Die SoA – Statement of Applicability, im Deutschen als Erklärung zur Anwendbarkeit bezeichnet – gehört zu den zentralen Dokumenten eines Informationssicherheits-Managementsystems (ISMS). Ohne eine belastbare SoA ist eine Zertifizierung nach ISO 27001 nicht möglich. Dieser Beitrag erläutert, welchen Nutzen die SoA stiftet, wie sie nach ISO 27001:2022 aufgebaut ist und welchen Stellenwert sie im Audit einnimmt.
Was ist die SoA nach ISO 27001?
Die SoA ist ein verpflichtendes Dokument nach Abschnitt 6.1.3 d) der ISO/IEC 27001:2022. Sie dokumentiert für jede der 93 Maßnahmen (Controls) aus Annex A, ob diese für Ihr Unternehmen anwendbar ist, warum sie ein- oder ausgeschlossen wurde und – bei anwendbaren Controls – wie sie umgesetzt ist. Damit bildet die SoA die Brücke zwischen Ihrer Risikobewertung und den konkret gewählten Sicherheitsmaßnahmen.
Entscheidend für das Verständnis: Annex A ist ein Referenzkatalog, keine Pflichtliste. ISO 27001 verlangt nicht, dass Sie alle 93 Controls umsetzen. Verlangt wird, dass jede Aufnahme und jeder Ausschluss auf Basis Ihrer Risikobewertung nachvollziehbar begründet ist. Die SoA ist damit das Dokument, das Ihre risikobasierten Entscheidungen sichtbar und prüfbar macht.
Der Stellenwert der SoA im ISMS
Auditoren prüfen die SoA besonders genau. Sie zählt zu den am intensivsten geprüften Dokumenten im Zertifizierungs- und Überwachungsaudit. Der Grund liegt in ihrer Funktion: Die SoA macht auf einen Blick sichtbar, wie ein Unternehmen seine Informationssicherheit steuert. Sie verknüpft die Ergebnisse der Risikobewertung mit dem Risikobehandlungsplan und den tatsächlich umgesetzten Maßnahmen.
Für CISOs, IT-Leitungen und Compliance-Verantwortliche ist die SoA damit weit mehr als eine Formalie. Sie ist das Steuerungsinstrument, das belegt, dass Sicherheitsentscheidungen risikobasiert und begründet getroffen wurden, nicht nach dem Prinzip „wir nehmen einfach alle Controls". Eine sauber geführte SoA verkürzt Audits, weil sie den Prüfenden eine nachvollziehbare Landkarte der gewählten Sicherheitsarchitektur liefert. Eine lückenhafte oder generische SoA führt umgekehrt zu Nachfragen, Abweichungen und Nacharbeit.
SoA und Risikobehandlungsplan: zwei Dokumente, ein Prozess
In der Praxis werden SoA und Risikobehandlungsplan häufig verwechselt. Beide gehören zu Abschnitt 6.1.3, erfüllen aber unterschiedliche Zwecke: Der Risikobehandlungsplan legt fest, wie und bis wann konkrete Risiken behandelt werden, ist also der Umsetzungsfahrplan. Die SoA hingegen ist die Bestandsaufnahme; sie dokumentiert welche Controls anwendbar sind, warum und ob sie umgesetzt sind.
ISO 27005:2022, die begleitende Norm für das Informationssicherheits-Risikomanagement, empfiehlt, die SoA direkt aus der Risikobewertung und dem Risikobehandlungsplan abzuleiten. Controls sollten also nicht unabhängig vom Risikoprozess in die SoA aufgenommen werden, denn nur so bleibt die Kette von der identifizierten Bedrohung bis zur umgesetzten Maßnahme durchgängig belegbar.
Aufbau: Was die SoA nach ISO 27001:2022 enthalten muss
Nach Abschnitt 6.1.3 d) muss eine vollständige SoA vier Angaben enthalten:
- Notwendige Controls: die Auflistung aller Maßnahmen, die zur Behandlung der identifizierten Risiken erforderlich sind, abgeglichen mit Annex A und bei Bedarf ergänzt um weitere Quellen (etwa NIST-Publikationen oder ENISA-Leitlinien). Annex A gilt als umfassend, aber nicht abschließend.
- Begründung der Aufnahme: die risiko-, rechts- oder geschäftsbezogene Rechtfertigung, warum ein anwendbares Control aufgenommen wurde.
