Erklärung zur Anwendbarkeit (SoA) nach ISO 27001: was sie ist und wie man sie erstellt

Die Erklärung zur Anwendbarkeit (englisch Statement of Applicability, SoA) ist das Pflichtdokument der ISO/IEC 27001:2022, das die 93 Maßnahmen aus Anhang A auflistet und für jede angibt, ob sie notwendig ist, warum sie aufgenommen oder ausgeschlossen wird und ob sie umgesetzt ist. Kapitel 6.1.3 d) verlangt sie; sie verbindet das Ergebnis der Risikobeurteilung mit den Maßnahmen, die die Organisation tatsächlich anwendet.

Was verlangt die Norm von der Erklärung zur Anwendbarkeit?

Nach Kapitel 6.1.3 d) muss die Organisation eine Erklärung zur Anwendbarkeit erstellen, die enthält:

Die notwendigen Maßnahmen, die sich aus der Risikobehandlung ergeben.
Die Begründung für ihre Aufnahme.
Ob diese Maßnahmen umgesetzt sind oder nicht.
Die Begründung für den Ausschluss von Maßnahmen aus Anhang A.

Notwendige Maßnahmen können aus Anhang A oder aus anderen Quellen stammen, etwa aus Kunden- oder gesetzlichen Anforderungen. Anhang A dient als Abgleich, damit keine notwendige Maßnahme übersehen wird.

Empfohlene Spalten der SoA

Spalte	Inhalt
Maßnahme	Nummer und Name der Maßnahme aus Anhang A (5.1 bis 8.34)
Thema	Organisatorisch, personenbezogen, physisch oder technologisch
Anwendbar?	Ja / Nein
Begründung	Behandeltes Risiko, gesetzliche, vertragliche oder geschäftliche Anforderung – oder Grund für den Ausschluss
Umsetzungsstand	Umgesetzt, teilweise, geplant oder nicht umgesetzt
Referenz	Richtlinie, Verfahren oder Nachweis, der die Maßnahme belegt
Verantwortlich	Wer die Maßnahme pflegt
Verknüpfte Risiken	Kennungen aus der Risikomatrix, die die Maßnahme behandelt

Die 93 Maßnahmen aus Anhang A in 4 Themen

Thema	Bereich	Maßnahmen
Organisatorisch	5.1 – 5.37	37
Personenbezogen	6.1 – 6.8	8
Physisch	7.1 – 7.14	14
Technologisch	8.1 – 8.34	34

Wie begründet man einen Ausschluss?

Ein Ausschluss ist zulässig, wenn die Maßnahme weder zur Behandlung eines ermittelten Risikos noch zur Erfüllung gesetzlicher oder vertraglicher Anforderungen nötig ist. Ein Unternehmen ohne eigene Softwareentwicklung kann zum Beispiel die Maßnahmen zur sicheren Entwicklung ausschließen, wenn es erklärt, dass es keine Software entwickelt und seine Dienstleister über die Maßnahmen zu Lieferantenbeziehungen abgedeckt sind. Die Begründung muss konkret sein: nur „nicht anwendbar“ zu schreiben, ist eine häufige Nichtkonformität.

Schritte zur Erstellung der SoA

Risikobeurteilung abschließen und für jedes Risiko die Behandlung festlegen.
Die für diese Behandlung notwendigen Maßnahmen bestimmen.
Mit den 93 Maßnahmen aus Anhang A abgleichen und die anwendbaren markieren.
Für jede Maßnahme die Begründung für Aufnahme oder Ausschluss schreiben.
Umsetzungsstand und Nachweis je Maßnahme erfassen.
Risikobehandlungsplan von den Risikoeigentümern freigeben und Restrisiken akzeptieren lassen.
Die SoA bei jeder Änderung von Risiken, Anwendungsbereich oder Maßnahmen überprüfen.

Häufige Fehler

Alle Maßnahmen als anwendbar markieren, ohne Bezug zu Risiken.
Maßnahmen ohne konkrete Begründung ausschließen.
Maßnahmen als umgesetzt erklären, ohne Nachweise zu haben.
In einer SoA nach Version 2022 noch die 114 Maßnahmen der Version 2013 verwenden.
Die SoA nach Änderungen am Anwendungsbereich oder an der Risikobeurteilung nicht aktualisieren.

Vorlage für die Erklärung zur Anwendbarkeit

Das NexoDocs-Kit auf Deutsch enthält eine SoA in Excel mit den 93 Maßnahmen der ISO/IEC 27001:2022, Auswahllisten für Anwendbarkeit und Umsetzungsstand, Spalten für Begründung, Nachweis und Verantwortliche und einer automatischen Zusammenfassung nach Thema, dazu ein ausgefülltes Beispiel für ein fiktives Unternehmen. Die verkleinerte Risikomatrix (auf Englisch) können Sie kostenlos herunterladen, um das Format zu testen.

Kostenlose Probe herunterladen (Englisch) Zum vollständigen Kit

Häufige Fragen

Ist die Erklärung zur Anwendbarkeit Pflicht?

Ja. ISO/IEC 27001:2022 verlangt sie in Kapitel 6.1.3 d), und sie gehört zu den ersten Dokumenten, die der Auditor bei der Zertifizierung prüft.

Wie viele Maßnahmen muss die SoA enthalten?

Sie muss alle 93 Maßnahmen aus Anhang A der Version 2022 behandeln und für jede angeben, ob sie anwendbar ist und warum. Zusätzliche Maßnahmen aus anderen Quellen sind möglich.

Dürfen Maßnahmen aus Anhang A ausgeschlossen werden?

Ja, wenn sie weder zur Risikobehandlung noch für gesetzliche oder vertragliche Anforderungen nötig sind. Jeder Ausschluss braucht eine konkrete Begründung.

Wer gibt die Erklärung zur Anwendbarkeit frei?

In der Regel die oberste Leitung oder der ISMS-Verantwortliche. Die Norm verlangt außerdem, dass die Risikoeigentümer den Risikobehandlungsplan freigeben und die Restrisiken akzeptieren.