Lexikon
Statement of Applicability (SoA)
Das Statement of Applicability ist das Dokument, das bei einem ISMS auflistet, welche Sicherheitsmaßnahmen notwendig sind, ob sie umgesetzt wurden und weshalb andere entfallen.
Stand: Oktober 2026
Die deutsche Bezeichnung lautet Erklärung zur Anwendbarkeit. Verlangt wird das Dokument von der Norm ISO/IEC 27001 und entsteht im Anschluss an die Risikobewertung. Sie nutzt den Anhang A der Norm als Vergleichsliste; in der Fassung von 2022 sind dort 93 Maßnahmen in vier Themenfeldern zusammengestellt (organisatorisch, personenbezogen, physisch, technologisch).
Das SoA enthält für jede Maßnahme:
- ob sie als notwendig eingestuft wurde und warum,
- ob sie bereits umgesetzt ist,
- bei Ausschluss die Begründung.
Zusätzliche Maßnahmen, die nicht in Anhang A stehen, dürfen ergänzt werden. Entscheidend ist die nachvollziehbare Verknüpfung mit der Risikobehandlung. Eine Maßnahme zu streichen, nur weil sie unbequem ist, wird im Audit bemerkt.
Es handelt sich um dokumentierte Information, die gepflegt werden muss und auf Anfrage dem Auditor vorgelegt wird. Änderungen im Risikobild oder in den Systemen sind im SoA nachzuziehen.
Der Zusammenhang mit risikobasiertem Denken ist eng. Weiterführend: ISMS und die Seite ISO 27001.
Stand
Inhalt abgeglichen mit dem DAkkS-Register (Stand Oktober 2026); Audit-Net bewertet keine Stellen und prüft keine Zertifikate. So arbeiten wir
Angaben ohne Gewähr, maßgeblich ist das DAkkS-Register. Fehler gefunden? Melden Sie sie uns.