Was ist die Erklärung zur Anwendbarkeit?
Abschnitt 6.1.3 d) der ISO/IEC 27001:2022 verlangt eine Erklärung zur Anwendbarkeit mit den erforderlichen Maßnahmen, der Begründung für ihre Aufnahme, der Angabe, ob sie umgesetzt sind, und der Begründung für den Ausschluss von Maßnahmen aus Anhang A. Sie verbindet Ihre Risikobehandlung mit Anhang A: Jede Maßnahme folgt aus einem Risiko, einer gesetzlichen oder vertraglichen Anforderung oder einer Geschäftsentscheidung.
Was hineingehört
- Maßnahme: Nummer und Titel aus Anhang A, zum Beispiel 5.15 Zugangssteuerung.
- Anwendbar: ja oder nein, für alle 93 Maßnahmen.
- Begründung: warum aufgenommen (Risiko, gesetzliche oder vertragliche Anforderung, Geschäftsbedarf, gute Praxis) oder ausgeschlossen (Tätigkeit findet nicht statt, Risiko besteht nicht, außerhalb des Geltungsbereichs).
- Umsetzungsstatus: umgesetzt, teilweise umgesetzt, geplant oder nicht umgesetzt.
- Nachweis und Verantwortliche: wo der Auditor sieht, dass es funktioniert, und wer zuständig ist.
- Version und Freigabe: Datum, Version und Freigabe; der Auditor prüft, ob sie zum aktuellen Risikobehandlungsplan passt.
Beispiel: SaaS-Unternehmen mit 60 Mitarbeitenden
Ein vollständig remote arbeitendes Softwareunternehmen, das sein Produkt bei einem ISO-27001-zertifizierten Cloud-Anbieter betreibt und selbst entwickelt. Acht Zeilen aus seiner SoA:
Häufige Feststellungen im Audit
- Eine Maßnahme ohne Begründung ausschließen, oder nur mit „nicht relevant“.
- Eine SoA, die nicht zum Risikobehandlungsplan passt oder noch die 114 Maßnahmen der ISO 27001:2013 enthält.
- Status „umgesetzt“ ohne Nachweis, den der Auditor einsehen kann.
- Keine Version, kein Datum, keine Freigabe: Niemand weiß, welche SoA gilt.
- Eine Maßnahme ausschließen, die der Geltungsbereich offensichtlich braucht, etwa Cloud-Sicherheit, wenn alles in der Cloud läuft.
Die SoA in Dazr erstellen
- Aus Ihren Controls: Jede Maßnahme aus Anhang A im ISO-27001-Framework bekommt eine Entscheidung anwendbar oder ausgeschlossen, mit Gründen und Begründung.
- Status aus der Arbeit selbst: Umsetzungsstatus, Nachweise und Prüfdatum kommen aus dem Control, die SoA bleibt aktuell.
- Filtern und freigeben: nach anwendbar oder ausgeschlossen filtern, eine Version freigeben und sehen, wann sich die SoA seit der letzten Freigabe geändert hat.
- Export: PDF für den Auditor, CSV oder Excel zum Weiterarbeiten; der Auditor kann sie auch schreibgeschützt einsehen.
- Tarif: Die Erklärung zur Anwendbarkeit ist Teil von Pro, 99 € im Monat, 14 Tage kostenlos testen.
Dazr hilft Ihnen, die SoA aufzubauen und zu belegen; Dazr zertifiziert nicht. Die Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle.
Quelle: ISO/IEC 27001:2022, Abschnitt 6.1.3 und Anhang A (93 Maßnahmen). Zuletzt geprüft am 19. Oktober 2026.
Häufige Fragen
Müssen alle 93 Maßnahmen in die SoA?
Ja. Jede Maßnahme aus Anhang A erscheint mit einer Entscheidung. Ausgeschlossene Maßnahmen bleiben im Dokument, mit der Begründung des Ausschlusses.
Dürfen wir eine Maßnahme ausschließen?
Ja, mit Begründung, zum Beispiel weil die Tätigkeit nicht stattfindet, das Risiko nicht besteht oder sie außerhalb des Geltungsbereichs liegt. „Nicht relevant“ allein ist keine Begründung.
Gibt es eine offizielle Vorlage?
Nein. ISO/IEC 27001 schreibt den Inhalt vor, nicht die Form. Üblich ist eine Tabelle mit Maßnahme, Anwendbarkeit, Begründung, Status und Nachweis.
Sind wir mit Dazr ISO-27001-zertifiziert?
Nein. Dazr hält Ihre Controls, Nachweise und SoA für das Audit in Ordnung; das Zertifikat stellt eine akkreditierte Zertifizierungsstelle aus.