Anwendbarkeitserklärung ISO 27001 mit Vorlage

Dieser Leitfaden zeigt, was hineingehört und wie Sie in sieben Schritten vorgehen. Dazu kommen eine Vorlage als Tabelle, ein Beispiel aus der Industrie, die typischen Fehler und der Weg, wie die Erklärung aktuell bleibt.

Was die Anwendbarkeitserklärung leistet

Die Erklärung verbindet Ihre Risikobeurteilung und Risikobehandlung mit den Maßnahmen, die Sie tatsächlich betreiben. Weil sie je Maßnahme nur eine Zeile braucht, bleibt sie kompakt und ist damit die Übersicht über Ihr ISMS.

Anhang A ist dabei ein Referenzkatalog, keine Pflichtliste. Er enthält 93 Maßnahmen in vier Themen: organisatorisch (37), personenbezogen (8), physisch (14) und technologisch (34). Sie entscheiden je Maßnahme, ob sie für Ihren Geltungsbereich erforderlich ist.

Im Zertifizierungsaudit ist die Erklärung ein zentraler Bezugspunkt: Auditoren prüfen, ob die Maßnahmen so umgesetzt sind, wie sie dort beschrieben sind, und sehen sich Ausschlüsse besonders genau an.

Was hineingehört

Vier Angaben sind nach Abschnitt 6.1.3 d erforderlich:

Die erforderlichen Maßnahmen. Das sind die Maßnahmen aus Ihrer Risikobehandlung, auch solche, die nicht in Anhang A stehen.
Die Begründung für die Aufnahme. Warum ist die Maßnahme erforderlich?
Der Umsetzungsstand. Ist die Maßnahme umgesetzt oder nicht?
Die Begründung für den Ausschluss. Warum ist eine Maßnahme aus Anhang A nicht aufgenommen?

Für die tägliche Arbeit lohnen sich weitere Angaben, auch wenn sie über diese vier Punkte hinausgehen: der Nachweis, die verantwortliche Person, der Verweis auf das zugehörige Risiko und die nächste Überprüfung. Für das Dokument selbst gehören Version, Datum und Freigabe dazu.

Vorlage für die Anwendbarkeitserklärung

Die Tabelle zeigt den Aufbau. Alle Inhalte sind erfundene Beispiele, die Bezeichnungen sind Kurztitel in eigenen Worten und kein Normtext. Übernehmen Sie die Spalten in Ihre Datei und führen Sie je Maßnahme aus Anhang A eine Zeile, dazu eine Zeile je eigener Maßnahme.

Maßnahme	Anwendbar	Begründung	Status	Nachweis
A.5.19 Lieferantenrisiken steuern	Ja	Risikobehandlung: Dienstleister haben Zugang zu Daten und Systemen	Teilweise umgesetzt	Lieferantenrichtlinie, Bewertungsliste
A.6.7 Homeoffice und mobiles Arbeiten	Ja	Risikobehandlung: Beschäftigte arbeiten mobil mit Firmengeräten	Umgesetzt	Richtlinie zum mobilen Arbeiten
A.7.4 Gelände- und Raumüberwachung	Ja	Risikobehandlung: unbefugter Zutritt zum Serverraum	Geplant	Aufgabe im Risikobehandlungsplan
A.8.13 Backup und Wiederherstellungstest	Ja	Risikobehandlung und Kundenvertrag: Verfügbarkeit der Auftragsdaten	Umgesetzt	Protokoll des letzten Wiederherstellungstests
A.8.30 Externe Entwickler und Integratoren	Nein	Im Geltungsbereich wird keine Entwicklung vergeben; geprüft anhand der Lieferantenliste	–	–
X.1 Eigene Maßnahme: Freigabe von Fernwartung	Ja	Kundenvertrag: Fernzugriffe nur nach Freigabe	Umgesetzt	Verfahrensanweisung, Freigabeprotokoll

Für die Spalte Status genügen vier Werte: Offen, Geplant, Teilweise umgesetzt und Umgesetzt. Bei „Nein“ reicht die Begründung; Status und Nachweis bleiben leer.