- Umsetzungsstatus: die Angabe, ob ein anwendbares Control bereits umgesetzt ist oder nicht.
- Begründung des Ausschlusses: die Rechtfertigung für jedes Annex-A-Control, das nicht anwendbar ist und deshalb ausgeschlossen wurde.
In der Praxis wird die SoA meist als Tabelle geführt, ergänzt um Spalten für Verweise auf zugehörige Richtlinien sowie für Überprüfungs- und Freigabedaten. So bleibt sie ein lebendes Dokument, das den jeweils aktuellen Stand Ihrer Sicherheitsarchitektur abbildet.
Weil die SoA offenlegt, welche Sicherheitsmaßnahmen ein Unternehmen umsetzt und welche nicht, gilt sie als vertrauliches Dokument. Sie wird zwar dem Auditor vorgelegt, sollte aber nicht ungeschützt weitergegeben werden, denn die enthaltenen Informationen ließen sich sonst als Landkarte für Angriffe nutzen. Zudem muss die SoA durch das Management oder die zuständige Stelle geprüft und freigegeben werden. Ohne diese Freigabe ist sie im Audit nicht belastbar.
Die 93 Annex-A-Controls im Überblick
Mit der Revision ISO 27001:2022 wurde Annex A grundlegend neu strukturiert. Aus den vormals 114 Controls in 14 Domänen wurden 93 Controls, gegliedert in vier Themenbereiche:
- Organisatorische Controls (A.5): 37 Maßnahmen (5.1–5.37) – Richtlinien, Rollen und Verantwortlichkeiten, Lieferantenbeziehungen, Threat Intelligence und Incident Management.
- Personenbezogene Controls (A.6): 8 Maßnahmen (6.1–6.8) – Screening, Beschäftigungsbedingungen, Awareness und Schulung, Disziplinarverfahren, mobiles Arbeiten.
- Physische Controls (A.7): 14 Maßnahmen (7.1–7.14) – Zutrittskontrolle, physische Überwachung, Schutz von Einrichtungen und Geräten.
- Technologische Controls (A.8): 34 Maßnahmen (8.1–8.34) – Zugriffsrechte, Kryptografie, Protokollierung, sichere Entwicklung, Netzwerksicherheit.
Die Umstellung von 14 Domänen auf vier Themenbereiche ist mehr als eine kosmetische Änderung. Die Controls sind nun nach der Art dessen geordnet, was sie regeln (organisatorisch, personenbezogen, physisch, technologisch), statt nach technischer Domäne. Für die SoA bedeutet das, dass wer von einer Fassung nach 2013 kommt, die bestehenden Zuordnungen auf die neue Struktur überführen und dabei auch die zusammengeführten und umbenannten Controls berücksichtigen muss.
Elf Controls kamen mit der Fassung 2022 neu hinzu, darunter Threat Intelligence (5.7), Informationssicherheit für Cloud-Dienste (5.23) und Data Masking (8.11). Wichtig für die Praxis: Seit dem 31. Oktober 2025 sind Zertifikate nach der alten Fassung ISO 27001:2013 nicht mehr gültig. Jede aktuelle SoA nach ISO 27001:2022 muss deshalb auf dem 93-Control-Katalog basieren. Wer noch mit der alten 14-Domänen-Struktur arbeitet, führt daher ein Dokument nach zurückgezogener Norm.
In vier Schritten zur SoA
Eine belastbare SoA entsteht als Ergebnis des Risikomanagements:
- Risikobewertung durchführen: Identifizieren und bewerten Sie die Risiken für Ihre Informationswerte. Nur so lässt sich bestimmen, welche Controls überhaupt notwendig sind. Ohne diesen Schritt fehlt der SoA die Grundlage.
- Controls ableiten und mit Annex A abgleichen: Leiten Sie aus der Risikobehandlung die erforderlichen Maßnahmen ab und gleichen Sie diese mit Annex A ab. Der Abgleich stellt sicher, dass Sie keine relevante Maßnahme übersehen. Er dient ausdrücklich nicht dazu, pauschal alle Controls zu übernehmen.
- Ein- und Ausschlüsse begründen: Dokumentieren Sie für jedes Control die Entscheidung mit einer nachvollziehbaren, risikobasierten Begründung. Generische Formulierungen sind hier die häufigste Ursache für Audit-Abweichungen.
