SOC 2

SOC 2 taucht auf, sobald ein Unternehmen an amerikanische Kunden verkauft oder einen amerikanischen Anbieter prüfen soll. Der Begriff bezeichnet einen Prüfbericht, wird aber häufig wie ein Zertifikat behandelt – was er nicht ist, und dieser Unterschied entscheidet darüber, wie man mit dem Dokument umgeht.

Bericht statt Zertifikat

SOC 2 geht auf ein Rahmenwerk des amerikanischen Wirtschaftsprüferverbands zurück. Geprüft wird von einem Wirtschaftsprüfer, und das Ergebnis ist ein Prüfungsbericht – oft mehrere Dutzend Seiten – mit der Beschreibung der Kontrollen, dem Prüfungsurteil und, das ist der wesentliche Teil, den festgestellten Abweichungen.

Es gibt kein Siegel und keine Registerdatenbank. Wer „wir sind SOC-2-zertifiziert” schreibt, hat den Bericht vermutlich nicht gelesen.

Für Sie als Kunde ist das ein Vorteil: Ein Bericht lässt sich auswerten, ein Siegel nicht. Dieselbe Logik wie beim BSI C5, der demselben Prüfungsansatz folgt.

Die fünf Kriterienbereiche

Geprüft wird gegen die Trust Services Criteria. Verbindlich ist nur der erste Bereich; die übrigen werden je nach Dienstleistung hinzugenommen:

Die fünf Kriterienbereiche
BereichGegenstand
SicherheitSchutz vor unbefugtem Zugriff – immer enthalten
Verfügbarkeitvereinbarte Erreichbarkeit des Dienstes
Verarbeitungsintegritätvollständige, richtige, zeitgerechte Verarbeitung
VertraulichkeitSchutz als vertraulich gekennzeichneter Informationen
DatenschutzUmgang mit personenbezogenen Daten nach amerikanischem Verständnis

Beim Lesen eines fremden Berichts ist deshalb die erste Frage: Welche Bereiche wurden geprüft? Ein Bericht, der nur „Sicherheit” abdeckt, sagt nichts über die Verfügbarkeit – auch wenn der Anbieter mit Verfügbarkeit wirbt.

Typ I und Typ II

Typ I beurteilt die Eignung der Kontrollen zu einem Stichtag.

Typ II beurteilt zusätzlich ihre Wirksamkeit über einen Zeitraum, üblicherweise sechs bis zwölf Monate.

Nur Typ II hat für eine Lieferantenbewertung echten Aussagewert. Ein Typ-I-Bericht beschreibt, dass am Stichtag alles eingerichtet war – nicht, dass es gewirkt hat. Prüfen Sie außerdem den Beobachtungszeitraum: Ein Bericht, dessen Zeitraum vor achtzehn Monaten endete, beschreibt einen vergangenen Zustand.

Das Verhältnis zu ISO 27001

Beide adressieren Informationssicherheit, unterscheiden sich aber im Ansatz.

ISO 27001 prüft ein Managementsystem: ob die Organisation Risiken systematisch erkennt, behandelt und verbessert. Das Ergebnis ist ein Zertifikat mit Geltungsbereich.

SOC 2 prüft konkrete Kontrollen, die der Anbieter selbst definiert hat, gegen die Kriterien. Das Ergebnis ist eine Beschreibung dieser Kontrollen samt Prüfungsurteil.

Daraus folgt ein Punkt, der oft übersehen wird: Bei SOC 2 legt der geprüfte Anbieter die Kontrollen weitgehend selbst fest. Zwei Berichte sind deshalb nicht ohne Weiteres vergleichbar – anders als zwei ISO-Zertifikate.

In der Praxis verlangen amerikanische Kunden SOC 2, europäische ISO 27001, der öffentliche Sektor in Deutschland häufig C5 oder BSI IT-Grundschutz. Wer in mehrere Märkte verkauft, betreibt am Ende ein Managementsystem und lässt daraus mehrere Nachweise erzeugen. Das ist deutlich günstiger, als drei getrennte Projekte zu führen – siehe ISMS aufbauen.

Was SOC 2 nicht leistet

Er belegt keine DSGVO-Konformität. Der Datenschutzbereich folgt amerikanischen Grundsätzen, nicht der Systematik der Verordnung. Für die europäische Prüfung eines Dienstleisters brauchen Sie weiterhin Auftragsverarbeitungsvertrag, Angaben zu Unterauftragnehmern und die Klärung der Drittlandübermittlung.

Er nimmt Ihnen die Bewertung nicht ab. Wie beim C5 nennt der Bericht ergänzende Pflichten, die beim Kunden liegen. Diese gehören in Ihre eigene Dokumentation.

Kontakt

Sie haben einen SOC-2-Bericht vorliegen und wissen nicht, was daraus für Sie folgt? Wir lesen ihn mit Ihnen durch.