Ja. Die Norm verlangt für jeden einzelnen Control aus Anhang A eine Entscheidung über die Anwendbarkeit samt Begründung. Nicht anwendbare Controls dürfen nicht weggelassen, sondern müssen mit Begründung als ausgeschlossen dokumentiert werden. Ein SoA mit weniger als 93 Zeilen ist im Audit unvollständig.

Nein. Wirtschaftliche Gründe rechtfertigen keine Nicht-Anwendbarkeit. Ist ein Control grundsätzlich einschlägig, wird er als anwendbar geführt und der Status auf „nicht umgesetzt“ gesetzt; das verbleibende Risiko gehört als bewusst akzeptiert mit Freigabe der Leitung ins Risikoregister.

Die gebräuchliche deutsche Bezeichnung ist „Erklärung zur Anwendbarkeit“, häufig verkürzt zu „Anwendbarkeitserklärung“. In der Praxis wird meist die englische Abkürzung SoA verwendet, weil Zertifizierungsstellen und Normtexte sie durchgängig nutzen.

93 Controls in vier Themen: A.5 Organisatorische Maßnahmen (37), A.6 Personelle Maßnahmen (8), A.7 Physische Maßnahmen (14) und A.8 Technologische Maßnahmen (34). Die Fassung von 2022 hat die vorher 114 Controls zusammengefasst und elf neue ergänzt.