Services / SOC 2

SOC 2 · Type-II-Vorbereitung

Der Evidence-Trail über den Beobachtungszeitraum, der teure Teil der SOC-2-Prüfung.

Die Anforderung

Was das Regelwerk verlangt

Adressiert sind Dienstleister, deren Kunden einen Vertrauensnachweis verlangen, vor allem SaaS-Anbieter mit US-Kunden oder internationalen Enterprise-Verträgen. Grundlage sind die Trust Services Criteria der AICPA (Fassung 2017, Points of Focus 2022); eine gesetzliche Frist gibt es nicht, der Vertrag des Kunden setzt sie.

Security / Common Criteria (CC1–CC9)

Verpflichtende Basiskriterien jedes SOC-2-Berichts: Governance, Risikobewertung, Kontrollaktivitäten, Kommunikation, Monitoring.

AICPA TSC · Security (CC1–CC9)

Vier optionale Kategorien

Availability, Processing Integrity, Confidentiality und Privacy, je nach Geschäftsmodell zusätzlich zu Security wählbar.

AICPA TSC · Kategorien

Type I vs. Type II

Type I bewertet die Eignung der Kontrollen zu einem Stichtag; Type II ihre nachgewiesene Wirksamkeit über einen Beobachtungszeitraum von meist drei bis zwölf Monaten.

AICPA · SOC 2 Type I / Type II

Jährlicher Attestierungszyklus

Keine feste gesetzliche Gültigkeitsdauer, am Markt aber überwiegend jährliche Erneuerung.

Marktpraxis · jährliche Erneuerung

Unsere Lösung

Type II prüft nicht einen Tag, sondern einen ganzen Zeitraum.

SOC 2 ist im Geschäft mit größeren Kunden häufig vertragliche Voraussetzung. Ein Type-I-Bericht bescheinigt, dass Kontrollen zu einem Stichtag bestanden; ein Type-II-Bericht bescheinigt, dass sie über einen Beobachtungszeitraum von typischerweise drei bis zwölf Monaten wirksam waren.

Das macht die Type-II-Vorbereitung teuer: Evidenz muss während des gesamten Beobachtungszeitraums laufend gesammelt werden, nicht kurz vor dem Prüftermin. Nachträglich rekonstruierte Nachweise, etwa alte Screenshots oder im Nachhinein ergänzte Tickets, sind für Auditoren ein Warnsignal.

Die neun Common-Criteria-Kategorien (CC1–CC9) der Trust Services Criteria überschneiden sich stark mit NIS2 und ISO 27001; dieselbe Evidenz sollte nicht ein drittes Mal gesammelt werden.

Was Sie bekommen

Die Bausteine für die Type-II-Vorbereitung.

49 Pflichten aus den Trust Services Criteria

CC1–CC9 abgedeckte Common Criteria

2 weitere Regime aus derselben Evidenz: NIS2 und ISO 27001

Kern dieses Service

TSC-Kontrollkatalog (34 Kontrollen)

Die Trust Services Criteria sind als strukturierter Kontrollkatalog mit 34 Kontrollen über die neun Common-Criteria-Kategorien hinterlegt, als gemeinsame Basis.

Evidence-Requests & Findings

Evidenzanfragen gehen an die zuständigen Verantwortlichen und werden laufend nachverfolgt, Abweichungen als Findings erfasst.

Type-II-Attestation über Zeitraum

Für den gesamten Beobachtungszeitraum entsteht eine Attestation der Kontrollwirksamkeit, mit Zeitstempeln, die belegen, dass die Evidenz laufend entstand.

Verifizierbarer Auditor-Export

Für den externen Prüfer entsteht ein Export-Paket, dessen Siegel er ohne Zugriff auf Ihr System verifizieren kann.

Außerdem in diesem Service enthalten

Dynamische Lieferantenrisikoanalyse

Der Anbieterbestand ist vom Start verfügbar und wächst laufend. Sanktionslisten, bekannte Schwachstellen, Eigentümerwechsel und geänderte Vertragsbedingungen werden fortlaufend analysiert. Ändert sich etwas, erfahren Sie es sofort, nicht erst beim nächsten Audit.