SOC 2 belastbar nachweisen.

Security ist das einzige verpflichtende Kriterium in jedem SOC 2 Bericht. Availability, Confidentiality, Processing Integrity und Privacy sind optional und werden je nach Kundenanforderungen ergänzt. SaaS-Anbieter mit sensiblen Kundendaten wählen häufig Confidentiality und Availability dazu.

Die meisten Enterprise-Kunden und US-amerikanischen Auftraggeber fordern einen Typ-2-Bericht, da er die tatsächliche Wirksamkeit der Kontrollen über einen Beobachtungszeitraum belegt. Typ 1 eignet sich als erster Schritt, wenn noch kein Beobachtungszeitraum vorliegt oder Kunden schnell einen ersten Nachweis benötigen. Für langfristige Vertragsbeziehungen ist Typ 2 der de facto Standard.

SOC 2 ist besonders relevant für SaaS-Unternehmen, Cloud-Dienstleister und Technologieunternehmen, die US-amerikanische oder internationale Enterprise-Kunden bedienen, die einen SOC 2 Nachweis fordern. Es ist kein gesetzlicher Standard, aber zunehmend vertragliche Anforderung.

Beide Standards adressieren Informationssicherheit, haben aber unterschiedliche Methoden und Zielgruppen. ISO 27001 ist normbasiert und zertifizierbar, SOC 2 ist ein Prüfbericht durch einen Wirtschaftsprüfer. Unternehmen mit ISO 27001 haben eine gute Basis für SOC 2, da viele Kontrollen überlappen.

Die Readiness-Phase dauert typischerweise 3 bis 6 Monate. Anschließend folgt der Beobachtungszeitraum für Typ 2 von 6 bis 12 Monaten. Insgesamt ist mit 9 bis 18 Monaten bis zum ersten Typ-2-Bericht zu rechnen.

SOC 2 Berichte dürfen ausschließlich von zugelassenen US-amerikanischen Wirtschaftsprüfungsgesellschaften (CPA-Firmen) ausgestellt werden. Anders als bei ISO 27001 gibt es keine europäischen Zertifizierungsstellen, die dazu berechtigt sind. Für deutsche Unternehmen bedeutet das in der Praxis die Zusammenarbeit mit einer der großen internationalen Prüfungsgesellschaften oder einer spezialisierten CPA-Firma. Die Beratungsgesellschaft, die die Readiness-Vorbereitung übernimmt, darf nicht identisch mit dem Auditor sein.

Die Kosten hängen von der Ausgangssituation und dem Umfang der Trust Service Criteria ab. Nach einem kostenlosen Erstgespräch erhalten Sie eine transparente Aufwandsschätzung.