Die ISO 27001 ist die internationale Referenznorm für das Management der Informationssicherheit. Innerhalb ihres Managementsystems nimmt die Anwendbarkeitserklärung eine zentrale Rolle ein. Sie ist das erste Dokument, das die auditierende Person bei der Zertifizierung prüft, und der Punkt, an dem alles zusammenläuft, was die Organisation zum Schutz ihrer Informationen beschlossen hat.
In diesem Artikel erfahren Sie, was die SoA ist, wozu sie dient, was sie enthalten muss und wie Sie sie Schritt für Schritt erstellen. Ein Beispieltabelle zeigt Ihnen das Ergebnis.
Was ist die Anwendbarkeitserklärung (SoA) der ISO 27001?
Die Anwendbarkeitserklärung, bekannt unter dem englischen Kürzel SoA (Statement of Applicability), ist das Dokument, das alle Sicherheitsmaßnahmen aus Anhang A der ISO 27001 zusammenfasst. Für jede Maßnahme gibt sie an, ob die Organisation sie anwendet oder nicht, mit der zugehörigen Begründung und dem Umsetzungsstand.
Mit anderen Worten liefert sie ein vollständiges Bild davon, welche Maßnahmen Ihre Organisation umsetzen möchte, welche sie ausgeschlossen hat und warum. In der aktuell gültigen Fassung der Norm, der ISO 27001 aus dem Jahr 2022, umfasst Anhang A 93 Maßnahmen in 4 Themenbereichen. Die SoA geht diese 93 Maßnahmen also einzeln durch.
Die SoA sollte nicht mit der Risikoanalyse verwechselt werden. Die Risikoanalyse ermittelt, welchen Bedrohungen die Organisation ausgesetzt ist, während die SoA die Entscheidung darüber festhält, welche Maßnahmen zur Behandlung dieser Risiken angewendet werden. Es handelt sich um zwei verschiedene Dokumente, die zusammenwirken, und weiter unten sehen Sie, wie sie ineinandergreifen.
Wozu dient sie und warum ist sie verpflichtend?
Die SoA erfüllt mehrere Funktionen innerhalb des ISMS. Drei davon erklären ihre Bedeutung.
- Ein Pflichtdokument für die Zertifizierung: die Norm verlangt es ausdrücklich. Abschnitt 6.1.3 d) der ISO 27001 aus dem Jahr 2022 schreibt vor, eine Anwendbarkeitserklärung zu erstellen, die die notwendigen Maßnahmen, die Begründung ihrer Aufnahme, ihren Umsetzungsstand sowie den Grund für den Ausschluss jeder Maßnahme enthält. Ohne SoA ist keine Zertifizierung möglich.
- Die Verbindung zwischen Risikoanalyse und Maßnahmen: die SoA schlägt die Brücke zwischen den ermittelten Risiken und den Maßnahmen, die Sie zu ihrer Behandlung umgesetzt haben. Sie macht die Nachvollziehbarkeit zwischen den Anforderungen der Norm und dem, was die Organisation tatsächlich tut, sichtbar.
- Der zentrale Leitfaden der auditierenden Person: beim Audit öffnet die auditierende Person die SoA vor jedem anderen Dokument, denn sie liefert eine vollständige Übersicht über das ISMS. Von dort aus prüft sie, ob die Maßnahmen, die Sie anzuwenden angeben, wirklich umgesetzt sind und ob die Ausschlüsse schlüssig sind. Eine schwache SoA ohne Begründungen oder mit unbegründeten Ausschlüssen führt schnell zu einer Abweichung.
Was muss die SoA enthalten?
Die Norm gibt kein festes Format vor. Sie können also das verwenden, das am besten zu Ihnen passt, solange es die notwendigen Informationen enthält. Für jede Maßnahme aus Anhang A muss die SoA vier Punkte abbilden.
