ISO 27017: informatiebeveiliging voor clouddiensten

ISO 27017 is de internationale richtlijn voor informatiebeveiliging bij clouddiensten. Hij breidt de maatregelen uit ISO 27002 uit met cloudspecifieke uitleg en extra maatregelen, en maakt per maatregel duidelijk wat de cloudleverancier doet en wat de cloudklant doet. Je laat ISO 27017 meestal toetsen als uitbreiding op je ISO 27001-certificaat.

De actuele versie is ISO/IEC 27017:2026, gepubliceerd in juli 2026 door ISO . Hij vervangt de versie uit 2015 en sluit aan op de indeling van ISO 27002:2022. Volgens ISO geldt hij voor alle vormen van cloud: publiek, privé en hybride.

Kort gezegd: ISO 27001 vraagt of je beveiliging werkt. ISO 27017 vraagt bij elke maatregel: wie is in de cloud verantwoordelijk, de leverancier of de klant? Dat is precies waar bij clouddiensten de meeste misverstanden ontstaan.

ISO 27017 in het kort


Volledige naam	ISO/IEC 27017:2026, Information security controls based on ISO/IEC 27002 for cloud services
Vorige versie	ISO/IEC 27017:2015, ingetrokken bij publicatie van de nieuwe versie
Soort document	Richtlijn, geen zelfstandige eisennorm
Voor wie	Cloudleveranciers (SaaS, PaaS, IaaS) en organisaties die cloud afnemen
Certificeerbaar?	Niet los. In de praktijk als uitbreiding op een ISO 27001-certificaat
Verwant	ISO 27018 voor persoonsgegevens in de publieke cloud

Wat staat er in ISO 27017?

ISO 27017 volgt de structuur van ISO 27002. Bij veel maatregelen staat een extra stuk uitleg in twee kolommen: wat de cloudklant doet en wat de cloudleverancier doet. Daarnaast bevat de norm extra cloudmaatregelen die niet in ISO 27002 staan.

In de versie van 2015 waren dat zeven extra maatregelen, met een nummer dat begint met CLD. Ze gingen onder meer over de verdeling van verantwoordelijkheden, het teruggeven en verwijderen van klantgegevens bij beëindiging, het scheiden van klantomgevingen in een gedeelde omgeving, en het monitoren van clouddiensten door de klant. De versie van 2026 heeft de nummering aangepast aan ISO 27002:2022. Controleer bij overstap in de norm zelf hoe de oude CLD-maatregelen zijn ondergebracht.

Voorbeeld: verantwoordelijkheden verdelen volgens ISO 27017

De kern van ISO 27017 is dat je per onderwerp vastlegt wie wat doet. Zo ziet dat eruit bij een SaaS-leverancier van een boekhoudpakket.

Onderwerp	Cloudklant (het accountantskantoor)	Cloudleverancier (de SaaS-leverancier)
Gebruikersbeheer	Maakt accounts aan en trekt ze in bij vertrek van medewerkers	Biedt MFA en rollen aan, beveiligt de inlogomgeving
Back-up	Bepaalt of eigen exports nodig zijn	Maakt dagelijks back-ups en test herstel
Scheiding van klanten	Geen taak	Zorgt dat klant A nooit gegevens van klant B ziet
Beheerdershandelingen	Mag om logging vragen	Legt vast welke beheerders bij klantdata kunnen en logt hun handelingen
Einde contract	Exporteert gegevens binnen de afgesproken termijn	Levert gegevens terug en verwijdert ze aantoonbaar
Kwetsbaarheden	Houdt eigen apparaten bij	Patcht het platform en meldt relevante kwetsbaarheden

Zet zo’n tabel in je contract of je klantdocumentatie. Een SaaS-leverancier met ISO 27017 laat zien dat deze verdeling niet alleen op papier staat, maar ook is getoetst.

Voor wie is ISO 27017?

ISO 27017 is bedoeld voor twee groepen.

Cloudleveranciers. SaaS-bedrijven, hostingpartijen en platformaanbieders. Voor hen is ISO 27017 een manier om klanten te laten zien dat ze cloudrisico’s serieus nemen. Zie ook ISO 27001 voor SaaS-bedrijven.
Cloudklanten. Organisaties die veel in de cloud werken. Zij gebruiken de klantkant van ISO 27017 om eisen te stellen aan hun leveranciers, aansluitend op maatregel 5.23 over clouddiensten in Annex A.

