, oorzaakanalyse en geleerde lessen voor ICT-incidenten. Articles 28 tot en met 30 vereisen een strategie voor ICT-risico’s van derden, registers, due diligence, contractuele bepalingen, auditrechten, assistentie bij incidenten, gegevensbescherming, exitplanning en beoordeling van concentratierisico.

NIST CSF 2.0 biedt een governance- en risicotaal via GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND en RECOVER. COBIT 2019 voegt governancedoelstellingen, managementpraktijken, eigenaarschap, metrieken, assurance en procescapaciteit toe.

Het compliancevoordeel is duidelijk. Eén gecontroleerde PIMS-bewijsketen kan GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 en klant-due-diligence ondersteunen.

Hoe auditors uw PIMS zullen toetsen

Een PIMS-audit is geen documentbeoordeling. Het is een oefening in bewijsherleidbaarheid.

Clarysec’s P33 Beleid voor audit en compliancemonitoring ondersteunt het auditmodel:

De organisatie moet een auditregister bijhouden met:

Het mkb-equivalent, Beleid voor audit en compliancemonitoring voor het mkb, voegt een belangrijke kwaliteitseis voor bewijsmateriaal toe:

Metadata (bijv. wie het heeft verzameld, wanneer en uit welk systeem) moet worden gedocumenteerd.

Die metadata-eis is klein maar krachtig. Schermafbeeldingen zonder bron, datum, verzamelaar en systeemcontext zijn zwak bewijsmateriaal. Gecontroleerd auditbewijsmateriaal toont authenticiteit, actualiteit en herleidbaarheid aan.

Hoe goed PIMS-bewijsmateriaal eruitziet

Stel dat een auditor één activiteit selecteert: analyse van klantenservicetickets.

Een zwak antwoord is: “Wij hebben een privacybeleid en onze verwerkersovereenkomst dekt dit.”

Een sterk PIMS-antwoord is:

1. REG02 identificeert de activiteit, systemen, PII-categorieën, betrokkenen, doel, rolclassificatie, bewaring, doorgiften, beveiligingsmaatregelen en eigenaar.
2. De rolclassificatie laat zien of de organisatie verwerkingsverantwoordelijke, verwerker of beide is voor specifieke delen van de workflow.
3. Indien verwerkingsverantwoordelijke: de rechtsgrondslag is gevalideerd en vastgelegd in het register van rechtsgronden.
4. Indien verwerker: de klantinstructie en de clausule uit de verwerkersovereenkomst zijn gekoppeld.
5. REG04 toont privacyrisicoscreening vóór lancering of wezenlijke wijziging.
6. REG08 identificeert het ticketplatform, de leverancier voor AI-samenvattingen, subverwerkers, contractuele beheersmaatregelen, auditrechten, beveiligingsassurance, verwijderingsvoorwaarden en assistentie bij incidenten.
7. Bewijsmateriaal voor toegangscontrole toont aan dat toegang van supportmedewerkers rolgebaseerd is en wordt beoordeeld.
8. Bewijsmateriaal voor logging en monitoring toont aan dat toegang tot supporttickets wordt gemonitord.
9. Bewijsmateriaal voor bewaring en verwijdering toont aan dat tickets worden verwijderd of geanonimiseerd conform de goedgekeurde bewaartermijn.
10. REG12 indexeert al het ondersteunende bewijsmateriaal met eigenaar en beoordelingsdatum.
11. Het auditregister toont of de activiteit is getest, welke bevindingen zijn vastgesteld en of corrigerende maatregelen zijn afgesloten.

Zo wordt ISO 27701:2025 operationeel. Het creëert een herhaalbare verantwoordingsketen.

Veelvoorkomende tekortkomingen in PIMS-bewijsmateriaal

In SaaS-, fintech-, managed-service- en B2B-technologieomgevingen komen dezelfde hiaten steeds terug.

Ten eerste houden organisaties een RoPA of verwerkingsregister bij, maar classificeren zij de rollen van verwerkingsverantwoordelijke en verwerker niet per activiteit. Dat leidt tot verwarring over rechtsgrondslagen, gedocumenteerde instructies en verplichtingen voor subverwerkers.

Ten tweede wordt de rechtsgrondslag eenmaal vastgelegd en niet opnieuw gevalideerd wanneer het doel wijzigt. GDPR Article 6 vereist discipline rond doel en rechtsgrondslag. Verdere verwerking kan een verenigbaarheidstoets en waarborgen vereisen.

Ten derde vermelden leveranciersinventarissen leveranciers, maar bevatten zij geen velden voor contractuele beheersmaatregelen. Een leverancierslijst is niet hetzelfde als verwerkersgovernance.

Ten vierde zijn DPIA-besluiten informeel. Teams zeggen “geen hoog risico”, maar kunnen geen screeningscriteria, goedkeurder, datum of bewijsmateriaal tonen.

Ten vijfde bestaat auditbewijsmateriaal, maar is het niet beheerst. Schermafbeeldingen missen metadata. Beleid is actueel, maar registers zijn verouderd. Contracten bestaan, maar herbeoordelingen bij verlenging worden gemist.

Ten zesde richten incidentprocessen zich op cyberbeveiligingsgebeurtenissen, maar classificeren zij inbreuken in verband met persoonsgegevens niet duidelijk. Analyse van inbreuken in verband met persoonsgegevens onder GDPR, rapportage van significante incidenten onder NIS2 en rapportage van ICT-incidenten onder DORA moeten worden gecoördineerd, niet gedupliceerd.

Clarysec pakt deze tekortkomingen aan door PIMS-bewijsmateriaal te behandelen als een beheerst managementsysteem, niet als een auditactie op het laatste moment.

