Glossarbegriff
Statement of Applicability (SoA)
Auch: SoA, Anwendbarkeitserklärung
Das Statement of Applicability ist ein Pflicht-Dokument im ISO-27001-ISMS, das pro Control aus Annex A dokumentiert, ob es anwendbar ist und mit welcher Begründung. Ein gutes SoA ist die zentrale Audit-Eintrittsstelle.
Das SoA listet alle 93 Controls aus ISO 27001:2022 Annex A auf und dokumentiert pro Control: anwendbar oder nicht, Implementierungsstatus, Verweis auf Policy oder Verfahrensanweisung, Begründung bei Nichtanwendbarkeit.
In der Praxis ist das SoA das Dokument, das Auditoren als erstes öffnen. Generische Begründungen ('nicht anwendbar, da nicht relevant') werden routinemäßig hinterfragt; das SoA muss die organisations-spezifische Logik der Anwendbarkeit erkennen lassen.
In der Praxis
Im DecisionOS-Workflow zur ISO 27001:2022 Re-Zertifizierung wird das SoA pro Control als Decision Memo mit Begründung geführt, damit Änderungen versioniert und zurückverfolgbar sind.
Verwandte Begriffe
Compliance mapping
The explicit link between a decision (vendor, architecture, control) and the specific regulatory articles, controls or standards it satisfies. Without compliance mapping, a memo cannot be defended under audit against a named clause.
Decision memo
A short structured document that captures why a decision was made, the options considered, the criteria and trade-offs, the stakeholders involved and the accepted risks. A good decision memo is auditable months later.
Audit-ready decision
A decision whose record is structured, evidence-backed and stakeholder-signed to a level that a third-party auditor, a supervisor or a board reviewer can reconstruct the reasoning without interviewing the original team.
SASE
Gartner-Architekturkategorie, die Netzwerk- (SD-WAN) und Security-Funktionen (SWG, CASB, ZTNA, FWaaS, RBI) in einer Cloud-Plattform zusammenfasst. Pendant aus SSE (Security Service Edge) ohne SD-WAN-Anteil.
SBOM
Maschinenlesbares Inventar aller Komponenten einer Software inkl. Versionen, Lizenzen und Abhängigkeiten. Formate: SPDX, CycloneDX, SWID. Pflicht in regulierten Bereichen, in den USA durch Executive Order 14028 vorgegeben.
Schrems II
EuGH-Urteil vom 16. Juli 2020, das den EU-US Privacy Shield für ungueltig erklärte und Standardvertragsklauseln (SCC) nur unter Zusatzgarantien zuliess. Folge: Datenübermittlungen in die USA brauchen Transfer Impact Assessment (TIA) plus zusätzliche Schutzmaßnahmen.
SOC 2 Type 2
Prüfbericht eines US-Wirtschaftsprüfers nach AICPA-Standard SSAE 18, der die Wirksamkeit der Kontrollen eines Dienstleisters über einen Zeitraum (typischerweise 6-12 Monate) bestätigt. Bezieht sich auf Trust Service Criteria.
Sovereign Cloud
Cloud-Angebot, in dem nicht nur Daten, sondern auch Operations, Personal, Schlüssel und Jurisdiktion innerhalb einer definierten Souveränitäts-Zone (typisch EU oder Mitgliedstaat) liegen. Die Tiefe der Sovereignty variiert pro Anbieter.