- Umsetzungsstatus erfassen und freigeben: Halten Sie fest, welche Controls umgesetzt sind, und lassen Sie die SoA durch die Verantwortlichen freigeben. Danach wird sie regelmäßig und spätestens bei jeder wesentlichen Änderung der Risikolage überprüft und aktualisiert.
Häufige Fehler bei der SoA-Erstellung
Drei Muster tauchen im Audit immer wieder auf:
- Generische Begründungen: Pauschale Formulierungen, die nicht auf die konkrete Risikobewertung Bezug nehmen, halten der Prüfung nicht stand.
- Fehlende Aktualisierung: Eine SoA, die nach der Zertifizierung nicht mehr gepflegt wird, verliert ihren Wert als Steuerungsinstrument und weicht vom tatsächlichen Sicherheitsstand ab.
- Entkopplung von der Risikobewertung: Werden Controls ohne Bezug zur Risikoanalyse aufgenommen, entsteht ein Dokument, das Sicherheit vortäuscht, statt sie zu belegen.
Athereon GRC: SoA-Erstellung im ISMS-Modul
Die Erstellung und Pflege der SoA lässt sich mit der passenden Software erheblich vereinfachen. Athereon GRC ist eine ISMS-Software, die Unternehmen bei der SoA-Erstellung nach ISO 27001 zuverlässig unterstützt. Als führende europäische GRC-Plattform verbindet Athereon GRC Risikobewertung, Control-Auswahl und SoA in einem durchgängigen Prozess: Die aus der Risikobehandlung abgeleiteten Maßnahmen inklusive Begründung und Umsetzungsstatus fließen direkt in die Erklärung zur Anwendbarkeit ein.
Athereon GRC ist frameworkoffen aufgebaut. Neben ISO 27001 lassen sich weitere Rahmenwerke abbilden – von TISAX® bis zu branchenspezifischen Anforderungen –, ohne dass Sie das System wechseln müssen. Als Teil einer Plattform mit den Modulen ISMS, ERM, BCM, DSM und SRM steht die SoA im Zusammenhang mit Ihrem gesamten Governance-, Risk- und Compliance-Management. So wird Compliance als Chance nutzbar – 100 % Made in Germany.
Mehr zum regulatorischen Rahmen der Norm finden Sie auf unserer Themenseite zur ISO 27001.
Die KI-Agentin LAiKA unterstützt bei der Control-Zuordnung
Die Zuordnung von Risiken zu den passenden Annex-A-Controls ist der arbeitsintensivste Teil der SoA. Hier setzt die KI-Agentin LAiKA an. Ausgehend vom Fundament der Plattform unterstützt LAiKA Assist bei wiederkehrenden Aufgaben und übergibt bei Bedarf an die Spezial-Agenten. Für die SoA ist vor allem der Compliance Assistant relevant: Er schlägt auf Basis Ihrer Risikobewertung passende Controls vor und hilft, Ein- und Ausschlüsse zu begründen. Der Infrastructure Mapper erfasst die zugrunde liegende Infrastruktur, der Questionnaire Assistant unterstützt bei der strukturierten Beantwortung von Control-Fragebögen.
Dabei gilt durchgängig: Nichts ohne Ihr OK. LAiKA bereitet vor und schlägt vor. Die Entscheidung über jede Aufnahme, jeden Ausschluss und jede Begründung treffen Sie. Gerade bei der SoA, deren Aussagen im Audit standhalten müssen, bleibt die inhaltliche Verantwortung damit dort, wo sie hingehört.
Fazit
Die SoA ist das Herzstück der ISO-27001-Dokumentation: Sie verbindet Risikobewertung, Control-Auswahl und Umsetzungsstatus zu einem nachvollziehbaren Gesamtbild. Wer sie risikobasiert, begründet und gepflegt aufbaut, besteht nicht nur das Audit, sondern gewinnt ein Steuerungsinstrument für die Informationssicherheit.
Möchten Sie Ihre SoA nach ISO 27001:2022 effizient erstellen und pflegen? Athereon GRC unterstützt Sie auf dem gesamten Weg von der Risikobewertung bis zur fertigen Erklärung zur Anwendbarkeit. Erfahren Sie mehr über ISO 27001 bei Athereon GRC.
