ISO 27018: persoonsgegevens in de cloud
ISO 27018 is de internationale richtlijn voor publieke cloudleveranciers die persoonsgegevens verwerken in opdracht van hun klanten. In AVG-termen: de cloudleverancier is verwerker, de klant is verwerkingsverantwoordelijke. ISO 27018 vult de beveiligingsmaatregelen uit ISO 27002 aan met privacyafspraken, zoals geen gebruik van klantgegevens voor eigen doeleinden en melden van datalekken aan de klant.
De actuele versie is ISO/IEC 27018:2025, de derde editie, gepubliceerd in augustus 2025 door ISO . Hij vervangt de versie uit 2019 en is afgestemd op ISO 27002:2022. Net als ISO 27017 laat je ISO 27018 meestal toetsen als uitbreiding op je ISO 27001-certificaat.
Kort gezegd: ISO 27017 gaat over beveiliging in de cloud in het algemeen. ISO 27018 gaat specifiek over persoonsgegevens die een cloudleverancier voor zijn klanten bewaart en verwerkt. Veel leveranciers laten beide meetoetsen.
ISO 27018 in het kort
| Volledige naam | ISO/IEC 27018:2025, code of practice voor de bescherming van persoonsgegevens in de publieke cloud, als verwerker |
| Vorige versie | ISO/IEC 27018:2019 |
| Voor wie | Publieke cloudleveranciers die persoonsgegevens verwerken in opdracht van klanten |
| Soort document | Richtlijn, geen zelfstandige eisennorm |
| Certificeerbaar? | Niet los. In de praktijk als uitbreiding op ISO 27001 |
| Verwant | ISO 27701 voor een volledig privacymanagementsysteem |
Wat staat er in ISO 27018?
ISO 27018 heeft twee lagen. De eerste laag volgt ISO 27002 en geeft bij een deel van de maatregelen extra uitleg voor persoonsgegevens in de cloud. De tweede laag is een bijlage met een uitgebreide set maatregelen voor de cloudleverancier als verwerker. Die maatregelen zijn gebaseerd op de privacyprincipes uit ISO 29100.
In de praktijk komen ze neer op afspraken die je als verwerker met je klant maakt en nakomt:
| Onderwerp | Wat je als cloudleverancier doet |
|---|---|
| Instructies van de klant | Persoonsgegevens alleen verwerken voor het doel dat de klant bepaalt |
| Geen eigen gebruik | Klantgegevens niet gebruiken voor marketing of reclame zonder toestemming |
| Rechten van betrokkenen | De klant helpen bij inzage, correctie en verwijdering |
| Subverwerkers | Bekendmaken welke subverwerkers je inzet en waar |
| Datalekken | De klant zo snel mogelijk informeren bij een inbreuk |
| Verzoeken van overheden | De klant informeren over verzoeken om gegevens, tenzij dat wettelijk verboden is |
| Teruggeven en verwijderen | Gegevens teruggeven en wissen bij einde contract, ook tijdelijke bestanden |
| Locatie | Vastleggen in welke landen gegevens kunnen worden opgeslagen |
Voorbeeld: ISO 27018 vertaald naar een verwerkersovereenkomst
Een SaaS-leverancier van HR-software verwerkt de personeelsgegevens van 400 werkgevers. Voor ISO 27018 neemt hij in zijn standaard verwerkersovereenkomst bijvoorbeeld deze afspraken op:
| Afspraak in de overeenkomst | ISO 27018-onderwerp | Bewijs voor de auditor |
|---|---|---|
| ”Wij verwerken uw gegevens alleen voor het leveren van de HR-dienst.” | Instructies van de klant, geen eigen gebruik | Contracttekst, intern beleid, geen koppeling met marketingtools |
| ”Een actuele lijst van subverwerkers staat op onze website.” | Subverwerkers | Gepubliceerde lijst, procedure voor wijzigingen |
| ”Wij melden een datalek binnen 24 uur na ontdekking.” | Datalekken | Incidentprocedure, melding uit een test of echt incident |
| ”Na einde contract verwijderen wij uw gegevens binnen 30 dagen.” | Teruggeven en verwijderen | Verwijderprocedure, logboek van verwijderingen |
De termijnen in dit voorbeeld zijn keuzes van de leverancier. ISO 27018 schrijft geen vaste termijn voor. Wat de AVG van je meldplicht vraagt, staat op datalek melden.
