Was ist die SoA, die Erklärung zur Anwendbarkeit?
Die Erklärung zur Anwendbarkeit (SoA, vom englischen Statement of Applicability) der ISO 27001 für Informationssicherheits-Managementsysteme (ISMS) ist das Dokument, das die vollständige Liste der Informationssicherheitsmaßnahmen aus Anhang A der Norm enthält. In der geltenden Ausgabe ISO/IEC 27001:2022 sind es 93 Maßnahmen in vier Themen: organisatorisch, personenbezogen, physisch und technologisch. Sie finden sie einzeln in unserem Artikel über die Maßnahmen der ISO 27001.
Darin gibt die Organisation für jede Maßnahme an, ob sie anwendbar ist, mit Begründung und Umsetzungsstand. So verlangt es Abschnitt 6.1.3 der Norm: Die SoA muss die erforderlichen Maßnahmen enthalten, die Begründung für ihre Aufnahme, ob sie umgesetzt sind oder nicht, und die Begründung für ausgeschlossene Maßnahmen.
Anhang A ist zwar die Referenz für die Umsetzung von Schutzmaßnahmen, doch die Organisation kann bei Bedarf Maßnahmen aus anderen Quellen ergänzen, und auch diese gehören in die SoA.
Folgt Ihre SoA noch der Fassung von 2013 (114 Maßnahmen in 14 Bereichen), muss sie neu erstellt werden: Die Übergangsfrist endete am 31. Oktober 2025, und Zertifikate nach der alten Fassung sind nicht mehr gültig.
So kann ein Ausschnitt einer SoA mit Maßnahmen aus Anhang A der ISO/IEC 27001:2022 aussehen. Jede Zeile beantwortet die vier Fragen, die im Audit geprüft werden: Ist die Maßnahme anwendbar, warum, wie ist der Stand und wo liegt der Nachweis?
An welcher Stelle der ISMS-Einführung wird die SoA erstellt?
Nach der Risikoanalyse und -bewertung legt die Organisation die Optionen zur Risikobehandlung fest und bestimmt die Sicherheitsmaßnahmen, mit denen die Risiken gemindert werden. An diesem Punkt entsteht üblicherweise die SoA, in der die anwendbaren Sicherheitsmaßnahmen festgehalten werden.
Beispiel: Ergibt die Risikobewertung, dass eine Maßnahme gegen Schadsoftware nötig ist (8.7 in Anhang A), wird ein Behandlungsplan erstellt: Beschaffung, Konfiguration und Installation einer Antivirensoftware, Umsetzungstermine, Ressourcenzuteilung usw. Nach der Umsetzung werden in der Erklärung zur Anwendbarkeit die Begründung sowie die nötigen Verweise auf die eingeführten Verfahren oder technischen Maßnahmen eingetragen.
Merkmale der SoA
Die Organisation kann die SoA in jedem Format führen, das ihr passt. Was zählt, ist der Inhalt, der in der Regel Folgendes umfasst:
- die Maßnahmen der Norm,
- ob sie anwendbar sind, mit Begründung,
- ihren Umsetzungsstand,
- zugehörige Dokumentation (Verfahren, Nachweise usw.),
- alle weiteren Angaben, die als notwendig angesehen werden.
Bedeutung und Vorteile der SoA
- Die SoA schafft Nachvollziehbarkeit zwischen den Maßnahmen der Norm und dem, was in der Organisation tatsächlich geschieht. Sie gibt einen umfassenden Überblick darüber, wie die Organisation ihre Informationen schützt, und hilft, die eingeführten Sicherheitsmaßnahmen zu erfassen, zu ordnen und zu dokumentieren.
- Sie begründet die Aufnahme oder den Ausschluss jeder Maßnahme, was im Bericht zur Risikobewertung nicht enthalten ist.
- Organisationen, die ein Informationssicherheits-Managementsystem (ISMS) aufbauen und nach ISO 27001 zertifiziert werden wollen, müssen zwingend eine SoA haben.
- Weil sie jede anwendbare Maßnahme dokumentiert und angibt, ob sie umgesetzt ist, wird sie zum wichtigsten Leitfaden für interne und externe Auditoren. In der Regel nimmt der Auditor die Erklärung zur Anwendbarkeit zur Hand, führt auf ihrer Grundlage das Audit durch und prüft, ob das Dokumentierte eingehalten wird.
Überprüfung und Aktualisierung
- Die SoA ist ein lebendes Dokument. Sie wird von der höchsten Sicherheitsinstanz der Organisation geprüft und genehmigt und aktualisiert, sobald eine der folgenden Situationen eintritt, die neue Sicherheitsmaßnahmen oder die Überprüfung bestehender erfordert:
- Neue Informationen, intern erzeugt, von Dritten (Kunden, Lieferanten usw.) übermittelt oder mit Bezug zu gesetzlichen und regulatorischen Anforderungen.
- Anschaffung oder Austausch von Werten, die Informationen enthalten oder verarbeiten (Mobilgeräte, Software, Lieferanten, neue Kommunikationstechnologien usw.), die neue Bedrohungen und Schwachstellen mit sich bringen können.
- Organisatorische oder betriebliche Änderungen, die den Umgang mit Informationen verändern.
- Änderungen im Kontext oder bei den Bedürfnissen und Anforderungen interessierter Parteien: vertragliche Vorgaben oder Vertraulichkeitsklauseln, neue Gesetze oder Verordnungen, Erschließung neuer Märkte, neue Cyberbedrohungen usw.
Die einzelnen Fassungen der Erklärung zur Anwendbarkeit sollten versioniert und die vorgenommenen Änderungen dokumentiert werden.
Bei GlobalSuite Solutions unterstützen und beraten wir Sie bei der Einführung Ihres Informationssicherheits-Managementsystems (ISMS).
Außerdem bieten wir die vollständig von unserem Team entwickelte Software GlobalSuite®, mit der sich alle Anforderungen der ISO 27001 in Organisationen jeder Art und Branche umsetzen, verwalten und pflegen lassen.
