Vorlagen und Aufzeichnungen · ISO 27001 · Abschnitt 6.1.3

Vorlage für die Erklärung zur Anwendbarkeit nach ISO 27001

Das Dokument, das die Risikobeurteilung mit den 93 Maßnahmen aus Anhang A verbindet: welche angewendet werden, warum, welche nicht und wie weit jede umgesetzt ist.

In einem Satz

Die Erklärung zur Anwendbarkeit (SoA) ist das Dokument, das nach Abschnitt 6.1.3 d) von ISO/IEC 27001 die zur Risikobehandlung notwendigen Maßnahmen aufführt, ihre Aufnahme begründet, angibt, ob sie umgesetzt sind, und jeden Ausschluss einer Maßnahme aus Anhang A begründet; der Auditor verlangt sie als Erstes, weil sie den tatsächlichen Umfang der Zertifizierung festlegt.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27001 · Abschnitt 6.1.3 Die Abschnitte folgen ISO/IEC 27001:2022; die mit „A.“ beginnenden sind Maßnahmen aus Anhang A, verbindlich in dem Umfang, in dem die Erklärung zur Anwendbarkeit sie aufnimmt.
Art der Information: Pflichtdokument Nach 6.1.3 d) verlangtes Dokument, das aktuell gehalten wird
Wer sie ausfüllt: Informationssicherheitsbeauftragter Genehmigt wird sie von der obersten Leitung, gemeinsam mit den Risikoeigentümern
Wann: Nach jeder Risikobeurteilung Und immer, wenn sich der Stand einer Maßnahme oder der Anwendungsbereich des Systems ändert
Wie lange sie aufbewahrt wird: Gültige und frühere Versionen Es empfiehlt sich, die abgelösten Versionen des Zertifizierungszyklus aufzubewahren: Der Auditor vergleicht, was sich geändert hat und warum (7.5.3).

Was die Norm verlangt

Was ISO 27001 fordert und was Ihrem Ermessen überlassen bleibt

Nach der Risikobeurteilung verlangt die Norm, die zur Behandlung notwendigen Maßnahmen auszuwählen und mit Anhang A abzugleichen, um sicherzustellen, dass keine notwendige ausgelassen wurde. Das Ergebnis wird in der Erklärung zur Anwendbarkeit festgehalten, die die notwendigen Maßnahmen, die Begründung ihrer Aufnahme, ihren Umsetzungsstand und die Begründung der Ausschlüsse enthalten muss.

Die Norm verpflichtet nicht dazu, alle 93 Maßnahmen anzuwenden, wohl aber dazu, über jede zu entscheiden. Zulässig sind auch eigene Maßnahmen oder solche aus anderen Rahmenwerken, die neben denen aus Anhang A in die Erklärung aufgenommen werden.

Sie ist ein lebendes Dokument: Sie ändert sich, wenn sich Risiken, Anwendungsbereich oder Umsetzungsstand ändern, und ihre gültige Version wird im Zertifikat genannt.

Im Zusammenhang lesen: Planung, in der Akademie zu ISO 27001

Aufbau

Felder, die die Vorlage enthalten sollte

Kennung und Bezeichnung der Maßnahme (Anhang A oder anderes Rahmenwerk)
Anwendbar? Ja oder nein
Begründung der Aufnahme: Risiko, gesetzliche oder vertragliche Anforderung
Begründung des Ausschlusses, falls nicht anwendbar
Umsetzungsstand: umgesetzt, in Arbeit, geplant
Verweis auf den Nachweis oder das ausführende Verfahren
Eigentümer der Maßnahme
Version, Datum und Genehmigung

Beispiel

Beispiel: drei Zeilen aus der SoA eines Softwareunternehmens

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Organisation	Nubeta Digitaldienste GmbH (fiktiv) · SaaS-Plattform · 80 Personen
5.23 Informationssicherheit für die Nutzung von Cloud-Diensten	Anwendbar · Risiko R-07 (Hosting-Anbieter) und Kundenverträge · Umgesetzt · Verfahren PS-12
7.4 Physische Sicherheitsüberwachung	Anwendbar · Risiko R-15 (Zutritt zum Büro) · In Arbeit: Kameras für März 2027 geplant
8.30 Ausgegliederte Entwicklung	Nicht anwendbar · Die gesamte Entwicklung erfolgt intern; Überprüfung, falls extern vergeben wird
Eigene Maßnahme	NB-01 Überprüfung der Berechtigungen im Code-Repository · Anwendbar · Risiko R-03 · Umgesetzt
Version	v6 · genehmigt vom Leitungsausschuss am 9. September 2026

Im Audit

Fehler, die Auditoren häufig feststellen

Ausschlüsse werden mit „nicht anwendbar“ begründet, ohne zu sagen, warum.
Maßnahmen sind als umgesetzt markiert, ohne dass ein Nachweis dies stützt.
Die SoA nennt nicht, welches Risiko jede Maßnahme rechtfertigt: Der Bezug zur Beurteilung ist nicht erkennbar.
Die Version weicht von der im Zertifikat oder im Auditbericht genannten ab.
Es wird weiterhin die Struktur mit 114 Maßnahmen aus der Ausgabe 2013 verwendet.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Die Erklärung zur Anwendbarkeit enthält die Maßnahmen aus Anhang A mit ihrem Umsetzungsstand.
2Jede Maßnahme ist mit dem Nachweis, der sie belegt, und mit den Risiken, die sie behandelt, verknüpft.
3Die Erklärung ist ein gelenktes, versioniertes Dokument: Es bleibt festgehalten, wer jede Version wann genehmigt hat.

Häufige Fragen

Was man uns vor dem Start fragt

Darf eine Maßnahme aus Anhang A ausgeschlossen werden?

Ja, sofern der Ausschluss begründet ist: weil das Risiko im Anwendungsbereich nicht besteht, weil es durch eine andere Maßnahme behandelt wird oder weil die Tätigkeit nicht vorkommt. Was die Norm nicht zulässt, ist, eine Maßnahme zu übergehen, ohne Stellung zu nehmen.

Taugt die SoA des ENS für ISO 27001?

Nicht unmittelbar. Das ENS hat eine eigene Erklärung zur Anwendbarkeit zu den Maßnahmen in Anhang II des Real Decreto 311/2022. Viele Maßnahmen entsprechen solchen aus Anhang A, und es lohnt sich, die Zuordnung zu pflegen, doch es bleiben zwei verschiedene Dokumente.

Führen Sie die Aufzeichnungen zu ISO 27001 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken

Woher jede Angabe stammt

Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.

ISO/IEC 27001:2022 — Informationssicherheits-Managementsysteme. Anforderungen ISO/IEC · 25. Oktober 2022
ISO/IEC 27002:2022 — Informationssicherheitsmaßnahmen ISO/IEC · Februar 2022