- Die Maßnahme und ihre Beschreibung: die Referenz und der Name der Maßnahme, wie sie in Anhang A stehen, zum Beispiel A.5.1 Informationssicherheitsrichtlinien.
- Ob sie angewendet wird oder nicht: die Entscheidung, diese Maßnahme in Ihr ISMS aufzunehmen oder auszuschließen.
- Die Begründung: der Grund für diese Entscheidung, unabhängig davon, ob die Maßnahme angewendet oder verworfen wird. Dieser Punkt ist entscheidend, denn die Begründung der Ausschlüsse prüft die auditierende Person am genauesten.
- Der Umsetzungsstand und die Nachweise: geben Sie an, ob die Maßnahme umgesetzt, in Umsetzung oder offen ist, mit Verweis auf die Richtlinie, das Verfahren oder den Nachweis, der sie belegt.
Viele Organisationen ergänzen zusätzliche Spalten, etwa die für die Maßnahme verantwortliche Person oder das behandelte Risiko, um die Nachvollziehbarkeit zu stärken. Das ist nicht verpflichtend, hilft aber, das Dokument im Griff zu behalten.
Beispiel für eine SoA-Tabelle
So sieht eine Anwendbarkeitserklärung in Tabellenform üblicherweise aus. Dies ist ein vereinfachtes Beispiel mit einigen wenigen Maßnahmen, damit Sie den Aufbau erkennen.
| Maßnahme | Beschreibung | Anwendbar? | Begründung | Status | Nachweis |
|---|---|---|---|---|---|
| A.5.1 | Informationssicherheitsrichtlinien | Ja | In der Risikoanalyse ermitteltes Risiko | Umgesetzt | IS-Richtlinie v1.2 |
| A.5.7 | Bedrohungsinformationen | Ja | Notwendigkeit, externe Bedrohungen frühzeitig zu erkennen | In Umsetzung | Verfahren zu Bedrohungsinformationen |
| A.6.7 | Remote-Arbeit | Ja | Ein Teil der Belegschaft arbeitet außerhalb des Büros | Umgesetzt | Richtlinie zur Remote-Arbeit v2.0 |
| A.7.4 | Überwachung der physischen Sicherheit | Nein | Die Organisation verfügt über keine eigenen Standorte | Nicht anwendbar | Dokumentierte Begründung |
| A.8.23 | Web-Filterung | Ja | Risiko des Zugriffs auf schädliche Websites | Umgesetzt | Konfiguration des Unternehmens-Proxys |
Wie erstellen Sie eine Anwendbarkeitserklärung Schritt für Schritt?
Die SoA zu erstellen ist kein isolierter Vorgang. Sie ergibt sich auf natürliche Weise aus der vorgelagerten Arbeit am Risikomanagement. Dies sind die üblichen Schritte, um sie aufzubauen.
1. Führen Sie zuerst die Risikoanalyse und Risikobehandlung durch
Die SoA ist nicht der Ausgangspunkt des Prozesses. Sie ergibt sich aus der vorgelagerten Arbeit an den Risiken. Bevor Sie sie angehen, müssen Ihre Informationswerte identifiziert, die Risiken bewertet, denen sie ausgesetzt sind, und die Behandlungsoptionen für jedes Risiko entschieden sein. In diesem Moment wird deutlich, welche Maßnahmen zur Minderung jedes Risikos nötig sind.
Wenn Sie die SoA ohne diese Vorarbeit ausfüllen, kreuzen Sie Maßnahmen blind an, und die auditierende Person bemerkt das sofort, weil die Nachvollziehbarkeit zwischen den ermittelten Risiken und den gewählten Maßnahmen fehlt.
2. Wählen Sie die anwendbaren Maßnahmen aus Anhang A aus
Mit den Risiken auf dem Tisch gehen Sie die 93 Maßnahmen aus Anhang A der Fassung 2022 durch und entscheiden, welche für Ihre Organisation gelten und welche nicht. Die Norm verpflichtet nicht dazu, alle umzusetzen, sondern nur jene, die Ihr Risikoniveau rechtfertigt. Eine Maßnahme kann also entfallen, wenn sie in Ihrem Kontext keinen Sinn ergibt.