Checklist voor gereedheid van ISO 27701:2025 PIMS-bewijsmateriaal

Gebruik deze checklist voor uw volgende interne gereedheidsbeoordeling.

• Definieer het PIMS-toepassingsgebied en de belanghebbenden, waaronder klanten, toezichthouders, betrokkenen, leveranciers, interne audit en management.
• Wijs PIMS-rollen en verantwoordelijkheden toe, waaronder PIMS-manager, privacyverantwoordelijke, proceseigenaar, juridische afdeling, inkoop, security en interne audit.
• Maak REG02-vermeldingen voor elke PII-verwerkingsactiviteit.
• Classificeer per activiteit de rol van verwerkingsverantwoordelijke, verwerker, gezamenlijke verwerkingsverantwoordelijke of subverwerker.
• Valideer de rechtsgrondslag voor verwerking door de verwerkingsverantwoordelijke voordat de verwerking begint en voordat het doel wijzigt.
• Leg gedocumenteerde instructies vast voor activiteiten als verwerker.
• Activeer REG04-privacyrisicoscreening vóór nieuwe of wezenlijk gewijzigde verwerking.
• Voer een DPIA uit wanneer risicoscreening wijst op een verhoogd privacyrisico.
• Onderhoud REG08 voor verwerkers, subverwerkers, ICT-leveranciers en leveranciers die relevant zijn voor privacy.
• Verifieer contractvelden voor scope, duur, doel, PII-categorieën, vertrouwelijkheid, beveiliging, assistentie, auditrechten, teruggave, verwijdering en beëindiging.
• Onderhoud REG12 als index van PIMS-gedocumenteerde informatie.
• Map PIMS-bewijsmateriaal naar ISO/IEC 27001:2022-risicobehandeling en SoA-notities.
• Verwijs kruislings naar verplichtingen onder GDPR, NIS2, DORA, NIST CSF 2.0 en COBIT 2019 waar relevant.
• Voer jaarlijks interne audits op privacynaleving uit en werk het auditregister bij.
• Beoordeel openstaande bevindingen, corrigerende maatregelen, risicobesluiten en managementrapportage per kwartaal.

Het P17 Beleid inzake gegevensbescherming en privacy versterkt de auditcyclus:

Jaarlijks of bij majeure organisatorische of regelgevende wijzigingen moet een interne audit op privacynaleving worden uitgevoerd. De auditscope moet omvatten:

De boodschap is eenvoudig. Privacynaleving wordt gemonitord, niet verondersteld.

Bouw uw PIMS-bewijsmodel met Clarysec

ISO 27701:2025 heeft de meeste waarde wanneer het is geïntegreerd met ISO/IEC 27001:2022 en is ontworpen om standaard bewijsmateriaal te produceren. Zo wordt privacy een verdedigbaar operationeel model in plaats van een certificeringsproject.

Wanneer een klant om privacyassurance vraagt, kunt u bewijsmateriaal tonen. Wanneer een toezichthouder vraagt waarom u gegevens hebt verwerkt, kunt u rol, doel, rechtsgrondslag, waarborgen en goedkeuringen tonen. Wanneer een auditor vraagt hoe u subverwerkers beheerst, kunt u REG08, contractuele beheersmaatregelen, herbeoordelingen en auditrechten tonen. Wanneer het bestuur vraagt of privacyrisico onder controle is, kunt u metrieken, openstaande acties, auditresultaten en directiebeoordeling tonen.

Als uw PIMS nog zwaar leunt op beleid en weinig bewijsmateriaal bevat, begin dan met de keten die auditors zullen volgen:

REG02-verwerkingsinventaris, REG04-privacyrisicoscreening, REG08-governance van verwerkers en subverwerkers, REG12-bewijsindex, register van rechtsgronden, auditregister en SoA-mapping.

Clarysec kan u helpen die keten operationeel te maken via:

• Zenith Blueprint: een 30-stappenroadmap voor auditors, met name stap 2 voor vereisten van belanghebbenden, stap 13 voor risicobehandeling en SoA-herleidbaarheid, en stap 23 voor privacy-, leveranciers- en organisatorische beheersmaatregelen.
• Zenith Controls: de gids voor geïntegreerde compliance, waarbij ISO/IEC 27002:2022-beheersmaatregelen 5.2, 5.20, 5.21 en 5.34 worden gebruikt als praktische ankers voor privacyverantwoordingsplicht.
• Clarysec’s ISO 27701 PIMS-beleidsset, waaronder Privacy-informatiemanagementsysteembeleid, Beleid inzake PII-verwerkingsinventaris en rechtsgrondslag, Beleid inzake privacyrisicobeoordeling en DPIA, Beleid inzake beheer van verwerkers, subverwerkers en privacyrelaties met derde partijen en Beleid inzake gedocumenteerde informatie en bewijsbeheer voor PIMS.
• Ondersteuning voor enterprise en mkb via P17 Beleid inzake gegevensbescherming en privacy, Beleid inzake gegevensbescherming en privacy voor het mkb, Beleid inzake beveiliging van derde partijen en leveranciers voor het mkb, P33 Beleid voor audit en compliancemonitoring en Beleid voor audit en compliancemonitoring voor het mkb.

Uw volgende actie is eenvoudig: kies één PII-verwerkingsactiviteit met een hoog risico en doorloop de bewijsketen van REG02 tot REG12. Als de keten breekt, is dat uw eerste verbeterproject. Als de keten standhoudt, breid het model dan uit over uw verwerkingsinventaris.

Zo wordt ISO 27701:2025 meer dan een certificaat. Het wordt bewijs van GDPR-verantwoordingsplicht.