ISO/IEC 27017 is de internationale norm voor informatiebeveiliging bij cloudservices. De norm breidt ISO 27002 uit met cloudspecifieke controls en verdeelt expliciet de verantwoordelijkheden tussen de cloudleverancier (CSP) en de cloudafnemer (CSC).
Belangrijk om te weten: de versie die de meeste Nederlandse pagina’s nog beschrijven bestaat niet meer. ISO/IEC 27017:2015 is op 27 juli 2026 ingetrokken en vervangen door de tweede editie, ISO/IEC 27017:2026. Die nieuwe editie is fundamenteel anders gestructureerd: geen zeven losse cloudcontrols meer, maar vier, ondergebracht in de nummering van ISO 27002:2022.
Voor MSPs die clouddiensten leveren of beheren namens klanten, verandert dit de manier waarop je je verklaring van toepasselijkheid en je leveranciersafspraken inricht.
Wat is ISO 27017?
ISO/IEC 27017 geeft richtlijnen voor informatiebeveiligingsmaatregelen die specifiek gelden bij het leveren en afnemen van clouddiensten. De norm doet twee dingen:
- Aanvullende toelichting bij bestaande ISO 27002-controls, toegespitst op de cloudcontext
- Aanvullende cloudspecifieke controls die in ISO 27002 zelf niet voorkomen
De norm richt zich nadrukkelijk op twee rollen:
- Cloud Service Provider (CSP) — de partij die de dienst levert
- Cloud Service Customer (CSC) — de partij die de dienst afneemt
Voor MSPs is dat onderscheid zelden zwart-wit. Je bent doorgaans beide tegelijk: afnemer van hyperscalers en SaaS-leveranciers, en leverancier richting je eigen klanten. Die dubbele positie is precies waar de norm bruikbaar wordt.
ISO 27017 geldt voor alle cloudmodellen: publiek, privé, hybride en multi-cloud.
Wat is er veranderd in de 2026 editie?
De tweede editie is de eerste grote herziening sinds 2015. Vier wijzigingen zijn relevant voor de praktijk.
1. Nieuwe structuur: aansluiting op ISO 27002:2022
De 2015 editie was gebouwd op de oude ISO 27002-structuur. De 2026 editie volgt de indeling van ISO 27002:2022 in vier thema’s: organisatorisch, mensen, fysiek en technologisch.
Voor organisaties die al een ISMS op basis van ISO 27001:2022 hebben, is dat een aanzienlijke vereenvoudiging. De cloudcontrols zitten nu in dezelfde nummering als de rest van je Annex A-structuur, in plaats van in een apart CLD-blok dat je handmatig moest mappen.
2. Van zeven naar vier cloudspecifieke controls
De 2015 editie kende zeven aanvullende cloudcontrols. In de 2026 editie zijn er vier overgebleven als zelfstandige cloudcontrols:
| Control | Onderwerp |
|---|---|
| 5.38 | Gedeelde rollen en verantwoordelijkheden |
| 5.39 | Rollen en verantwoordelijkheden van cloudservicepartners |
| 8.35 | Scheiding in virtuele computeromgevingen |
| 8.36 | Detectie en preventie van ongeautoriseerd cloudgebruik |
De overige onderwerpen uit de 2015 editie zijn niet verdwenen. Ze zijn samengevoegd met of opgenomen in de bestaande ISO 27002:2022-controls, met cloudspecifieke toelichting.
Control 8.36 is de meest opvallende toevoeging: detectie en preventie van ongeautoriseerd cloudgebruik. Dat is in essentie shadow IT, en voor MSPs met klantomgevingen waar medewerkers zelf SaaS-diensten aanschaffen een herkenbaar probleem dat nu expliciet in de norm staat.
3. Duidelijker onderscheid tussen CSP en CSC
De herziene norm geeft door het hele document heen aparte richtlijnen voor de leverancier en de afnemer. In de 2015 editie moest je vaak zelf bepalen welke kant van de afspraak je was. Nu staat het er expliciet.
Voor MSPs betekent dit dat je de norm kunt gebruiken als checklist voor twee gesprekken tegelijk: wat je van je eigen leveranciers mag verwachten, en wat je klanten van jou mogen verwachten.
