Definition: SOC 2 (System and Organization Controls 2) ist ein Prüfverfahren des US-Berufsverbands der Wirtschaftsprüfer (AICPA). Ein unabhängiger Prüfer bewertet die Kontrollen eines Dienstleisters zu Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz und hält das Ergebnis in einem Prüfbericht fest.
Was ist SOC 2?
Viele Unternehmen geben ihre Daten an Dienstleister: an Cloud-Anbieter, Software-Hersteller oder Rechenzentren. Sie wollen wissen, ob diese Daten dort sicher sind. Ein SOC-2-Bericht beantwortet diese Frage. Ein Wirtschaftsprüfer schaut sich die Kontrollen des Dienstleisters an und schreibt auf, was er geprüft und was er gefunden hat.
Ein Bild: ISO 27001 ist wie ein Gütesiegel für das ganze Sicherheitssystem. SOC 2 ist eher ein ausführliches Gutachten, das jede geprüfte Kontrolle und jedes Prüfergebnis einzeln beschreibt.
SOC 2 stammt aus den USA und wird dort von vielen Kunden verlangt. Auch europäische Anbieter, die in den USA verkaufen, lassen sich deshalb prüfen.
Die Trust Services Criteria
Grundlage der Prüfung sind die Trust Services Criteria der AICPA. Sie haben fünf Bereiche:
- Sicherheit (Security): Schutz vor unbefugtem Zugriff. Dieser Bereich ist immer Pflicht.
- Verfügbarkeit (Availability): Das System ist so erreichbar wie vereinbart.
- Verarbeitungsintegrität (Processing Integrity): Daten werden vollständig, korrekt und rechtzeitig verarbeitet.
- Vertraulichkeit (Confidentiality): Vertrauliche Informationen sind geschützt.
- Datenschutz (Privacy): Personenbezogene Daten werden nach den eigenen Zusagen behandelt.
Welche Bereiche neben Sicherheit dazukommen, entscheidet das Unternehmen. Es wählt die Bereiche, die für seine Kunden wichtig sind.
SOC 2 Typ I und Typ II
Typ I
Der Prüfer bewertet, ob die Kontrollen zu einem Stichtag richtig gestaltet sind. Das geht schneller und eignet sich als erster Schritt.
Typ II
Der Prüfer bewertet zusätzlich, ob die Kontrollen über einen Zeitraum wirklich funktioniert haben. Der Zeitraum liegt meist zwischen drei und zwölf Monaten. Dazu zieht er Stichproben, etwa Protokolle zu Zugriffsrechten oder Nachweise zu Backups. Kunden verlangen meist diesen Bericht.
SOC 1, SOC 2 und SOC 3
- SOC 1: Kontrollen, die für die Finanzberichterstattung der Kunden wichtig sind, etwa bei einem Dienstleister für die Lohnabrechnung.
- SOC 2: Kontrollen zu Sicherheit und den weiteren Trust Services Criteria. Ausführlicher Bericht, meist nur unter Geheimhaltung.
- SOC 3: Kurzfassung der SOC-2-Prüfung für die Öffentlichkeit, zum Beispiel für die Website.
So läuft eine SOC-2-Prüfung ab
- Umfang festlegen: Welche Systeme und welche Kriterien werden geprüft?
- Lückenanalyse: Was fehlt noch im Vergleich zu den Kriterien?
- Kontrollen umsetzen: Lücken schließen und Nachweise sammeln.
- Typ-I-Prüfung (optional): Gestaltung der Kontrollen zu einem Stichtag prüfen lassen.
- Beobachtungszeitraum: Kontrollen im Alltag betreiben und belegen.
- Typ-II-Prüfung: Der Prüfer bewertet den Zeitraum und erstellt den Bericht.
Danach wird die Prüfung meist jedes Jahr wiederholt.
SOC 2 und ISO 27001 im Vergleich
- Art: ISO 27001 ist eine Norm mit Zertifikat. SOC 2 ist ein Prüfbericht mit Prüfungsurteil.
- Prüfer: Bei ISO 27001 eine akkreditierte Zertifizierungsstelle, bei SOC 2 eine zugelassene Prüfungsgesellschaft.
- Inhalt: ISO 27001 prüft das ganze Managementsystem. SOC 2 beschreibt die einzelnen Kontrollen und Testergebnisse genauer.
- Verbreitung: ISO 27001 weltweit und vor allem in Europa, SOC 2 vor allem im US-Markt.
