適用宣言書(SoA)の作成・更新のタイミングと記載内容は何ですか？

適用宣言書は、リスクアセスメントの実施後、管理策の選択結果を文書化するものです。
初回作成はISMS構築時ですが、以降もリスクアセスメントの見直しやシステム・業務の変更があり、管理策の選択や適用宣言書の記載事項に影響がある場合に適時改定する必要があります。

内容としては、以下を記載する必要があります。
①適用する管理策(JIS Q 27001附属書A全93項目)
②各管理策の選択/除外理由
③実施状況を記載します。少なくとも年1回の定期見直しをお勧めします。