ISO 27001 · Anwendbarkeitserklärung
Statement of Applicability (SoA) erstellen: Annex-A-Controls dokumentieren
Lesezeit etwa 7 Minuten · Stand August 2026
Das Statement of Applicability (SoA), deutsch Anwendbarkeitserklärung, ist das zentrale Dokument einer ISO 27001-Zertifizierung. Es listet alle 93 Controls aus Anhang A, hält fest, welche davon anwendbar sind, begründet Anwendbarkeit oder Ausschluss und zeigt den Umsetzungsstatus. Dieser Ratgeber erklärt Aufbau, Inhalt und Erstellung Schritt für Schritt.
Die Anwendbarkeitserklärung ist die Landkarte Ihres ISMS. Kein Auditor beginnt ohne sie.
Was ist das Statement of Applicability?
Das Statement of Applicability ist die dokumentierte Übersicht aller Sicherheitsmaßnahmen aus Anhang A der ISO 27001, mit Angabe, ob eine Maßnahme angewendet wird, warum und in welchem Zustand. Die Norm verlangt es ausdrücklich in Klausel 6.1.3 d) der ISO/IEC 27001:2022. Ohne SoA ist eine Zertifizierung nicht möglich.
Die SoA verbindet die Risikobehandlung aus Ihrer Risikoanalyse mit dem Maßnahmenkatalog des Anhangs A. Für jede Maßnahme entscheiden Sie, ob sie zur Behandlung Ihrer Risiken nötig ist. Das Ergebnis ist eine vollständige, nachvollziehbare Liste, die Auditoren, Geschäftsleitung und dem Team zeigt, wie Informationssicherheit im Unternehmen konkret geregelt ist.
Was gehört in eine SoA?
Eine vollständige SoA enthält für jede Maßnahme aus Anhang A dieselben Angaben: die Control-Nummer und den Titel, die Entscheidung über die Anwendbarkeit, eine Begründung, den Umsetzungsstatus und einen Verweis auf das zugehörige Dokument oder die Maßnahme. Diese Struktur macht sie im Audit prüfbar.
| Spalte | Inhalt |
|---|---|
| Control | Nummer und Titel, zum Beispiel A.8.8 Umgang mit technischen Schwachstellen |
| Anwendbar | Ja oder Nein |
| Begründung | Warum die Maßnahme nötig ist oder warum sie ausgeschlossen wird |
| Status | Umgesetzt, teilweise umgesetzt oder geplant |
| Referenz | Verweis auf Richtlinie, Nachweis oder Maßnahme |
Viele Organisationen ergänzen eine Spalte für den Risikobezug, damit sichtbar wird, welches Risiko eine Maßnahme adressiert. Pflicht ist das nicht, doch es erleichtert die Argumentation im Audit erheblich.
Die 93 Controls des Anhangs A im Überblick
Die ISO 27001:2022 gliedert ihre 93 Maßnahmen in 4 Themengruppen. Sie lösten die 114 Controls der Fassung von 2013 ab und wurden neu geordnet, 11 Maßnahmen kamen neu hinzu, etwa zu Bedrohungsanalyse, Cloud-Diensten und sicherer Softwareentwicklung.
| Themengruppe | Anzahl | Beispiele |
|---|---|---|
| A.5 Organisatorische Maßnahmen | 37 | Richtlinien, Lieferantenbeziehungen, Bedrohungsanalyse |
| A.6 Personenbezogene Maßnahmen | 8 | Sensibilisierung, Schulung, Bildschirmsperre |
| A.7 Physische Maßnahmen | 14 | Zutrittskontrolle, Clear Desk, Verkabelung |
| A.8 Technologische Maßnahmen | 34 | Zugriffskontrolle, Verschlüsselung, sichere Entwicklung |
| Gesamt | 93 | 4 Themengruppen (A.5 bis A.8) |
Wichtig: Anhang A ist kein Pflichtprogramm, das komplett umgesetzt werden muss. Er ist eine Referenzliste, deren Maßnahmen im Leitfaden ISO/IEC 27002:2022 ausführlich beschrieben sind. Welche Maßnahmen für Sie gelten, ergibt sich aus Ihrer Risikobehandlung. Genau diese Zuordnung hält die SoA fest.
93 Controls, eine Datenbasis
Wer die SoA in Excel pflegt, dokumentiert dieselbe Maßnahme oft mehrfach für ISO 27001, NIS2 und TISAX. VANTARIS verknüpft jede Maßnahme einmal mit allen Normen und erzeugt die Anwendbarkeitserklärung auf Knopfdruck. Eine Datenbasis, jede Norm ist nur eine Sicht darauf.
Wie begründe ich Anwendbarkeit und Ausschluss?
Jede Entscheidung braucht eine nachvollziehbare Begründung. Eine Maßnahme ist anwendbar, wenn sie ein identifiziertes Risiko behandelt oder eine rechtliche Anforderung erfüllt. Ausgeschlossen werden darf sie nur, wenn sie im Geltungsbereich sachlich nicht zutrifft, zum Beispiel Vorgaben zur Softwareentwicklung in einem Unternehmen, das keine Software entwickelt.
Vorsicht bei Ausschlüssen: Auditoren prüfen sie besonders kritisch. Ein Ausschluss, der nur Aufwand sparen soll, fällt auf. Die Begründung sollte sich immer auf den Geltungsbereich und die Risikolage stützen, nicht auf Bequemlichkeit. Halten Sie die Ausschlüsse knapp, sachlich und belegbar.
