ISO 27701-software die je privacybeheer naast je ISMS zet
Normy beoordeelt je privacymanagementsysteem tegen ISO 27701 en de AVG: verwerkingsregister, DPIA's, betrokkenenrechten, datalekken en je rol als verwerker of verantwoordelijke. Per eis een oordeel met bron, en de registers om het bij te houden.
14 dagen gratis, zonder kaart. Daarna blijft je data staan.
Hoe ver ben je? Vijf vragen, een indicatie.
Heb je een actueel verwerkingsregister (art. 30 AVG)?
Een snelle indicatie, geen formele audit.
Wat ISO 27701 vraagt, per onderdeel
Normy toetst je documentatie tegen elk van deze 16 eisen en geeft per eis een oordeel met onderbouwing en de bron uit je eigen document.
4 onderdelen · 16 eisen
- 5
PIMS-managementsysteem (clausule 5) 7 eisen
Context en rol: verwerkingsverantwoordelijke en/of verwerker, Leiderschap, privacybeleid en de FG, Planning: privacyrisico's, DPIA en doelstellingen, Ondersteuning en verwerkingsregister, Uitvoering en datalekbeheer en 2 meer.
- 6
Informatiebeveiligingsmaatregelen (ISO 27002) 1 eis
Privacy-afgestemde beveiligingsmaatregelen.
- 7
Verwerkingsverantwoordelijke: aanvullende maatregelen (Annex A) 4 eisen
Voorwaarden voor verzameling en verwerking, Verplichtingen jegens betrokkenen, Privacy by design en by default, Delen, doorgifte en verstrekking.
- 8
Verwerker: aanvullende maatregelen (Annex B) 4 eisen
Verwerken volgens instructies van de verwerkingsverantwoordelijke, Ondersteuning bij betrokkenenrechten en datalekken, Privacy by design/default: teruggave, verwijdering en overdracht, Subverwerkers en doorgifte.
Wat Normy voor je ISO 27701 doet
Eerst de nulmeting op je eigen documenten, daarna het systeem dat je het hele jaar bijhoudt. Je hoeft zelf geen expert te zijn.
Per eis zien waar je staat
Normy toetst je privacybeleid, verwerkingsregister en procedures tegen ISO 27701, voor de verwerkingsverantwoordelijke en voor de verwerker. Per eis krijg je een oordeel met onderbouwing en de bron uit je eigen document.
- Gereedheid voor de certificering in één cijfer
- De grootste hiaten bovenaan, op urgentie
- Vervolgvragen per eis, ook mondeling te beantwoorden
NormyAuditrapportCertificeringsgereedheid
78%Nog 3 eisen vragen aandacht vóór certificering.
Het gereedheidspaneel uit het auditrapport.
Een DPIA voor elke risicovolle verwerking
Bij een verwerking met een hoog risico vraagt de AVG om een DPIA. Normy leidt je in vier stappen door het dossier: voortoets, vragenlijst, risico's en besluit.
- Voortoets: is een DPIA nodig?
- Risico's met maatregelen
- Besluit en onderbouwing in het dossier
NormyDPIADPIA klantportaal
Geleid dossier · AVG art. 35 · versie 2
Risico's
De AI stelt privacyrisico's met maatregelen en restrisico voor. Jij scherpt aan en beslist welke naar het risicoregister gaan.
Onvoldoende toegangsbeperking op portaal
Maatregel: MFA en rolgebaseerde toegang
Gegevens langer bewaard dan nodig
Maatregel: Bewaartermijn en opschoonschema
Zo ziet het eruit in Normy. Klik gerust.
Een datalek loopt door tot de oorzaak weg is
Een datalek leg je vast in het datalekkenregister, met de afweging of je moet melden. De oorzaak pak je aan als afwijking: Normy toetst of de maatregel herhaling voorkomt en vraagt bij de volgende audit om bewijs.
- Datalekkenregister met de afweging over melden
- Oorzaakanalyse en maatregel getoetst door AI
- Pas gesloten als de werking is aangetoond
NormyAfwijkingen- Afwijking
- Klantgegevens naar een verkeerde ontvanger
- Ernst
- Major
- Bron
- Datalekkenregister
- Norm
- AVG, art. 33
Oorzaak
Het automatisch aanvullen in de mail koos een externe naam die op een collega leek, en bijlagen met persoonsgegevens gingen onversleuteld.