Hoe combineer je ISO 27017 met ISO 27001?

Je hebt eerst een ISO 27001-ISMS nodig. Daarna neem je de ISO 27017-maatregelen op in je risicoanalyse en je verklaring van toepasselijkheid. De certificerende instelling toetst ze mee tijdens de reguliere audit. Op het certificaat of in een aparte verklaring staat dan dat ISO 27017 is meegenomen.

Een voorbeeld: een hostingbedrijf voegt in zijn verklaring van toepasselijkheid de cloudmaatregelen toe als extra regels, met een verwijzing naar de klantdocumentatie waarin de verantwoordelijkheden staan. De auditor controleert of die documentatie bestaat en of de leverancierskant van elke regel werkt.

Wat betekent de nieuwe versie van 2026?

ISO 27017:2026 is pas sinds de zomer van 2026 beschikbaar. Certificerende instellingen bepalen nog hoe en wanneer ze overstappen van de versie uit 2015. Vraag je certificerende instelling welke overgangstermijn zij hanteert.

Heb je nu een ISO 27017-verklaring op basis van 2015, vraag dan je certificerende instelling naar hun planning. Gebruik de overstap om je verdeling van verantwoordelijkheden opnieuw te bekijken, want de koppeling met ISO 27002:2022 verandert de nummers in je verklaring van toepasselijkheid.

Wat de auditor wil zien bij ISO 27017

Een vastgelegde verdeling van verantwoordelijkheden tussen jou en je klanten, en tussen jou en je eigen cloudleveranciers.
Klantinformatie over waar gegevens staan, hoe back-ups werken en wat er gebeurt bij einde contract.
Scheiding van klantomgevingen, met bewijs uit tests of configuratie.
Logging van beheerdershandelingen op klantomgevingen.
Een werkend proces voor teruggeven en verwijderen van gegevens.

Veelgemaakte fouten bij ISO 27017

Denken dat de onderliggende cloudpartij alles regelt. Draai je op een groot cloudplatform, dan blijft de configuratie jouw verantwoordelijkheid.
De klantkant vergeten. ISO 27017 vraagt ook dat je klanten weten wat zij moeten doen.
ISO 27017 zonder ISO 27001 aankondigen. Zonder ISMS is er geen certificaat waar het aan kan hangen.
Oude CLD-nummers laten staan na de overstap. Werk je documenten bij naar de versie van 2026.

Veelgestelde vragen over ISO 27017

Is ISO 27017 verplicht voor cloudleveranciers?

Nee. Geen wet schrijft ISO 27017 voor. Grote klanten en aanbestedingen vragen er soms wel om, vooral bij hosting en platformdiensten. Voor de meeste SaaS-bedrijven is ISO 27001 de eerste stap en ISO 27017 een aanvulling als klanten erom vragen.

Wat is het verschil tussen ISO 27017 en maatregel 5.23 uit ISO 27001?

Maatregel 5.23 in Annex A vraagt dat je regelt hoe je clouddiensten inkoopt, gebruikt, beheert en beëindigt. Dat is de klantkant, in één maatregel. ISO 27017 gaat veel verder: hij geeft voor een groot deel van de maatregelen uitleg voor zowel klant als leverancier, plus extra cloudmaatregelen.

Heb ik ISO 27017 nodig als ik op een groot cloudplatform draai?

De grote platformen hebben zelf vaak ISO 27017 voor hun eigen dienst. Dat dekt hun deel. Jouw applicatie, configuratie en klantgegevens vallen eronder als jij er verantwoordelijk voor bent. Daarvoor kun je zelf ISO 27017 meenemen in je ISO 27001-scope.

Hoeveel kost ISO 27017 bovenop ISO 27001?

De meerkosten zitten vooral in extra auditdagen en in je eigen voorbereiding. Hoeveel precies, hangt af van je scope en je certificerende instelling. Vraag het mee in je offerte voor ISO 27001. Een overzicht van de basiskosten staat op ISO 27001 kosten en tijdlijn.

Meer informatie

Wat is ISO 27002?: de basis waarop ISO 27017 voortbouwt
ISO 27018: persoonsgegevens in de publieke cloud
Leveranciersbeheer: eisen aan je eigen cloudleveranciers
SOC 2 voor cloud providers: het Amerikaanse alternatief