Bij de verklaring van toepasselijkheid geldt dat de beheersmaatregelen vaak wel worden toegepast. Reden om ze uit te sluiten zijn vooral als je bepaalde activiteiten niet doet. Een veelvoorkomend voorbeeld hiervan is als een bedrijf geen software ontwikkelt of laat ontwikkelen. De volgende beheersmaatregelen worden dan uitgesloten. De toelichting hierop is dan: Onze organisatie ontwikkelt geen software.

De voorbeelden die jij noemt kun je niet uitsluiten. Versleuteling wordt namelijk wel toegepast (bijvoorbeeld de website die is met https:// toegankelijk. Dat is een vorm van versleuteling (encryptie). Hetzelfde geldt voor laptops en telefoons, maar ook applicaties waarin jullie informatie opslaan. Hoewel je er dus zelf niet veel voor hoeft te doen, passen jullie cryptografie wel toe (gebruiken jullie het). Hetzelfde geldt voor logging. Dit zit standaard in software en hardware. In jullie geval gebruiken jullie misschien hier de basis functionaliteiten van en veranderen jullie hier niet direct veel aan, maar logging vindt wel plaats.