Zo ziet het eruit in Normy. Klik gerust.
En verder
- Verwerkingsregister en rechtsgronden
- Controleer of je verwerkingsregister actueel is en of elke verwerking een geldige rechtsgrond en doelbinding heeft.
- Rechten van betrokkenen
- Laat zien dat je inzage-, correctie- en verwijderingsverzoeken binnen de termijn afhandelt en vastlegt.
- Verwerkers en doorgifte
- Beoordeel verwerkersovereenkomsten en de waarborgen bij doorgifte van gegevens buiten de EER.
- Datalekken, gereedheid en rapport
- Toets je datalekproces, zie je gereedheid en deel een helder rapport. Je data blijft in de EU.
Onderdelen voor ISO 27701
Normy toetst niet alleen; deze onderdelen van het managementsysteem helpen je de eisen van ISO 27701 in de praktijk waar te maken.
De keten van continuïteitsmanagement
Van asset tot oefening in 5 stappen
Assets → Bedrijfsimpactanalyse → Scenario's en risico's → Crisisteam en continuïteitsplan → Oefenen en testen
DPIA
Een DPIA als geleid dossier, met AI-voorzet en versiebeheer.
Bekijk DPIA →Verklaring van Toepasselijkheid
Je SoA voortkomend uit je risicobehandeling, altijd consistent.
Bekijk Verklaring van Toepasselijkheid →Incidentenregister informatiebeveiliging
Leg beveiligingsincidenten vast, handel ze gestructureerd af en borg de geleerde lessen, zoals ISO 27001 vraagt.
Bekijk het register →Bewaartermijnenregister
Bepaal per record- en documentsoort hoe lang je die bewaart, op welke grondslag, en wat er daarna mee gebeurt: vernietigen, anonimiseren of archiveren.
Bekijk het register →Bedrijfsimpactanalyse (BIA)
Per proces wat de impact is als het stilvalt, hoe lang uitval maximaal mag duren en binnen welke tijd het weer moet draaien. Normy stelt de regels voor uit je processen en rekent de prioriteit uit.
Bekijk het register →Oefeningen en tests
Tabletop, simulatie, back-up restore-test, uitwijktest, ontruiming en communicatietest. Per oefening het resultaat, de gehaalde hersteltijd tegen het doel en de leerpunten als acties.
Bekijk het register →Informatiebeveiligingsbeleid
Informatiebeveiligingsbeleid opstellen, vaststellen en versioneren.
Bekijk Informatiebeveiligingsbeleid →Toolboxen
Toolboxen en awareness-sessies schrijven met AI, uitsturen per mail of QR en laten aftekenen.
Bekijk Toolboxen →Autorisatiematrix
Breng in kaart wie welke toegang heeft tot je systemen en gegevens, waarom, en wanneer dat opnieuw beoordeeld wordt. Precies wat ISO 27001 vraagt.
Bekijk het register →Assetregister
Applicaties, servers, werkplekken, diensten, locaties en de informatie zelf, met eigenaar, classificatie en back-up. De basis voor je risico's, je Verklaring van Toepasselijkheid en je bedrijfsimpactanalyse.
Bekijk het register →Crisisteam: wie doet wat als het misgaat
Per rol de persoon, de vervanger, het telefoonnummer buiten kantooruren en de alarmeringsvolgorde. Een lid zonder vervanger of nummer krijgt een waarschuwing, en het team staat automatisch in het continuïteitsplan en op de noodkaart.
Bekijk het register →Zo werk je naar ISO 27701 toe
- 1
Documentatie toevoegen
Kies ISO 27701 en upload je privacybeleid, verwerkingsregister, DPIA's en procedures.
- 2
AI beoordeelt en bevraagt
Normy toetst elke PIMS-eis en vraagt door waar bewijs ontbreekt.
- 3
Team betrekken
Stuur openstaande punten uit aan de FG of collega's, getypt of via een gesproken interview.
- 4
Managementsysteem vullen
Je nulmeting vult beleid, processen, risico's en registers alvast. De hiaten werk je in het systeem weg, met de AI als hulp.
- 5
Rapport en gereedheid
Krijg je gereedheidsscore met de belangrijkste hiaten en een deelbaar rapport.
