Mit anderen Worten liefert sie ein vollst\u00e4ndiges Bild davon, welche Ma\u00dfnahmen Ihre Organisation umsetzen m\u00f6chte, welche sie ausgeschlossen hat und warum. In der aktuell g\u00fcltigen Fassung der Norm, der ISO 27001 aus dem Jahr 2022<\/a>, umfasst Anhang A 93 Ma\u00dfnahmen in 4 Themenbereichen. Die SoA geht diese 93 Ma\u00dfnahmen also einzeln durch.<\/p>\n Die SoA sollte nicht mit der Risikoanalyse verwechselt werden. Die Risikoanalyse ermittelt, welchen Bedrohungen die Organisation ausgesetzt ist, w\u00e4hrend die SoA die Entscheidung dar\u00fcber festh\u00e4lt, welche Ma\u00dfnahmen zur Behandlung dieser Risiken angewendet werden. Es handelt sich um zwei verschiedene Dokumente, die zusammenwirken, und weiter unten sehen Sie, wie sie ineinandergreifen.<\/p>\n Die SoA erf\u00fcllt mehrere Funktionen innerhalb des ISMS<\/a>. Drei davon erkl\u00e4ren ihre Bedeutung.<\/p>\n Die Norm gibt kein festes Format vor. Sie k\u00f6nnen also das verwenden, das am besten zu Ihnen passt, solange es die notwendigen Informationen enth\u00e4lt. F\u00fcr jede Ma\u00dfnahme aus Anhang A muss die SoA vier Punkte abbilden.<\/p>\n Viele Organisationen erg\u00e4nzen zus\u00e4tzliche Spalten, etwa die f\u00fcr die Ma\u00dfnahme verantwortliche Person oder das behandelte Risiko, um die Nachvollziehbarkeit zu st\u00e4rken. Das ist nicht verpflichtend, hilft aber, das Dokument im Griff zu behalten.<\/p>\n So sieht eine Anwendbarkeitserkl\u00e4rung in Tabellenform \u00fcblicherweise aus. Dies ist ein vereinfachtes Beispiel mit einigen wenigen Ma\u00dfnahmen, damit Sie den Aufbau erkennen.<\/p>\n Die SoA zu erstellen ist kein isolierter Vorgang. Sie ergibt sich auf nat\u00fcrliche Weise aus der vorgelagerten Arbeit am Risikomanagement. Dies sind die \u00fcblichen Schritte, um sie aufzubauen.<\/p>\n Die SoA ist nicht der Ausgangspunkt des Prozesses. Sie ergibt sich aus der vorgelagerten Arbeit an den Risiken. Bevor Sie sie angehen, m\u00fcssen Ihre Informationswerte identifiziert, die Risiken bewertet, denen sie ausgesetzt sind, und die Behandlungsoptionen f\u00fcr jedes Risiko entschieden sein. In diesem Moment wird deutlich, welche Ma\u00dfnahmen zur Minderung jedes Risikos n\u00f6tig sind.<\/p>\n Wenn Sie die SoA ohne diese Vorarbeit ausf\u00fcllen, kreuzen Sie Ma\u00dfnahmen blind an, und die auditierende Person bemerkt das sofort, weil die Nachvollziehbarkeit zwischen den ermittelten Risiken und den gew\u00e4hlten Ma\u00dfnahmen fehlt.<\/p>\n Mit den Risiken auf dem Tisch gehen Sie die 93 Ma\u00dfnahmen aus Anhang A der Fassung 2022 durch und entscheiden, welche f\u00fcr Ihre Organisation gelten und welche nicht. Die Norm verpflichtet nicht dazu, alle umzusetzen, sondern nur jene, die Ihr Risikoniveau rechtfertigt. Eine Ma\u00dfnahme kann also entfallen, wenn sie in Ihrem Kontext keinen Sinn ergibt.<\/p>\n Beachten Sie au\u00dferdem, dass Sie zus\u00e4tzliche Ma\u00dfnahmen aufnehmen k\u00f6nnen, die nicht in Anhang A stehen, sofern Ihre Risikoanalyse dies erfordert, denn Anhang A ist eine Referenz und keine abschlie\u00dfende Liste.<\/p>\n F\u00fcr jede Ma\u00dfnahme notieren Sie, ob sie angewendet wird oder nicht, und den Grund f\u00fcr diese Entscheidung. Bei den angewendeten Ma\u00dfnahmen erg\u00e4nzen Sie den Umsetzungsstand, ob umgesetzt, in Umsetzung oder offen, sowie den Verweis auf die Richtlinie, das Verfahren oder den Nachweis, der sie belegt.<\/p>\n \u00dcberspringen Sie die Begr\u00fcndung der Ausschl\u00fcsse nicht, denn genau das pr\u00fcft die auditierende Person am meisten. Eine Ma\u00dfnahme auszuschlie\u00dfen ist v\u00f6llig zul\u00e4ssig, solange Sie erkl\u00e4ren, warum sie f\u00fcr Ihre Organisation nicht gilt. Eine gut formulierte Begr\u00fcndung ist mehr wert als eine Liste angekreuzter Ma\u00dfnahmen ohne Erl\u00e4uterung.