Soa (Statement of Applicability — Uttalande om tillämplighet) är en inventering av organisationens arbete med informationssäkerhet. Ett SoA-dokument kan du använda som beslutsunderlag för val av säkerhetsinsatser. SoA-dokumentet beskriver också vilka åtgärder och därmed kontroller som ingår i ert ISMS-arbete.