4. Gewijzigde titel en scope
De titel is aangepast naar “Information security, cybersecurity and privacy protection — Information security controls based on ISO/IEC 27002 for cloud services”. De norm wordt door ISO aangeduid als horizontaal document: een gemeenschappelijke basis voor het begrijpen van beveiliging bij clouddiensten, niet een geïsoleerde checklist.
De identieke tekst verschijnt ook als ITU-T Recommendation X.1631.
Kun je certificeren voor ISO 27017?
Niet zelfstandig. ISO 27017 is een richtlijnennorm, geen certificeerbare managementsysteemnorm zoals ISO 27001.
In de praktijk werkt het zo: je laat je certificeren voor ISO 27001 en neemt de ISO 27017-controls op in je verklaring van toepasselijkheid. De certificerende instelling toetst die controls mee tijdens de audit. Wat je vervolgens kunt aantonen is ISO 27001-certificering met ISO 27017-scope, niet een los ISO 27017-certificaat.
Certificerende instellingen die dit in Nederland aanbieden zijn onder andere Kiwa, TÜV en Dekra. Vraag bij offertes expliciet of ze de 2026 editie al toetsen of nog op de 2015 editie werken.
Hoe je de verklaring van toepasselijkheid correct opstelt lees je in ons artikel over de verklaring van toepasselijkheid.
ISO 27017 en ISO 27018: wat is het verschil?
Deze twee normen worden vrijwel altijd in één adem genoemd, maar ze dekken verschillende dingen.
| ISO 27017 | ISO 27018 | |
|---|---|---|
| Onderwerp | Informatiebeveiliging in de cloud | Bescherming van persoonsgegevens in de cloud |
| Focus | Alle informatie, alle cloudrisico’s | Specifiek PII bij publieke cloudverwerking |
| Rol | CSP en CSC | Vooral CSP als verwerker |
| Koppeling | ISO 27002 | ISO 27002 en privacywetgeving |
| Certificeerbaar | Nee, via ISO 27001 | Nee, via ISO 27001 |
Praktisch: ISO 27017 regelt wie waarvoor verantwoordelijk is en hoe je de cloudomgeving technisch beveiligt. ISO 27018 regelt wat je met persoonsgegevens in die omgeving mag doen. Wie persoonsgegevens in de cloud verwerkt namens klanten, heeft beide nodig. De privacylaag kun je verder invullen met ISO 27701, dat de AVG-koppeling expliciet maakt.
Wat betekent de 2026 editie voor MSPs?
Vier concrete gevolgen.
Je verklaring van toepasselijkheid klopt niet meer. Als je SoA verwijst naar de CLD-controls uit de 2015 editie, verwijst hij naar een ingetrokken norm. Hermappen naar de nieuwe nummering is een administratieve klus, maar een auditor zal ernaar vragen.
Je leveranciersvragenlijsten zijn verouderd. Vraag je onderaannemers en clouddiensten nog uit op de zeven oude controls, dan meet je iets wat niet meer bestaat. Actualiseer de vragenlijst naar de nieuwe structuur.
Contractuele verwijzingen moeten mee. Verwerkersovereenkomsten en SLA’s die “conform ISO/IEC 27017:2015” als eis stellen, verwijzen na 27 juli 2026 naar een ingetrokken document. Bij verlenging is dit het moment om de verwijzing te actualiseren of te verbreden naar “de op dat moment geldende editie”.
Control 8.36 vraagt om detectiecapaciteit. Ongeautoriseerd cloudgebruik detecteren betekent in de praktijk logging en monitoring op uitgaand verkeer en SaaS-aanmeldingen. Dat raakt direct aan de monitoringverplichting uit artikel 21 van de Cyberbeveiligingswet, dus die investering telt dubbel.
De overgang naar ISO 27017:2026 in vier stappen
Stap 1: bepaal of je in scope zit. Lever of beheer je clouddiensten voor klanten? Verwerk je klantdata in cloudomgevingen die jij hebt gekozen? Dan raakt de norm je, ook als je er nu niet formeel aan toetst.
