SoA (Statement of Applicability) ISO 27001: Die SoA (Statement of Applicability, deutsch Erklärung zur Anwendbarkeit) ist das nach ISO 27001:2022 Kapitel 6.1.3c verpflichtende Dokument, das für jeden der 93 Controls aus Anhang A festhält, ob er angewendet wird, mit welcher Begründung und in welchem Umsetzungsstatus.
Die SoA ist kein bloßes Formular, sondern das zentrale Bindeglied zwischen Risikobewertung und tatsächlich umgesetzten Maßnahmen: Aus der Risikoanalyse ergibt sich, welche Controls fachlich sinnvoll sind, die SoA dokumentiert diese Entscheidung nachvollziehbar für jeden einzelnen Punkt aus Anhang A. Seit der Revision 2022 sind die Controls in vier Themenbereiche gegliedert:
| Themenbereich | Beispiel-Control |
|---|---|
| Organisatorisch (5.x) | Richtlinien, Lieferantenbeziehungen |
| Personenbezogen (6.x) | Sicherheitsüberprüfung, Schulung |
| Physisch (7.x) | Zutrittskontrolle, Gerätesicherheit |
| Technologisch (8.x) | Zugriffskontrolle, sichere Authentifizierung |
Für jeden Control muss die SoA mindestens drei Angaben enthalten: ob er angewendet wird (Ja/Nein), die Begründung für diese Entscheidung – etwa Ergebnis der Risikobewertung, gesetzliche Pflicht oder Vertragsanforderung – sowie den aktuellen Umsetzungsstatus. Ein häufiger Fehler ist, Controls pauschal als „nicht anwendbar“ zu markieren, ohne dies fachlich zu begründen; Auditoren hinterfragen solche Ausschlüsse gezielt.
Die SoA ist kein einmalig erstelltes Dokument, sondern wird bei jeder Änderung der Risikolage, neuen gesetzlichen Anforderungen oder nach internen Audits aktualisiert. Sie dient zugleich als Inhaltsverzeichnis des gesamten ISMS: Wer wissen will, welche Maßnahmen ein Unternehmen zu einem bestimmten Thema umgesetzt hat, findet in der SoA den schnellsten Überblick, bevor Detaildokumente einzeln geprüft werden müssen. Praktisch bewährt hat sich eine tabellarische Form mit je einer Zeile pro Control, ergänzt um eine Spalte mit Verweis auf das jeweils zuständige Detaildokument, etwa eine Richtlinie oder Verfahrensanweisung.
Relevanz für die Zertifizierung
Die SoA ist eines der ersten Dokumente, das ein Auditor im Zertifizierungsaudit nach ISO 27001 anfordert, da sie den gesamten Anwendungsbereich des Maßnahmenkatalogs auf einen Blick zeigt. Fehlt eine nachvollziehbare Begründung für ausgeschlossene Controls oder stimmt die SoA nicht mit der tatsächlichen Risikobewertung überein, gilt das als schwerwiegende Abweichung, da sie die Grundlage des gesamten ISMS betrifft. Auditoren gleichen die SoA zudem stichprobenartig mit tatsächlich vorgefundenen technischen und organisatorischen Maßnahmen ab.
Häufige Fragen zu SoA (Statement of Applicability) ISO 27001
Mindestens drei Angaben: ob der Control angewendet wird, eine nachvollziehbare Begründung dieser Entscheidung – etwa aus der Risikobewertung, gesetzlichen Pflichten oder Vertragsanforderungen – sowie der aktuelle Umsetzungsstatus. Eine SoA ohne Begründung für ausgeschlossene Controls gilt im Audit als unvollständig.
Nein. Die SoA erlaubt ausdrücklich, Controls als nicht anwendbar zu markieren, sofern dies fachlich begründet ist, etwa weil das zugehörige Risiko im Unternehmen nicht besteht. Ein pauschaler Ausschluss ohne nachvollziehbare Begründung wird von Auditoren jedoch regelmäßig beanstandet.
Immer dann, wenn sich die Risikolage, gesetzliche Anforderungen oder umgesetzte Maßnahmen ändern, mindestens aber im Rahmen der jährlichen Managementbewertung. Eine seit der Ersterstellung unveränderte SoA gilt als Hinweis auf ein nicht aktiv gepflegtes ISMS und wird im Überwachungsaudit kritisch geprüft.