Beachten Sie außerdem, dass Sie zusätzliche Maßnahmen aufnehmen können, die nicht in Anhang A stehen, sofern Ihre Risikoanalyse dies erfordert, denn Anhang A ist eine Referenz und keine abschließende Liste.
3. Dokumentieren Sie Begründung, Status und Nachweise
Für jede Maßnahme notieren Sie, ob sie angewendet wird oder nicht, und den Grund für diese Entscheidung. Bei den angewendeten Maßnahmen ergänzen Sie den Umsetzungsstand, ob umgesetzt, in Umsetzung oder offen, sowie den Verweis auf die Richtlinie, das Verfahren oder den Nachweis, der sie belegt.
Überspringen Sie die Begründung der Ausschlüsse nicht, denn genau das prüft die auditierende Person am meisten. Eine Maßnahme auszuschließen ist völlig zulässig, solange Sie erklären, warum sie für Ihre Organisation nicht gilt. Eine gut formulierte Begründung ist mehr wert als eine Liste angekreuzter Maßnahmen ohne Erläuterung.
4. Prüfen und genehmigen Sie das Dokument
Zum Schluss muss die SoA von der obersten Sicherheitsverantwortung der Organisation geprüft und genehmigt werden, bevor sie als gültig gilt. Erst diese formale Genehmigung macht aus dem Entwurf das Referenzdokument des ISMS.
Ab da ist sie bereit für das Audit. Dabei sollten Sie jedoch bedenken, dass es sich nicht um eine für immer endgültige Fassung handelt. Es ist die erste von vielen, denn die SoA wird im Laufe der Zeit fortlaufend aktualisiert.
Wie pflegen und verwalten Sie die SoA?
Die SoA wird nicht einmalig erstellt und dann abgelegt. Sie ist ein lebendes Dokument, das Sie prüfen und aktualisieren müssen, sobald sich in der Organisation etwas Relevantes ändert, etwa wenn ein neues Risiko auftaucht, ein Wert oder eine Technologie hinzukommt, sich der regulatorische Kontext ändert oder eine Behandlungsentscheidung angepasst wird. Deshalb ist eine Versionskontrolle sinnvoll, die jede Änderung und die genehmigende Person festhält.
Genau hier geraten viele Organisationen ins Stocken. Die SoA in einer Tabellenkalkulation zu führen wird unhandlich, sobald Sie Dutzende aktiver Maßnahmen mit ihren Verantwortlichen, ihren Nachweisen und ihren Fristen haben, die sich gleichzeitig ändern. Das Dokument veraltet leicht, und Sie kommen mit abgelaufenen Nachweisen oder Maßnahmen ohne zugewiesene Verantwortung ins Audit.
Genau hier macht ein Werkzeug für IT-Management und Compliance wie Factorial IT den Unterschied, denn es deckt und dokumentiert einen großen Teil der technischen Maßnahmen aus Anhang A ab, die in Ihrer SoA stehen.
- Automatisches Inventar der IT-Werte: stets aktuell und für das Audit exportierbar.
- Geräteverwaltung (MDM): Verschlüsselung, Virenschutz und Patches auf Mac, Windows und Linux.
- Zugriffsverwaltung: Vergabe und Entzug von Berechtigungen je nach Rolle der einzelnen Mitarbeitenden.
- Sicheres Offboarding: Schließen aller Zugänge, sobald ein Austritt im HR-System erfasst wird.
- Automatische Audit-Nachweise: bereit zum Export, sobald die auditierende Person sie anfordert.
Mit umgesetzten Maßnahmen und fortlaufend gesammelten Nachweisen ist das Aktualisieren der SoA kein Last-Minute-Wettlauf vor dem Audit mehr.