Hoe verhoudt ISO 27018 zich tot de AVG?
ISO 27018 is geen AVG-certificaat. De AVG legt in artikel 28 eisen op aan verwerkers, en ISO 27018 helpt je om die eisen concreet te maken en aantoonbaar te maken. Een auditor die je ISO 27018 toetst, oordeelt niet of je volledig aan de AVG voldoet.
Voor Nederlandse klanten is dat onderscheid belangrijk. Een ISO 27018-verklaring is een sterk argument in een inkoopgesprek, maar je verwerkersovereenkomst en je eigen AVG-documentatie blijven nodig. Meer over de koppeling tussen beveiliging en privacy lees je op AVG en ISO 27001.
ISO 27018 of ISO 27701?
Beide gaan over persoonsgegevens, maar ze verschillen in omvang.
| ISO 27018 | ISO 27701 | |
|---|---|---|
| Wat is het? | Richtlijn met extra maatregelen | Managementsysteem voor privacy (PIMS) |
| Voor wie | Publieke cloudleveranciers als verwerker | Elke organisatie, als verwerker of verwerkingsverantwoordelijke |
| Certificaat | Als uitbreiding op ISO 27001 | Zelfstandig certificeerbaar sinds de versie van 2025 |
| Wanneer kiezen | Je bent cloudleverancier en klanten vragen naar privacy in de cloud | Je wilt je hele privacyaanpak laten certificeren |
Wil je verder dan de cloud, kijk dan naar wat ISO 27701 is.
Wat de auditor wil zien bij ISO 27018
- Contracten en verwerkersovereenkomsten waarin de ISO 27018-afspraken terugkomen.
- Een actuele lijst van subverwerkers en de procedure om klanten over wijzigingen te informeren.
- Een incidentprocedure met een stap om klanten te informeren.
- Bewijs van verwijderen bij einde contract, inclusief back-ups en tijdelijke bestanden.
- Een register van verzoeken van overheden en hoe je daarmee bent omgegaan.
Veelgemaakte fouten bij ISO 27018
- ISO 27018 aankondigen als je geen publieke cloudleverancier bent. De norm is geschreven voor verwerkers in de publieke cloud.
- Afspraken in de norm zetten, maar niet in het contract. De klant moet ze terugvinden in zijn overeenkomst.
- Back-ups vergeten bij verwijderen. Leg vast hoe lang gegevens in back-ups blijven staan.
- Een oude verklaring op basis van 2019 blijven tonen zonder te weten wanneer je certificerende instelling overstapt naar 2025.
Veelgestelde vragen over ISO 27018
Wat is er veranderd in ISO 27018:2025?
De belangrijkste wijziging is de aansluiting op ISO 27002:2022. De maatregelnummers en de indeling in vier thema’s volgen nu de nieuwe ISO 27002. Werk je nog met de versie uit 2019, dan verandert vooral de nummering in je verklaring van toepasselijkheid. Lees de normtekst zelf voor de precieze verschillen per maatregel.
Geldt ISO 27018 ook voor een private cloud?
De norm is geschreven voor publieke cloudleveranciers. Veel van de afspraken, zoals geen eigen gebruik van klantgegevens en een lijst met subverwerkers, zijn ook bij andere vormen van hosting zinvol. Een certificerende instelling toetst ISO 27018 wel tegen de publieke-cloudcontext waarvoor hij bedoeld is.
Is ISO 27018 genoeg om aan de AVG te voldoen?
Nee. ISO 27018 helpt je om je verplichtingen als verwerker aantoonbaar te maken, maar dekt niet alles. Een DPIA of een verwerkingsregister valt bijvoorbeeld bij je klant of bij je eigen organisatie, en staat niet in ISO 27018.
Is ISO 27018 verplicht voor cloudleveranciers?
Nee, het is vrijwillig. Het wordt een eis als een klant het in zijn inkoopvoorwaarden of aanbesteding opneemt. Kijk daarom wat je belangrijkste klanten vragen voordat je eraan begint.
Meer informatie
- ISO 27017: beveiliging in de cloud in het algemeen
- Wat is ISO 27002?: de basis voor ISO 27018
- Verwerkers en verwerkingsverantwoordelijken: wie is wat
- ISO 27001 voor SaaS-bedrijven: waarom klanten om certificaten vragen