Eine Anwendbarkeitserklärung (Statement of Applicability), auch bekannt als SoA, ist ein Dokument, das die Sicherheitsrisiken einer Organisation bewertet und die spezifischen Kontrollen aufzeigt, die zur Minderung dieser Risiken eingerichtet wurden. Ein SoA wird in der Regel im Rahmen eines Compliance-Audits verlangt, z. B. nach ISO 27001 oder SOC 2.
Ein SoA ist in drei Abschnitte unterteilt:
1. Der erste Abschnitt listet alle Sicherheitsrisiken auf, die für die betreffende Organisation ermittelt wurden.
2. Der zweite Abschnitt beschreibt die spezifischen Kontrollen, die zur Abschwächung dieser Risiken eingeführt wurden.
3. Der dritte Abschnitt umreißt die geplanten künftigen Maßnahmen, die die Organisation ergreifen wird, um ihr Risikoprofil weiter zu verringern.
Der Inhalt einer Anwendbarkeitserklärung hängt von den spezifischen Compliance-Anforderungen ab, die eine Organisation zu erfüllen versucht. Alle Statements of Applicability sollten jedoch klar, prägnant und leicht verständlich sein.
Warum sind Anwendbarkeitserklärungen wichtig?
Organisationen verwenden Anwendbarkeitserklärungen, um ihr Engagement für die Sicherheit zu demonstrieren und um zu zeigen, dass sie Schritte unternommen haben, um ihre spezifischen Sicherheitsrisiken anzugehen. Eine Anwendbarkeitserklärung kann zum Beispiel von einem oder einer potenziellen Kund:in oder Geschäftspartner:in im Rahmen der Due Diligence angefordert werden. In jedem Fall ist ein SoA ein wichtiges Dokument, das dazu beitragen kann, Vertrauen in die Sicherheitslage eines Unternehmens zu schaffen.
Wie erstelle ich eine Anwendbarkeitserklärung?
Der Prozess zur Erstellung einer Anwendbarkeitserklärung hängt von den spezifischen Compliance-Anforderungen ab, die ihr zu erfüllen versucht. Es gibt jedoch einige allgemeine Best Practices, die ihr bei der Erstellung eines SoA befolgen solltet:
1. Achtet darauf, dass eure Anwendbarkeitserklärung klar, prägnant und leicht zu verstehen ist. Denkt daran, dass euer Publikum möglicherweise nicht mit Fachjargon oder branchenspezifischer Terminologie vertraut ist.
2. Verwendet eine einfache Sprache und vermeidet nach Möglichkeit Abkürzungen oder Akronyme.
3. Seid bei eurer Risikobewertung ehrlich und transparent und versucht nicht, die Bedeutung einer bestimmten Kontrollmaßnahme herunterzuspielen.
4. Gebt einen Kontaktnamen und eine E-Mail-Adresse an, damit die Leser:innen bei Bedarf weitere Informationen erhalten können.
5. Überprüft euer SoA regelmäßig und aktualisiert es immer dann, wenn sich eure Sicherheitslage ändert (z. B. nach der Implementierung neuer Kontrollen oder wenn ein Zwischenfall eintritt).
Schlussfolgerung
Unternehmen verwenden Anwendbarkeitserklärungen, um ihr Engagement für Sicherheit zu zeigen und die Schritte zu umreißen, die sie unternommen haben, um ihre spezifischen Sicherheitsrisiken zu bewältigen. Für die Erstellung einer gut ausgearbeiteten Anwendbarkeitserklärung müsst ihr euch im Vorfeld etwas Zeit nehmen, um die Risiken eures Unternehmens zu bewerten und zu bestimmen, welche Kontrollen geeignet sind, diese Risiken zu mindern.
ISO 27001:2022 Leitfaden zur Zertifizierung | heyData
Erfahre, wie du ein ISMS nach ISO 27001:2022 aufbaust, dein Unternehmen auf das Audit vorbereitest und die Zertifizierung strukturiert erreichst.
