Statement of Applicability

Q: Welche Rolle spielt das SoA im Zertifizierungsprozess?

Im Zertifizierungsprozess dient das SoA als zentraler Prüfpfad für den Auditor. Es zeigt, ob Risikoanalyse, Risikobehandlung, Controls und Nachweise logisch zusammenpassen. Ohne belastbares Statement of Applicability fehlt ein wichtiges Dokument für die ISO-27001-Zertifizierung.

Q: Wie hilft eine Gap-Analyse beim Statement of Applicability?

Eine Gap-Analyse zeigt, welche Anforderungen aus Annex A bereits erfüllt sind und wo noch Nachweise, Prozesse oder Maßnahmen fehlen. Für das SoA hilft sie besonders bei der Einschätzung des Umsetzungsstatus. So wird schneller sichtbar, welche Controls schon belastbar umgesetzt sind und welche noch nachgezogen werden müssen.

Das Statement of Applicability macht sichtbar, welche Maßnahmen im ISMS gelten, welche ausgeschlossen wurden und welche Nachweise dahinterstehen. Für die Informationssicherheit nach ISO 27001 ist das SoA eines der wichtigsten Nachweisdokumente.

Statement of Applicability – Auf einen Blick

Wofür wird das Statement of Applicability genutzt?

Das Statement of Applicability dokumentiert die Anwendbarkeit der Controls im ISMS und zeigt, welche Maßnahmen aus Annex A gelten, ausgeschlossen wurden oder noch umgesetzt werden müssen.

Warum ist das SoA für die ISO 27001 wichtig?

Das SoA ist ein zentraler Bestandteil der Risikobehandlung nach ISO/IEC 27001 und verbindet Risikoanalyse, Annex-A-Controls, Umsetzungsstatus und Nachweise in einem prüfbaren Dokument.

Welche Inhalte gehören in ein Statement of Applicability?

Es enthält für jede Sicherheitsmaßnahme die Referenz, die Entscheidung zur Anwendbarkeit, eine Begründung, den Umsetzungsstatus und passende Nachweise.

Wann wird das SoA im Audit geprüft?

Bereits im Stage-1-Audit bildet das SoA die Basis der Dokumentenprüfung und dient dem Auditor später im ISO-27001-Audit als konkreter Prüfpfad für Risiken, Maßnahmen und Nachweise.

Was ist ein Statement of Applicability nach ISO/IEC 27001?

Das Statement of Applicability (SoA) zeigt, welche Sicherheitsmaßnahmen im Information Security Management System (ISMS) gelten, warum sie ausgewählt wurden und wie weit sie umgesetzt sind. Es ist damit die zentrale Verbindung zwischen Risikoanalyse, Risikobehandlung, Annex A und Audit.

Abschnitt 6.1.3 der ISO/IEC 27001 macht das SoA zu einem festen Bestandteil der dokumentierten Risikobehandlung. Ein Unternehmen bewertet zuerst seine Risiken und entscheidet danach, welche Controls aus Annex A passend sind. Das SoA hält diese Entscheidungen nachvollziehbar fest.

Welche Inhalte gehören in ein Statement of Applicability?

Ein SoA muss für jedes relevante Control zeigen, ob es anwendbar ist, wie der Status aussieht und warum diese Entscheidung getroffen wurde. Ein belastbares Statement of Applicability enthält:

Control-Referenz: etwa ein Control aus Annex A

Anwendbarkeit: Gilt das Control für den ISMS-Scope oder wurde es ausgeschlossen?

Begründung: Warum wurde das Control aufgenommen oder ausgeschlossen?

Umsetzungsstatus: geplant, in Umsetzung oder umgesetzt

Nachweis: Richtlinie, Prozess, Systemkonfiguration, Protokoll oder anderes Dokument

Die 93 Controls aus Annex A bilden dabei den Standardrahmen. Unternehmen können zusätzlich weitere Standards einbinden, etwa IT-Grundschutz, CIS-Controls oder kundenspezifische Compliance-Anforderungen. Entscheidend ist die innere Logik des Dokuments.

