Für jede Anforderung eines Katalogs entscheiden Sie, ob sie für Ihre Organisation gilt, und begründen das. Aus diesen Entscheiden entsteht die Erklärung zur Anwendbarkeit (SoA), die eine zweite Person freigibt. Diese Anleitung richtet sich an ISMS-Verantwortliche und an alle, die Anforderungen verwalten.

Bevor Sie beginnen

  • Sie brauchen einen übernommenen oder eigenen Katalog, siehe Anforderungskataloge übernehmen.
  • Anwendbarkeit festlegen und Fassungen erstellen dürfen Personen mit dem Recht „Anforderungen verwalten (inkl. Anwendbarkeit)“, standardmässig die ISMS-Verantwortlichen.
  • Freigeben darf eine andere Person mit dem Recht „Erklärung zur Anwendbarkeit freigeben“, standardmässig die oberste Leitung.
  • Bei ISO/IEC 27001 Anhang A hilft es, wenn die Risikobehandlung schon steht: Anforderungen, die eine Massnahme der Risikobehandlung umsetzt, gelten damit als begründet aufgenommen.
  1. ISMS-VerantwortlicheAnwendbarkeit festlegen

    Je Anforderung, mit Begründung.

  2. ISMS-VerantwortlicheAbgleich prüfen

    Blockierende Punkte klären.

  3. ISMS-VerantwortlicheFassung erstellen

    Varmo friert den Stand ein.

  4. Oberste LeitungFreigeben

    Nie, wer die Fassung erstellt hat.

Zurückgewiesen

Die erstellende Person erhält eine Pendenz zur Überarbeitung.

Später geändert

Bei wesentlichen Änderungen entsteht die Pendenz „Erklärung zur Anwendbarkeit aktualisieren“.

Von der Anwendbarkeit zur freigegebenen Erklärung

Vier Schritte: Je Anforderung die Anwendbarkeit festlegen und begründen. Im Abgleich die blockierenden Punkte klären. Eine Fassung erstellen; Varmo friert den Stand ein. Eine andere Person gibt die Fassung frei, standardmässig die oberste Leitung. Bei einer Zurückweisung überarbeitet die erstellende Person die Fassung. Ändert sich später etwas Wesentliches, entsteht eine Pendenz zur Aktualisierung.

Anwendbarkeit festlegen

  1. Öffnen Sie Anforderungen › Kataloge, wählen Sie den Katalog und klicken Sie auf Anwendbarkeit festlegen.
  2. Jede Anforderung hat einen von drei Zuständen: Nicht beurteilt, Anwendbar oder Nicht anwendbar. Neue Anforderungen beginnen immer mit „Nicht beurteilt“.
  3. Für Anwendbar wählen Sie eine Begründung der Aufnahme: Gesetz oder Vorschrift, Vertrag, Interessierte Partei oder Entscheid der Organisation. Gründe aus der Risikobehandlung ergänzt Varmo selbst; mit einem Klick übernehmen Sie diese Anforderungen als anwendbar.
  4. Für Nicht anwendbar schreiben Sie eine Begründung, zum Beispiel „Kein eigenes Rechenzentrum – Betrieb vollständig in der Cloud“.
  5. Mehrere Anforderungen oder ganze Kapitel wählen Sie gemeinsam aus und entscheiden sie mit derselben Begründung. Suche und Filter (z. B. „Begründung fehlt“) helfen bei grossen Katalogen.
  6. Klicken Sie zum Schluss auf … Änderungen speichern.

Einzelne Anforderungen ändern Sie auch direkt auf der Anforderung im Abschnitt „Anwendbarkeit“.

Abgleich prüfen

Unter Anforderungen › Abgleich sehen Sie je Katalog, was vor der Erklärung zur Anwendbarkeit noch zu klären ist:

  • Blockierend: anwendbare Anforderungen ohne Begründung der Aufnahme und ausgeschlossene Anforderungen, die eine Risikobehandlung umsetzt.
  • Hinweise: anwendbare Anforderungen ohne Umsetzung und ohne Massnahme, Gefährdungen behandelter Risiken ohne passende Anforderung oder Anforderungen, die nur mit „Entscheid der Organisation“ begründet sind.

Erklärung zur Anwendbarkeit erstellen und freigeben

  1. Sind alle Anforderungen beurteilt, klicken Sie auf Erklärung zur Anwendbarkeit erstellen oder öffnen Anforderungen › Erklärung zur Anwendbarkeit und klicken auf Fassung erstellen.
  2. Wählen Sie den Katalog und beschreiben Sie den Anlass / Änderungen, z. B. „Jährliche Überprüfung“.
  3. Varmo friert den Stand ein: Anwendbarkeit, Begründungen, Umsetzung, Massnahmen, Kontrollen, Richtlinien und Dokumente. Gibt es blockierende Punkte aus dem Abgleich oder noch nicht beurteilte Anforderungen, zeigt der Dialog das und lässt das Erstellen nicht zu.
  4. Die freigebende Person öffnet die Fassung und wählt Freigeben oder Zurückweisen. Beim Zurückweisen begründet sie den Entscheid und kann Anmerkungen zu einzelnen Anforderungen machen.

Wer eine Fassung erstellt hat, kann sie nicht selbst freigeben (Vier-Augen-Prinzip). Je Katalog ist höchstens eine Fassung offen.

Was danach passiert

  • Nach dem Erstellen erhalten die Personen mit Freigaberecht eine Pendenz in Meine Pendenzen.
  • Nach der Freigabe gilt die Fassung und ersetzt die bisherige. Die Managementbewertung zeigt ab dann diese Fassung.
  • Nach einer Zurückweisung erhält die erstellende Person eine Pendenz, die Fassung zu überarbeiten.
  • Ändert sich später etwas Wesentliches (neue Anforderung, geänderte Anwendbarkeit, weggefallene Begründung), zeigt die Seite einen Hinweis, und es entsteht die Pendenz „Erklärung zur Anwendbarkeit aktualisieren“.

Jede Fassung lässt sich mit Drucken / PDF ausgeben oder als CSV herunterladen.

Häufige Fragen

Wir haben die SoA schon ausserhalb von Varmo freigegeben. Muss das noch einmal sein?

Nein. Bei einer Fassung zur Prüfung wählen Sie Bestehende Freigabe übernehmen und halten fest, wer wann freigegeben hat; ein PDF-Nachweis ist freiwillig. Die Fassung bleibt als übernommen gekennzeichnet, die nächste Fassung geht wieder über die Freigabe in Varmo.

Gilt die Anwendbarkeit automatisch auch für gleichwertige Anforderungen in anderen Katalogen?

Nein, sie gilt je Katalog. Wenn Sie auf der Anforderung Anwendbarkeit ändern wählen, können Sie die Entscheidung per Häkchen auch für identische Anforderungen in anderen Katalogen festhalten. Siehe Entsprechungen zwischen Katalogen.

Braucht jeder Katalog eine eigene Erklärung zur Anwendbarkeit?

Eine Fassung bezieht sich immer auf einen Katalog. Weitere Kataloge ergänzen die Erklärung zu Anhang A, sie ersetzen sie nicht.