Kostenlos & unverbindlich
FAQ
Was ist die Erklärung zur Anwendbarkeit (SoA) bei ISO 27001 und welche Funktion hat sie?
Was ist die Erklärung zur Anwendbarkeit (SoA) bei ISO 27001 und welche Funktion hat sie?
Die Erklärung zur Anwendbarkeit ist ein zentrales Dokument innerhalb eines Informationssicherheits-Managementsystems (ISMS). Sie listet alle im Anhang A (Annex A) der Norm ISO 27001 enthaltenen Informationssicherheitskontrollen (Controls) übersichtlich auf. Für jede einzelne Kontrolle wird verbindlich festgelegt, ob sie für das Unternehmen anwendbar ist oder nicht. Die Hauptfunktion der SoA besteht darin, dem Zertifizierungsauditor und externen Partnern transparent nachzuweisen, welche Sicherheitsstandards im Unternehmen gelten, wie sie umgesetzt werden und aus welchen Gründen bestimmte Maßnahmen gegebenenfalls ausgeschlossen wurden.
Wie hängt die SoA mit der Risikobewertung zusammen?
Wie hängt die SoA mit der Risikobewertung zusammen?
Die SoA ist das direkte Ergebnis der zuvor durchgeführten Risikobeurteilung. Ein Unternehmen identifiziert im ersten Schritt seine spezifischen IT- und Informationssicherheitsrisiken. Anschließend prüft es anhand der Normkontrollen aus Anhang A, welche Maßnahmen geeignet sind, um diese Risiken auf ein akzeptables Maß zu reduzieren. In der SoA wird dieser Zusammenhang lückenlos dokumentiert: Jede Auswahl oder Ablehnung einer Kontrolle muss sich schlüssig aus der Risikoanalyse, gesetzlichen Vorgaben oder vertraglichen Pflichten ableiten lassen.
Darf ein Unternehmen bestimmte ISO 27001 Controls aus der SoA ausschließen?
Darf ein Unternehmen bestimmte ISO 27001 Controls aus der SoA ausschließen?
Ja, das ist ausdrücklich erlaubt und oft sinnvoll. Nicht jede Kontrolle aus Anhang A passt zu jedem Geschäftsmodell. Wenn ein Unternehmen beispielsweise reine Cloud-Software entwickelt und keine eigenen physischen Server oder Rechenzentren betreibt, können Kontrollen zur physischen Gebäudesicherheit für Rechenzentren ausgeschlossen werden. Entscheidend ist jedoch die rechtfertigende Begründung: Jeder Ausschluss muss in der SoA nachvollziehbar begründet werden, beispielsweise durch das Fehlen entsprechender Risiken, physischer Gegebenheiten oder regulatorischer Anforderungen.
Welche Angaben muss eine normkonforme SoA mindestens enthalten?
Welche Angaben muss eine normkonforme SoA mindestens enthalten?
Damit die Erklärung zur Anwendbarkeit ein ISO 27001-Audit erfolgreich besteht, sollte sie für alle Controls aus Anhang A folgende Kerninformationen enthalten:
- Liste aller Controls: Eine Vollständigkeitsprüfung sämtlicher im Anhang A der ISO 27001 definierten Maßnahmen.
- Anwendbarkeitsstatus: Die klare Kennzeichnung für jedes Control, ob es anwendbar ist oder nicht ("Ja" / "Nein").
- Begründung der Auswahl oder des Ausschlusses: Eine nachvollziehbare Argumentation, warum eine Maßnahme gewählt oder begründet weggelassen wurde.
- Umsetzungsstatus: Informationen darüber, ob die Maßnahme bereits vollständig implementiert, in Planung oder kontinuierlich im Betrieb ist.
- Verweise auf Richtlinien: Referenzen auf interne Dokumente, Arbeitsanweisungen oder Richtlinien, die die jeweilige Kontrolle konkret ausführen.