Warum ist die SoA das Herzstück im Audit?
Weil der Auditor an ihr entlang prüft. Im Stage-1-Audit gleicht er die SoA mit Ihrer Dokumentation ab, im Stage-2-Audit mit der gelebten Praxis. Die SoA ist damit der rote Faden durch das gesamte Zertifizierungsaudit und oft das erste Dokument, das ein Auditor anfordert.
Deshalb muss die SoA aktuell sein. Ändert sich der Geltungsbereich, kommen neue Systeme hinzu oder verschiebt sich die Risikolage, gehört die Anwendbarkeitserklärung angepasst. Eine SoA, die nicht zur Realität passt, ist im Audit eine sichere Abweichung. Wie das Zertifizierungsaudit mit Stage 1 und Stage 2 abläuft, zeigt der Ratgeber zum Ablauf der ISO 27001-Zertifizierung. Alle Bausteine der Norm bündelt unsere Seite zur ISO 27001-Zertifizierung.
Wie erstelle ich die SoA in 5 Schritten?
Die SoA entsteht am Ende der Risikobehandlung, nicht am Anfang. In 5 Schritten:
- Geltungsbereich und Risiken klären. Grundlage ist die Risikoanalyse.
- Anhang A als Referenz nehmen und jede Maßnahme prüfen.
- Anwendbarkeit entscheiden und begründen, Ausschlüsse dokumentieren.
- Umsetzungsstatus je Maßnahme erfassen und Nachweise verknüpfen.
- Freigeben, versionieren und aktuell halten.
Sinnvoll ist, die SoA nicht isoliert zu führen, sondern mit der ISO 27001 Gap-Analyse und dem Risikoregister zu verzahnen. So bleibt sie automatisch aktuell, wenn sich Maßnahmen oder Risiken ändern.
Von der SoA zum Zertifikat
Eine saubere Anwendbarkeitserklärung ist ein großer Schritt Richtung ISO 27001. Im Strategiegespräch ordnen wir Ihren Stand ein und zeigen den ehrlichen Weg bis zum Zertifikat, ohne Fristendruck und ohne Fantasiezahlen.
Häufige Fragen zur SoA
Was ist der Unterschied zwischen SoA und Risikobehandlungsplan?
Die SoA listet alle Maßnahmen aus Anhang A mit Anwendbarkeit und Status. Der Risikobehandlungsplan beschreibt, wie konkrete Risiken behandelt werden, mit Verantwortlichen und Fristen. Die SoA zeigt das Was und Ob, der Plan das Wie und Wann. Beide Dokumente verlangt die ISO 27001.
Muss die SoA alle 93 Controls enthalten?
Ja. Die Anwendbarkeitserklärung muss jede der 93 Maßnahmen aus Anhang A aufführen, auch die ausgeschlossenen. Nur so ist nachvollziehbar, dass keine Maßnahme übersehen wurde. Nicht anwendbare Controls werden mit Begründung als ausgeschlossen gekennzeichnet, nicht einfach weggelassen.
Darf ich Controls aus Anhang A ausschließen?
Ja, wenn der Ausschluss sachlich begründet ist. Eine Maßnahme darf entfallen, wenn sie im Geltungsbereich nicht zutrifft, etwa Vorgaben zur Softwareentwicklung ohne eigene Entwicklung. Ausschlüsse aus reinen Kostengründen sind dagegen kritisch und fallen im Audit auf.
Wer erstellt die SoA?
In der Regel der Informationssicherheitsbeauftragte gemeinsam mit den Fachbereichen. Er führt die Ergebnisse aus Risikoanalyse und Maßnahmenplanung zusammen. Die Geschäftsleitung gibt die SoA frei, denn sie trägt die Verantwortung für das ISMS und die getroffenen Entscheidungen.
Wie oft muss ich die SoA aktualisieren?
Immer dann, wenn sich Geltungsbereich, Systeme oder Risiken ändern, mindestens aber zur jährlichen Managementbewertung und vor jedem Audit. Eine veraltete SoA, die nicht zur gelebten Praxis passt, führt im Zertifizierungsaudit fast sicher zu einer Abweichung.
Reicht eine Excel-Tabelle als SoA?
Formal ja, die ISO 27001 schreibt kein bestimmtes Format vor. In der Praxis wird Excel bei mehreren Normen schnell unübersichtlich und pflegeintensiv. Eine Lösung wie VANTARIS, die Maßnahmen einmal erfasst und über alle Normen nutzt, hält die SoA ohne doppelte Arbeit aktuell.
Die wichtigsten Fakten auf einen Blick
| Fakt | Kurz |
|---|---|
| Norm-Grundlage | ISO/IEC 27001:2022, Klausel 6.1.3 d) |
| Umfang Anhang A | 93 Maßnahmen in 4 Themengruppen (A.5 bis A.8) |
| Pflichtangaben | Anwendbarkeit, Begründung, Status, Referenz |
| Ausschlüsse | Nur mit sachlicher Begründung, nicht aus Kostengründen |
| Rolle im Audit | Erstes Prüfdokument, Abgleich in Stage 1 und Stage 2 |
| Aktualität | Bei jeder Änderung, mindestens zur Managementbewertung |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.