- Laufzeit: ISO-27001-Zertifikate gelten drei Jahre mit jährlicher Überwachung. SOC-2-Berichte werden meist jährlich erneuert.
Viele Kontrollen überschneiden sich stark. Wer schon ein ISMS nach ISO 27001 hat, kann viele Nachweise für SOC 2 wiederverwenden. In Deutschland ist für Cloud-Anbieter außerdem der C5-Katalog des BSI verbreitet.
Typische Herausforderungen
- Nachweise: Für Typ II müssen Kontrollen über Monate lückenlos belegt sein.
- Aufwand: Prüfungsgesellschaft, interne Arbeit und Werkzeuge kosten Zeit und Geld.
- Mehrere Standards: Wer zusätzlich ISO 27001, NIS-2 oder DSGVO erfüllen muss, pflegt sonst vieles doppelt.
SOC 2 mit SecTepe.Core
Die Multi-Framework-Assessments in SecTepe.Core unterstützen SOC 2. Core ordnet die Kontrollen von selbst SOC 2, ISO 27001, NIS2 und weiteren Standards zu. So pflegen Sie Nachweise einmal und nutzen sie für mehrere Prüfungen.
Fazit
SOC 2 ist ein Prüfbericht, der zeigt, wie gut ein Dienstleister die Daten seiner Kunden schützt. Typ II ist aussagekräftiger als Typ I, weil er die Wirksamkeit über einen Zeitraum belegt. Für Anbieter im US-Markt ist SOC 2 oft Pflicht. In Europa wird häufiger nach ISO 27001 gefragt. Beide lassen sich gut zusammen aufbauen.
Häufige Fragen zu SOC 2
Was ist SOC 2 einfach erklärt?
SOC 2 ist ein Prüfbericht über die Sicherheitskontrollen eines Dienstleisters, zum Beispiel eines Cloud- oder Software-Anbieters. Ein unabhängiger Wirtschaftsprüfer bewertet, ob die Kontrollen gut gestaltet sind und, beim Typ II, ob sie über einen Zeitraum wirksam waren. Grundlage sind die Trust Services Criteria des US-Berufsverbands AICPA.
Gibt es eine SOC-2-Zertifizierung?
Streng genommen nein. Im Alltag spricht man oft von SOC-2-Zertifizierung, das Ergebnis ist aber kein Zertifikat, sondern ein Prüfbericht mit Prüfungsurteil. Er wird von einer zugelassenen Prüfungsgesellschaft erstellt und meist nur unter Geheimhaltungsvereinbarung an Kunden weitergegeben.
Was ist der Unterschied zwischen SOC 2 Typ I und Typ II?
Typ I prüft, ob die Kontrollen zu einem Stichtag richtig gestaltet sind. Typ II prüft zusätzlich, ob sie über einen Zeitraum tatsächlich gewirkt haben, meist über drei bis zwölf Monate. Kunden verlangen in der Regel einen Typ-II-Bericht, weil er mehr aussagt.
Was ist der Unterschied zwischen SOC 2 und ISO 27001?
ISO 27001 ist eine internationale Norm. Eine akkreditierte Zertifizierungsstelle prüft das gesamte Managementsystem und stellt ein Zertifikat aus. SOC 2 ist ein Prüfbericht eines Wirtschaftsprüfers nach US-Standard. Er beschreibt die einzelnen Kontrollen und Prüfschritte genauer. ISO 27001 ist weltweit und in Europa verbreitet, SOC 2 vor allem im US-Markt. Viele Kontrollen überschneiden sich.
Wie lange ist ein SOC-2-Bericht gültig?
Ein SOC-2-Bericht hat kein festes Ablaufdatum. Er gilt für den geprüften Zeitraum. Kunden erwarten aber meist einen aktuellen Bericht, deshalb wird die Prüfung in der Regel jedes Jahr wiederholt.
Wer braucht SOC 2?
Vor allem Software- und Cloud-Anbieter, Rechenzentren und andere Dienstleister, die Daten von Kunden verarbeiten und an Unternehmen in den USA verkaufen. Dort ist ein SOC-2-Bericht oft Voraussetzung für einen Vertrag.
Weitere Begriffe in „Compliance & Regulierung“
- BSI IT-Grundschutz
- Cloud Compliance
- Governance
- ISO 27001
- IT Audit Management
- IT Compliance
- IT-Governance
- IT-Sicherheitsgesetz
- IT-Sicherheitskonzept
- IT-Sicherheitsleitlinie
- NIS2-Richtlinie
- SABSA Framework