In sieben Schritten zur Anwendbarkeitserklärung

Geltungsbereich klären. Legen Sie fest, welche Standorte, Prozesse und Systeme zum ISMS gehören. Alle Entscheidungen gelten für genau diesen Bereich. Gehört die Produktion dazu, zählen auch Anlagen und Steuerungen.
Risiken beurteilen und Behandlung festlegen. Aus der Risikobehandlung ergibt sich, welche Maßnahmen erforderlich sind (Abschnitte 6.1.2 und 6.1.3). Dieser Schritt kommt vor der Erklärung, nicht danach.
Mit Anhang A abgleichen. Gehen Sie alle 93 Maßnahmen durch und prüfen Sie, ob Sie eine erforderliche Maßnahme übersehen haben (Abschnitt 6.1.3 c).
Weitere Anforderungen ergänzen. Gesetze, Verträge und Branchenvorgaben können Maßnahmen verlangen, die aus der Risikobeurteilung allein nicht folgen. Nehmen Sie diese auf, bei Bedarf als eigene Maßnahmen.
Je Maßnahme begründen. Nennen Sie für Aufnahme und Ausschluss den konkreten Grund: ein Risiko, eine Pflicht, einen Vertrag oder eine überprüfbare Tatsache in Ihrem Geltungsbereich.
Umsetzungsstand und Nachweis eintragen. Eine erforderliche Maßnahme, die noch fehlt, bleibt in der Erklärung, mit dem Status „Geplant“ und einer Aufgabe im Risikobehandlungsplan.
Prüfen und freigeben. Lassen Sie eine zweite Person gegenlesen, geben Sie den Stand als Version frei und halten Sie Datum und Änderungsgrund fest.

Beispiel aus einem Industrieunternehmen

Das Beispiel ist erfunden. Ein mittelständischer Maschinenbauer hat Verwaltung und Fertigung an zwei Standorten und schreibt die Steuerungssoftware seiner Anlagen zum Teil selbst. Der Geltungsbereich umfasst beide Standorte einschließlich der Fertigung. Drei Entscheidungen zeigen, worauf es ankommt:

Eigene Entwicklung (A.8.28): Die Maßnahme ist anwendbar, weil das Unternehmen selbst Steuerungssoftware entwickelt. Die Begründung verweist auf das Risiko von Fehlern im ausgelieferten Code. Der Status ist „Teilweise umgesetzt“: Die Programmierregeln liegen vor, das Code-Review läuft noch nicht durchgängig.
Externe Integratoren (A.8.30): Im ersten Entwurf steht „Nein“ mit der Begründung „Wir entwickeln selbst“. Beim Gegenlesen fällt der Fertigungsleitung auf, dass ein Integrator an einer Anlage Steuerungsprogramme anpasst. Der Ausschluss entfällt, und die Sicherheitsanforderungen an den Integrator kommen in den Vertrag.
Fernwartung (eigene Maßnahme): Ein Kunde verlangt vertraglich, dass Fernzugriffe auf seine Anlagen einzeln freigegeben und protokolliert werden. Das Unternehmen nimmt die Vorgabe als eigene Maßnahme auf und nennt den Vertrag als Begründung.

Eine gute Erklärung entsteht also, wenn Fertigung, Einkauf und Vertrieb mitreden, nicht nur die IT.

Typische Fehler

Ausfüllen ohne Risikobehandlung. Wird die Tabelle unabhängig von der Risikobeurteilung gefüllt, passen Erklärung und Risikobehandlungsplan nicht zusammen.
Begründungen ohne Inhalt. „Nicht relevant“ erklärt nichts. Besser ist eine Tatsache, die jemand nachprüfen kann.
„Nicht umgesetzt“ und „nicht anwendbar“ verwechseln. Was erforderlich ist, aber noch fehlt, ist kein Ausschluss.
Ausschluss wegen Aufwand oder Kosten. Beides begründet nicht, dass eine Maßnahme nicht erforderlich ist.
Gesetze und Verträge vergessen. Maßnahmen, die eine Pflicht oder ein Kunde verlangt, gehören hinein, auch ohne eigenes Risiko im Register.
„Umgesetzt“ ohne Nachweis. Ein Status ohne Richtlinie, Protokoll oder Ticket lässt sich im Audit nicht belegen.
Mehrere Fassungen. Geht die Datei per E-Mail herum, ist oft unklar, welcher Stand gilt.

So bleibt die Erklärung aktuell

Die Erklärung ist kein einmaliges Projekt. Ändern sich Risiken oder Geltungsbereich, aktualisieren Sie sie. Typische Anlässe sind:

neue oder neu bewertete Risiken und Ergebnisse aus Sicherheitsvorfällen,
neue Standorte, Anlagen, Systeme oder Lieferanten,
neue gesetzliche oder vertragliche Anforderungen,
Feststellungen aus internen und externen Audits.

Zusätzlich empfehlen wir eine feste Überprüfung einmal im Jahr. Jede Änderung wird zu einer neuen Version mit Änderungsgrund, die alte bleibt nachvollziehbar erhalten.

Für den ersten Entwurf reicht eine Tabelle. Aufwendig wird es, sobald mehrere Personen mitarbeiten: Versionen wandern durch Postfächer, Nachweise bestehen nur als Dateiname in einer Zelle, und eine Spalte „Verantwortlich“ erinnert niemanden an die nächste Überprüfung.

