SOA

STATEMENT OF APPLICABILITY (SOA)

Die Auswahl und Anwendbarkeit der Sicherheitsmaßnahmen erfolgt gemäß dem Statement of Applicability (SoA), das Bestandteil des ISMS ist.

Die SoA enthält alle 93 Kontrollen des Annex A der ISO/IEC 27001:2022, deren Anwendbarkeit, Implementierungsstatus sowie interne Referenzen zu Richtlinien, Prozessen und Nachweisen. Die SoA wird im zentralen Dokumentenmanagementsystem (DMS) versioniert geführt und ist als vertraulich klassifiziert. Das Dokument wird bei Bedarf autorisierten Parteien unter NDA bereitgestellt.

Für den Anwendungsbereich gilt: Alle Annex-A-Kontrollen sind anwendbar - es wurden keine Ausschlüsse vorgenommen. Der Implementierungsstatus wird regelmäßig im Rahmen interner Audits und des Management-Reviews überprüft.

AUSWAHLKRITERIEN FÜR DIE ANWENDBARKEIT VON SICHERHEITSMAßNAHMEN

Die Auswahl und Begründung der in der SoA enthaltenen Controls erfolgt anhand definierter Kriterien. Pro Maßnahme können ein oder mehrere Gründe angewendet werden:

1. Risikobasiert Die Maßnahme resultiert aus einem identifizierten Risiko und steuert klar, ob und in welcher Ausprägung sie umgesetzt wird.

2. Organisatorische Vorgaben Die Maßnahme basiert auf internen Anforderungen (z. B. Richtlinien, Standards, Prozesse) und wird gegen diese geprüft.

3. Vertragliche Vorgaben Die Maßnahme ergibt sich aus Anforderungen aus Verträgen (z. B. Kunden, Lieferanten, AVV).

4. Rechtliche Vorgaben Die Maßnahme basiert auf gesetzlichen oder regulatorischen Anforderungen.

5. Best Practice Die Maßnahme entspricht anerkannten Standards (z. B. ISO/IEC 27002, IT Grundschutz, CIS) und gilt als Stand der Technik.

HINWEIS Mehrere Kriterien können kombiniert werden und werden kumulativ zur Begründung herangezogen.