<\/p>\n Zum Schluss muss die SoA von der obersten Sicherheitsverantwortung der Organisation gepr\u00fcft und genehmigt werden, bevor sie als g\u00fcltig gilt. Erst diese formale Genehmigung macht aus dem Entwurf das Referenzdokument des ISMS.<\/p>\n Ab da ist sie bereit f\u00fcr das Audit. Dabei sollten Sie jedoch bedenken, dass es sich nicht um eine f\u00fcr immer endg\u00fcltige Fassung handelt. Es ist die erste von vielen, denn die SoA wird im Laufe der Zeit fortlaufend aktualisiert.<\/p>\n Die SoA wird nicht einmalig erstellt und dann abgelegt. Sie ist ein lebendes Dokument, das Sie pr\u00fcfen und aktualisieren m\u00fcssen, sobald sich in der Organisation etwas Relevantes \u00e4ndert, etwa wenn ein neues Risiko auftaucht, ein Wert oder eine Technologie hinzukommt, sich der regulatorische Kontext \u00e4ndert oder eine Behandlungsentscheidung angepasst wird. Deshalb ist eine Versionskontrolle sinnvoll, die jede \u00c4nderung und die genehmigende Person festh\u00e4lt.<\/p>\n Genau hier geraten viele Organisationen ins Stocken. Die SoA in einer Tabellenkalkulation zu f\u00fchren wird unhandlich, sobald Sie Dutzende aktiver Ma\u00dfnahmen mit ihren Verantwortlichen, ihren Nachweisen und ihren Fristen haben, die sich gleichzeitig \u00e4ndern. Das Dokument veraltet leicht, und Sie kommen mit abgelaufenen Nachweisen oder Ma\u00dfnahmen ohne zugewiesene Verantwortung ins Audit.<\/p>\n Genau hier macht ein Werkzeug f\u00fcr IT-Management und Compliance wie Factorial IT<\/a> den Unterschied, denn es deckt und dokumentiert einen gro\u00dfen Teil der technischen Ma\u00dfnahmen aus Anhang A ab, die in Ihrer SoA stehen.<\/p>\nWozu dient sie und warum ist sie verpflichtend?<\/h2>\n
\n
Was muss die SoA enthalten?<\/h2>\n
\n
Beispiel f\u00fcr eine SoA-Tabelle<\/h2>\n
\n\n
\n \nMa\u00dfnahme<\/th>\n Beschreibung<\/th>\n Anwendbar?<\/th>\n Begr\u00fcndung<\/th>\n Status<\/th>\n Nachweis<\/th>\n<\/tr>\n<\/thead>\n \n A.5.1<\/td>\n Informationssicherheitsrichtlinien<\/td>\n Ja<\/td>\n In der Risikoanalyse ermitteltes Risiko<\/td>\n Umgesetzt<\/td>\n IS-Richtlinie v1.2<\/td>\n<\/tr>\n \n A.5.7<\/td>\n Bedrohungsinformationen<\/td>\n Ja<\/td>\n Notwendigkeit, externe Bedrohungen fr\u00fchzeitig zu erkennen<\/td>\n In Umsetzung<\/td>\n Verfahren zu Bedrohungsinformationen<\/td>\n<\/tr>\n \n A.6.7<\/td>\n Remote-Arbeit<\/td>\n Ja<\/td>\n Ein Teil der Belegschaft arbeitet au\u00dferhalb des B\u00fcros<\/td>\n Umgesetzt<\/td>\n Richtlinie zur Remote-Arbeit v2.0<\/td>\n<\/tr>\n \n A.7.4<\/td>\n \u00dcberwachung der physischen Sicherheit<\/td>\n Nein<\/td>\n Die Organisation verf\u00fcgt \u00fcber keine eigenen Standorte<\/td>\n Nicht anwendbar<\/td>\n Dokumentierte Begr\u00fcndung<\/td>\n<\/tr>\n \n A.8.23<\/td>\n Web-Filterung<\/td>\n Ja<\/td>\n Risiko des Zugriffs auf sch\u00e4dliche Websites<\/td>\n Umgesetzt<\/td>\n Konfiguration des Unternehmens-Proxys<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Wie erstellen Sie eine Anwendbarkeitserkl\u00e4rung Schritt f\u00fcr Schritt?<\/h2>\n
1. F\u00fchren Sie zuerst die Risikoanalyse und Risikobehandlung durch<\/h3>\n
2. W\u00e4hlen Sie die anwendbaren Ma\u00dfnahmen aus Anhang A aus<\/h3>\n
3. Dokumentieren Sie Begr\u00fcndung, Status und Nachweise<\/h3>\n
4. Pr\u00fcfen und genehmigen Sie das Dokument<\/h3>\n
Wie pflegen und verwalten Sie die SoA?<\/h2>\n
![\"factorial](\"https:\/\/factorial.es\/wp-content\/uploads\/2026\/03\/23134110\/factorial-it-platform-1024x506.png\")
<\/p>\n