Warum das SoA für eine ISO-27001-Zertifizierung wichtig ist

Für die ISO-27001-Zertifizierung hat das SoA eine zentrale Bedeutung und gehört zu den wichtigsten Dokumenten. Es zeigt dem Auditor, ob Risiken, Controls, Maßnahmen und Nachweise sauber zusammenhängen.

Im Stage-1-Audit prüft der Auditor zuerst die Dokumentation. Ein sauberes SoA verbessert die Auditfähigkeit, weil Status, Begründungen und Nachweise direkt auffindbar sind. Im späteren Zertifizierungsaudit kann der Auditor einzelne Controls auswählen und prüfen, ob die dokumentierte Umsetzung im Alltag tatsächlich funktioniert.

Beratung zur ISO 27001

Ein belastbares SoA braucht klare Entscheidungen, saubere Begründungen und auditfähige Nachweise. CSM Consulting unterstützt Sie dabei, Annex-A-Controls nachvollziehbar zu bewerten und Ihr Statement of Applicability sicher für das ISO-27001-Audit vorzubereiten.

SoA und Annex A: Müssen alle Controls umgesetzt werden?

Alle Controls aus Annex A müssen im SoA bewertet, aber nur die tatsächlich relevanten Maßnahmen umgesetzt werden. Entscheidend ist, dass jedes Control geprüft, begründet und mit einem passenden Status dokumentiert wird.

Der Annex A der ISO/IEC 27001:2022 umfasst 93 Controls in vier Bereichen: organisatorische, personenbezogene, physische und technologische Maßnahmen. Das Statement of Applicability muss deshalb alle Controls vollständig abbilden und kein Control darf einfach aus der Liste verschwinden.

Ausschlüsse sind möglich, brauchen aber eine klare Begründung. Ein Unternehmen ohne eigene Softwareentwicklung kann etwa Maßnahmen zur sicheren Entwicklung ausschließen, wenn ausschließlich Standard-Software oder SaaS-Lösungen genutzt und kein eigener Code angepasst wird.

Bei ausgelagerten Prozessen bleibt die Verantwortung im Unternehmen. Betreibt ein externer Provider die IT, muss das SoA zeigen, wie dieser Dienstleister gesteuert, geprüft und vertraglich eingebunden wird.

So erstellen Sie ein SoA in 5 Schritten

Ein belastbares Statement of Applicability entsteht aus einer klaren Reihenfolge. Zuerst werden Scope und Risikoanalyse geklärt, danach folgen Risikobehandlung, Compliance-Anforderungen, Annex-A-Controls, Begründungen, Status und Nachweise. So entsteht aus der SoA-Matrix ein prüfbarer Zusammenhang zwischen Risiko, Maßnahme und Nachweis.

1. Scope und Risikoanalyse klären

Am Anfang steht der Anwendungsbereich des Informationssicherheits-Managementsystems. Erst wenn klar ist, welche Standorte, Abteilungen, Services, Systeme und Informationen im ISMS liegen, kann das SoA sinnvoll erstellt werden. Vor der Erstellung sollten vor allem diese Grundlagen vorliegen:

definierter ISMS-Scope

Asset Register aus dem Asset-Management oder Werteübersicht

Ergebnisse der Risikoanalyse

vorhandene Sicherheitsmaßnahmen

offene Lücken aus einer Gap-Analyse

2. Risikobehandlung und Compliance-Anforderungen ableiten

Aus der ISO-27001-Risikobewertung folgt die Risikobehandlung. Das Unternehmen entscheidet, welche Risiken reduziert, vermieden, übertragen oder bewusst akzeptiert werden.

Für aktiv behandelte Risiken braucht es passende Controls. Dazu kommen Anforderungen aus den Bereichen Compliance, Datenschutz, Kundenverträge, Branchenvorgaben oder gesetzliche Pflichten. Das SoA muss diese Logik abbilden.

3. Annex-A-Controls prüfen

Anschließend wird Annex A systematisch geprüft. Die 93 Controls der ISO/IEC 27001:2022 dienen als Pflichtabgleich für das Statement of Applicability.

Für jedes Control wird festgelegt, ob es für den ISMS-Scope anwendbar ist. Zusätzliche Standards oder Frameworks wie ISO 27002, IT-Grundschutz, CIS Controls oder kundenspezifische Vorgaben können ergänzt werden. Keine Zeile darf verschwinden, nur weil sie unbequem wirkt.

