Statement of Applicability (SoA) in der ISO 27001-Zertifizierung

Was ist ein Statement of Applicability (SoA)?

Das Statement of Applicability ist die Erklärung, welche Sicherheitsmaßnahmen (Controls) aus Anhang A der ISO 27001 in deinem Informationssicherheits-Managementsystem (ISMS) gelten. Die Abkürzung SoA steht für „Statement of Applicability“, in der deutschen Normfassung heißt das Dokument „Erklärung zur Anwendbarkeit“.

Die SoA verbindet drei Dinge: deine Risikobeurteilung, die ausgewählten Maßnahmen und den Nachweis, dass kein relevantes Control übersehen wurde. Sie ist damit das Dokument, das Auditor:innen meist zuerst anfordern – und das Kund:innen in Sicherheitsfragebögen oft mitsehen wollen.

Pflichtangaben einer SoA nach ISO 27001:2022

Kapitel 6.1.3 d) verlangt vier Angaben. Zwei weitere Felder sind keine Normpflicht, erleichtern aber das Audit erheblich.

‍

Die 93 Controls des Anhang A im Überblick

Die ISO 27001:2022 hat die früheren 114 Controls in 14 Bereichen auf 93 Controls in vier Themen verdichtet.

‍

Diese 11 Controls sind seit 2022 neu

1. 5.7 Threat Intelligence
2. 5.23 Informationssicherheit für die Nutzung von Cloud-Diensten
3. 5.30 IKT-Bereitschaft für Business Continuity
4. 7.4 Überwachung der physischen Sicherheit
5. 8.9 Konfigurationsmanagement
6. 8.10 Löschung von Informationen
7. 8.11 Datenmaskierung
8. 8.12 Verhinderung von Datenlecks (DLP)
9. 8.16 Überwachungstätigkeiten
10. 8.23 Webfilterung
11. 8.28 Sichere Programmierung

Gerade diese Controls fehlen in SoAs, die aus alten 2013er-Vorlagen kopiert wurden.

SoA erstellen in 6 Schritten

1. Geltungsbereich festlegen. Standorte, Systeme, Prozesse und Dienstleister im ISMS-Scope bestimmen – sie entscheiden, welche Controls überhaupt relevant sein können.
2. Risiken beurteilen. Werte, Bedrohungen und Schwachstellen erfassen und nach Eintrittswahrscheinlichkeit und Auswirkung bewerten.
3. Risikobehandlung planen. Für jedes nicht akzeptierte Risiko Maßnahmen festlegen – egal aus welcher Quelle.
4. Mit Anhang A abgleichen. Alle 93 Controls durchgehen und prüfen, ob ein notwendiges Control fehlt. Jede Entscheidung mit Risiko, Gesetz oder Vertrag begründen.
5. Status und Nachweise dokumentieren. Umsetzungsstand, Verantwortliche und Belege je Control eintragen.
6. Freigeben und versionieren. Die SoA von der Geschäftsführung freigeben lassen und bei jeder Änderung am Scope, nach Vorfällen und mindestens jährlich prüfen.

Beispiel: So sieht eine ausgefüllte SoA aus

Fiktives Beispiel: ein SaaS-Unternehmen mit 40 Mitarbeitenden, reiner Cloud-Betrieb, kein eigenes Rechenzentrum.

‍

Häufige Fehler in der SoA

‍

Die SoA im Zertifizierungsaudit

In Stufe 1 prüft die Zertifizierungsstelle, ob die SoA vollständig ist und zur Risikobeurteilung passt. In Stufe 2 werden Stichproben gezogen: Ist ein als „umgesetzt“ markiertes Control in der Praxis wirksam? Nach der Zertifizierung bleibt die SoA Grundlage der jährlichen Überwachungsaudits.

Automatisierung & SoA-Umsetzung mit heyData

Bei heyData begleiten wir Unternehmen auf ihrem gesamten Weg zur ISO 27001-Zertifizierung – und das Statement of Applicability (SoA) spielt dabei eine zentrale Rolle. Wir bieten nicht nur ein Tool zur Dokumentation deines SoA, sondern unterstützen dich aktiv dabei, es richtig aufzubauen und kontinuierlich an dein wachsendes ISMS anzupassen.

Unser Ansatz sorgt dafür, dass dein SoA kein statisches Dokument bleibt, sondern ein dynamisches Abbild deiner Sicherheitsstrategie wird.

Mit heyData kannst du:

• Annex-A-Maßnahmen mit deiner Risikoanalyse und deinen Richtlinien verknüpfen.
• Dein SoA generieren, basierend auf deinem Asset- und Risikoregister - mit klarer Nachvollziehbarkeit und Belegen für jede Maßnahme.
• Den Umsetzungsfortschritt verfolgen und Verantwortlichkeiten transparent zuweisen.
• Audit-Bereitschaft sicherstellen, dank Versionierung und Änderungsverfolgung bei jeder SoA-Aktualisierung.
• Kontinuierliche Verbesserungen integrieren, indem Ergebnisse aus Audits und Management-Reviews direkt in dein SoA einfließen.

Kurz gesagt: heyData verwandelt das SoA von einer reinen Compliance-Anforderung in ein lebendiges Management-Werkzeug, das Governance, Risiko und Sicherheit in einem zentralen System vereint.