Stap 2: map je bestaande controls. Leg je huidige SoA naast de nieuwe structuur. Controls die je onder het oude CLD-blok had staan, komen terug in de ISO 27002:2022-nummering. Dit is hermappen, niet opnieuw implementeren.
Stap 3: beoordeel de vier cloudcontrols apart. 5.38 en 5.39 zijn documentatie en afspraken: wie is waarvoor verantwoordelijk, vastgelegd per dienst en per leverancier. 8.35 en 8.36 zijn technisch: tenantscheiding en detectie van ongeautoriseerd cloudgebruik.
Stap 4: actualiseer je bewijsvoering. Voor elke control die je van toepassing verklaart, moet je het bewijs kunnen tonen. Zie onze ISO 27001 checklist voor hoe auditors dat toetsen, en het artikel over de ISO 27001 audit voor wat er tijdens fase 2 langskomt.
Veelgestelde vragen over ISO 27017
Wat is ISO 27017? ISO/IEC 27017 is de internationale norm met informatiebeveiligingsmaatregelen voor clouddiensten. De norm bouwt voort op ISO 27002 en voegt cloudspecifieke controls en toelichting toe, met expliciete richtlijnen voor zowel cloudleveranciers als cloudafnemers.
Is ISO 27017:2015 nog geldig? Nee. ISO heeft de 2015 editie op 27 juli 2026 ingetrokken. De geldende versie is ISO/IEC 27017:2026, de tweede editie. Organisaties die nog op de 2015 editie werken, moeten hermappen naar de nieuwe structuur.
Wat is het verschil tussen ISO 27017:2015 en ISO 27017:2026? De 2026 editie volgt de structuur van ISO 27002:2022 in plaats van de oude indeling, heeft vier zelfstandige cloudcontrols in plaats van zeven, geeft door het hele document aparte richtlijnen voor leverancier en afnemer, en heeft een gewijzigde titel en scope.
Welke cloudcontrols staan in ISO 27017:2026? Vier: 5.38 (gedeelde rollen en verantwoordelijkheden), 5.39 (rollen en verantwoordelijkheden van cloudservicepartners), 8.35 (scheiding in virtuele computeromgevingen) en 8.36 (detectie en preventie van ongeautoriseerd cloudgebruik). De overige onderwerpen uit de 2015 editie zijn opgenomen in de bestaande ISO 27002:2022-controls.
Kun je een ISO 27017-certificaat krijgen? Niet zelfstandig. ISO 27017 is een richtlijnennorm zonder eigen certificeringsschema. Je neemt de controls op in de verklaring van toepasselijkheid van je ISO 27001-ISMS; de certificerende instelling toetst ze mee tijdens de ISO 27001-audit.
Wat is het verschil tussen ISO 27017 en ISO 27018? ISO 27017 gaat over informatiebeveiliging in de cloud in brede zin. ISO 27018 gaat specifiek over de bescherming van persoonsgegevens bij verwerking in de publieke cloud. Ze overlappen deels maar vervangen elkaar niet; organisaties die persoonsgegevens in de cloud verwerken hebben beide nodig.
Hoe lang heb ik om over te stappen naar de 2026 editie? ISO en certificerende instellingen hanteren bij dit type herziening doorgaans een overgangsperiode. Omdat ISO 27017 geen zelfstandig certificaat kent, loopt de overgang in de praktijk mee met je ISO 27001-certificeringscyclus. Stem de planning af met je certificerende instelling.
Geldt ISO 27017 ook voor cloudafnemers, of alleen voor leveranciers? Voor beide. De norm geeft expliciet aparte richtlijnen voor Cloud Service Providers en Cloud Service Customers. MSPs zijn doorgaans beide tegelijk: afnemer richting hyperscalers en SaaS-leveranciers, leverancier richting eigen klanten.
Volgende stap
Wil je weten welke cloudcontrols op jouw dienstverlening van toepassing zijn en waar je nu staat? Begin met een gap analyse op je bestaande verklaring van toepasselijkheid, of doe de gratis zelfevaluatie om je GRC-volwassenheid per domein in kaart te brengen.