4. Auswahl und Ausschlüsse begründen

Die Begründung ist eine der wichtigsten Spalten im SoA. Bei ausgewählten Controls reicht oft der Bezug zu einem Risiko, einer Compliance-Verpflichtung oder einer internen Policy.

Ausschlüsse brauchen mehr Sorgfalt. Sie müssen für Dritte nachvollziehbar sein, also auch für neue Mitarbeiter, Auditoren oder externe Prüfer. Pauschale Aussagen wie „nicht relevant“ oder „zu teuer“ greifen im Audit zu kurz. Besser ist eine konkrete Begründung, warum ein Control aufgrund von Scope, Prozessen oder technischer Realität keine Anwendung findet.

5. Status, Nachweise und Audit-Readiness pflegen

Ein SoA bleibt ein lebendes Dokument. Für jedes anwendbare Control braucht es einen Umsetzungsstatus, etwa „geplant“, „in Umsetzung“ oder „umgesetzt“. Für die Nachvollziehbarkeit im externen Audit sind direkte Nachweisreferenzen entscheidend. Dazu gehören zum Beispiel:

Informationssicherheitsleitlinie und Verfahrensanweisungen

Protokolle, Tickets und Freigaben

Systemkonfigurationen und technische Reports

Schulungsnachweise und Awareness-Dokumentation

Verträge oder Nachweise externer Dienstleister

Ändern sich Risiken, Dienstleister, IT-Systeme oder der ISMS-Scope, muss auch das SoA aktualisiert werden. Mindestens im Rahmen der jährlichen Managementbewertung sollte das Dokument formell geprüft werden.

Best Practices beim Statement of Applicability

Ein gutes SoA bleibt aktuell, nachvollziehbar und prüfbar. Die folgenden fünf Best Practices helfen, typische Audit-Abweichungen zu vermeiden und Nachweise sauber zu führen.

SoA aktuell halten: Änderungen an Risiken, Systemen, Dienstleistern oder Compliance-Verpflichtungen zeitnah einpflegen.

Management-Freigabe sichern: Der Informationssicherheitsbeauftragte pflegt das Dokument, die formelle Verantwortung für Restrisiken und Freigaben liegt jedoch beim Management.

Nachweise eindeutig verknüpfen: Richtlinien, Tickets, Protokolle, Systemkonfigurationen oder Schulungsnachweise direkt im Dokument referenzieren.

Ausschlüsse sauber begründen: Ein Control darf nur entfallen, wenn es fachlich keine Anwendung findet. Hoher Aufwand oder spätere Projektlaufzeiten reichen als Begründung nicht aus.

Regelmäßig prüfen: Mindestens im Rahmen der jährlichen Managementbewertung das SoA mit Risikoanalyse, Umsetzung und Auditfähigkeit abgleichen.

Häufige Fragen und Antworten

Welche Rolle spielt das SoA im Zertifizierungsprozess?

Im Zertifizierungsprozess dient das SoA als zentraler Prüfpfad für den Auditor. Es zeigt, ob Risikoanalyse, Risikobehandlung, Controls und Nachweise logisch zusammenpassen. Ohne belastbares Statement of Applicability fehlt ein wichtiges Dokument für die ISO-27001-Zertifizierung.

Wie hilft eine Gap-Analyse beim Statement of Applicability?

Eine Gap-Analyse zeigt, welche Anforderungen aus Annex A bereits erfüllt sind und wo noch Nachweise, Prozesse oder Maßnahmen fehlen. Für das SoA hilft sie besonders bei der Einschätzung des Umsetzungsstatus. So wird schneller sichtbar, welche Controls schon belastbar umgesetzt sind und welche noch nachgezogen werden müssen.

Welche Anforderungen gelten für das SoA nach ISO 27001:2022?

Nach ISO 27001:2022 muss das SoA alle 93 Controls aus Annex A berücksichtigen. Für jedes Control braucht es eine Entscheidung zur Anwendbarkeit, eine nachvollziehbare Begründung, den aktuellen Umsetzungsstatus und passende Nachweise. Damit wird das Dokument zur verbindlichen Grundlage für Audit, Compliance und Informationssicherheit.