Die Anwendbarkeitserklärung in Complass

In Complass ist der Katalog zu Anhang A Ihre Anwendbarkeitserklärung. Excel bleibt ein Werkzeug für Ein- und Ausgabe, der laufende Stand liegt im Portal:

Vorhandenes übernehmen. Ihre bestehende Liste importieren Sie aus Excel oder CSV: Anwendbarkeit, Begründung, Status, Nachweis, Verantwortliche und Prüfzyklus. Vorher zeigt eine Vorschau die Fehler je Zeile.
Je Maßnahme entscheiden. Sie erfassen Anwendbarkeit, Begründung, Status und Nachweis. Die Umsetzungshilfe nennt dazu Ziel, Schritte, typische Nachweise und häufige Feststellungen. Der Filter „Begründung fehlt“ zeigt die Lücken.
Mit Risiken verbinden. Risiken verknüpfen Sie mit Einträgen der Erklärung. Der Katalog zeigt umgekehrt, welche Risiken eine Anforderung begründen.
Eigene Maßnahmen ergänzen. Maßnahmen aus Branchenvorgaben oder Verträgen legen Sie unter „Eigene Controls“ an. Sie werden wie alle Einträge bewertet und freigegeben.
Aktuell halten. Je Eintrag legen Sie eine verantwortliche Person und einen Überprüfungszyklus fest, das Portal erinnert rechtzeitig. Nachweise tragen auf Wunsch ein Ablaufdatum. Erledigte Aufgaben und neue Nachweise führen zu einem Statusvorschlag, den eine Person übernimmt oder ablehnt; von selbst ändert sich kein Status.
Als Version freigeben. Die Freigabe ist erst möglich, wenn jeder Eintrag entschieden und begründet ist. Auf Wunsch gilt das Vier-Augen-Prinzip. Jede Version wird unveränderlich mit Prüfsumme gespeichert und bleibt gültig, bis die nächste freigegeben ist.
Weitergeben. Den aktuellen Stand exportieren Sie als Word, Excel oder PDF, freigegebene Versionen als Word oder PDF. Ihren Auditor laden Sie kostenlos zu einer Prüfung ein, befristet und mit Protokoll jedes Zugriffs.

Die Normtexte sind nicht enthalten, weil Normen urheberrechtlich geschützt sind. Die Zertifizierung selbst erfolgt durch eine akkreditierte Zertifizierungsstelle; Complass bereitet Sie darauf vor.

Häufige Fragen

Sind Anwendbarkeitserklärung, Erklärung zur Anwendbarkeit und SoA dasselbe?

Ja. Alle drei Begriffe bezeichnen dasselbe Dokument nach ISO/IEC 27001:2022, Abschnitt 6.1.3 d. SoA steht für den englischen Namen Statement of Applicability.

Müssen wir alle 93 Maßnahmen aus Anhang A umsetzen?

Nein. Sie bewerten alle 93 Maßnahmen, umsetzen müssen Sie die erforderlichen. Eine Maßnahme können Sie ausschließen, wenn sie für Ihren Geltungsbereich nicht erforderlich ist, und begründen das in der Erklärung. Wer zum Beispiel niemanden mobil oder im Homeoffice arbeiten lässt, kann die Maßnahme dazu mit dieser Begründung ausschließen.

Reicht eine Excel-Vorlage für die Anwendbarkeitserklärung?

Für den Anfang ja. Die Vorlage oben können Sie direkt als Tabelle anlegen. Für den laufenden Betrieb fehlen einer Datei aber Erinnerungen, Freigaben, Versionen und die Verbindung zu den Nachweisen. Ihre Tabelle übernehmen Sie in Complass per Import, und als Export steht Excel weiter zur Verfügung.

Unsere Erklärung stammt noch aus der Ausgabe 2013. Was ist zu tun?

Die Ausgabe 2013 hatte 114 Maßnahmen in 14 Bereichen, die Übergangsfrist auf die Ausgabe 2022 endete am 31. Oktober 2025. Ordnen Sie Ihre Einträge der neuen Struktur mit 93 Maßnahmen zu und prüfen Sie die 11 neu hinzugekommenen Maßnahmen gesondert.

Ändert die Klima-Ergänzung von 2024 die Anwendbarkeitserklärung?

Nicht unmittelbar. ISO/IEC 27001:2022/Amd 1:2024 ergänzt die Abschnitte 4.1 und 4.2: Sie stellen fest, ob der Klimawandel für Sie ein relevantes Thema ist, und interessierte Parteien können dazu Anforderungen haben. Neue Maßnahmen kommen in Anhang A nicht hinzu. Ergeben sich aus Ihrer Prüfung neue Risiken oder Maßnahmen, tragen Sie diese wie jede andere Änderung ein.

In einer Demo zeigen wir Ihnen, wie Anwendbarkeit, Begründung, Nachweise und Freigabe in Complass zusammenlaufen.

Demo anfragen 14 Tage testen

Weiterlesen

Keine Rechtsberatung. Dieser Leitfaden gibt einen allgemeinen Überblick und ersetzt nicht die Prüfung im Einzelfall. Maßgeblich ist der Wortlaut Ihrer lizenzierten Ausgabe der Norm.

Anwendbarkeitserklärung (SoA) nach ISO 27001 erstellen, mit Vorlage