Zie Normy in actie
Twee kanten van hetzelfde verhaal: eerst de nulmeting, dan het vullen van je managementsysteem.
Weet in anderhalve minuut wat een nulmeting je oplevert.
Zo ziet je ISO 27701-rapport eruit
Een helder rapport met je gereedheid en per eis een oordeel met onderbouwing. Hieronder een voorbeeld.
ISO 27701 · Auditrapport
Privacymanagementsysteem
Voorbeeld B.V.
1
Voldoet
1
Observatie
1
Minor
1
Major
Certificeringsgereedheid
56%2 van de 4 eisen vragen nog aandacht.
Belangrijkste hiaten
- 9.2 · Interne auditmajor
- AVG art. 33 · Datalekken: melden en registrerenminor
Verbeterkansen (observaties)
- 8.2 · Transparantie en informatieplichtobservatie
Beoordeling per eis
7.1 · Verwerkingsregister
VoldoetEr is een actueel verwerkingsregister met doel, rechtsgrond, categorieën gegevens, ontvangers en bewaartermijnen.
“Verwerkingsregister 2026, laatst bijgewerkt in maart, met alle verwerkingen en bewaartermijnen.”
AVG art. 33 · Datalekken: melden en registreren
MinorEr is een datalekprocedure, maar het datalekregister wordt niet consequent bijgehouden en de 72-uurstermijn is niet aantoonbaar geborgd.
“Procedure aanwezig; in het register staan dit jaar geen meldingen, terwijl er wel incidenten waren.”
8.2 · Transparantie en informatieplicht
ObservatieEr is een privacyverklaring; een verbeterkans om die vollediger en actueel te houden voor alle verwerkingen.
“Privacyverklaring aanwezig; enkele recente verwerkingen nog niet vermeld.”
9.2 · Interne audit
MajorEr zijn geen interne audits van het privacymanagementsysteem uitgevoerd.
“Geen passage gevonden over uitgevoerde interne audits.”
Veelgestelde vragen over ISO 27701
Klik een vraag open voor het antwoord.
Bepaal je zelf het doel en de middelen van een verwerking, dan ben je verwerkingsverantwoordelijke; doe je het in opdracht van een ander, dan ben je verwerker. ISO 27701 stelt voor beide rollen eigen eisen, en veel organisaties zijn allebei tegelijk voor verschillende verwerkingen. De norm spreekt van PII (personally identifiable information), wat in de AVG persoonsgegevens heet.
ISO 27701 is de internationale norm voor een privacy-informatiemanagementsysteem (PIMS): het beheersen van de verwerking van persoonsgegevens. Sinds de herziening van 2025 is het een zelfstandige managementsysteemnorm (voorheen een uitbreiding op ISO 27001), met de AVG als belangrijke achtergrond.
Sinds de herziening van 2025 is ISO 27701 een zelfstandige norm; ISO 27001 is niet meer verplicht als basis. In de praktijk sluit het nog nauw aan op een ISMS, dus wie al ISO 27001 heeft, is een flink eind op weg. Normy toetst de PIMS-eisen zelfstandig, zodat je ook los je privacymanagement kunt nulmeten.
Ja. Normy toetst of je verwerkingsregister (art. 30 AVG) actueel en volledig is en of je een DPIA-proces hebt voor verwerkingen met een hoog risico, en laat zien waar nog iets ontbreekt.
Ja. Normy heeft een ingebouwd risicoregister en Verklaring van Toepasselijkheid die je naast de ISO 27701-nulmeting kunt gebruiken voor je informatiebeveiliging.
Nee. Normy maakt je intern audit-klaar en levert een helder rapport. De officiële certificering blijft bij je certificerende instelling.
ISO 27701 in jouw branche
ISO 27701 staat zelden alleen. Bekijk per branche welke normen ernaast horen, welke elkaar uitsluiten en wat een gecombineerde audit kost.
Verder lezen
Plan een kennismaking
Liever even samen kijken?
Laat je gegevens achter, dan hoor je dezelfde werkdag van ons. In twintig minuten laten we zien wat Normy doet voor ISO 27701, en bespreken we waar je nu staat. Geen verkooppraatje, en je hoeft niets voor te bereiden.
Reactie
Dezelfde werkdag, met een paar tijdstippen
Liever zelf kijken? Maak alvast een gratis account en probeer 14 dagen alles van Business, zonder kaart.