SOC 2: Trust Services Criteria der AICPA
Die in Nordamerika geprägte, international zunehmend nachgefragte Attestierung zur Vertrauenswürdigkeit von Dienstleistern — besonders relevant für SaaS-Anbieter mit US-Kunden oder internationalen Enterprise-Verträgen.
Eine Attestierung durch eine Wirtschaftsprüfungsgesellschaft, kein Zertifikat.
SOC 2 basiert auf den Trust Services Criteria (TSC) des American Institute of Certified Public Accountants (AICPA) — Fassung 2017, mit überarbeiteten Points of Focus aus 2022. Anders als ISO/IEC 27001 ist SOC 2 kein Zertifikat, sondern ein Attestierungsbericht, den eine lizenzierte Wirtschaftsprüfungsgesellschaft (CPA-Firma) erstellt.
Die TSC gliedern sich in fünf Kategorien: Security (die verpflichtende „Common Criteria“, CC1–CC9) sowie vier optionale Zusatzkategorien — Availability, Processing Integrity, Confidentiality und Privacy — je nach Geschäftsmodell frei wählbar.
SOC 2 kennt zwei Berichtstypen: Type I bewertet die Eignung der Kontrollen zu einem Stichtag, Type II die tatsächliche Wirksamkeit über einen Beobachtungszeitraum — in der Praxis meist sechs bis zwölf Monate. Type II gilt als der aussagekräftigere und am Markt stärker nachgefragte Bericht.
Wichtige Stichtage
AICPA Trust Services Criteria (2017)
Aktuelle Grundfassung der Trust Services Criteria, auf der SOC-2-Berichte basieren.
Revised Points of Focus 2022
Überarbeitete Auslegungshinweise (Points of Focus) zu den TSC von 2017, ohne die Kriterien selbst zu ändern.
Bewertung der Kontroll-Eignung zu einem Zeitpunkt
Point-in-time-Bewertung, ob die beschriebenen Kontrollen angemessen gestaltet sind.
Bewertung der Wirksamkeit über einen Zeitraum
Beobachtungszeitraum ist nicht durch die AICPA fix vorgegeben, in der Praxis aber meist sechs bis zwölf Monate; danach übliche jährliche Wiederholung.
Wie SOC 2 strukturiert ist.
Security / Common Criteria (CC1–CC9)
Verpflichtende Basiskriterien für jeden SOC-2-Bericht: Governance, Risikobewertung, Kontrollaktivitäten, Kommunikation, Monitoring.
Vier optionale Kategorien
Availability, Processing Integrity, Confidentiality und Privacy — je nach Geschäftsmodell und Kundenerwartung zusätzlich zur Security-Kategorie wählbar.
Type I vs. Type II
Type I: Eignung der Kontrollen zu einem Stichtag. Type II: nachgewiesene Wirksamkeit über einen Beobachtungszeitraum — höhere Aussagekraft, höherer Aufwand.
Jährlicher Attestierungszyklus
SOC-2-Berichte haben keine feste gesetzliche Gültigkeitsdauer, werden am Markt aber überwiegend jährlich erneuert, um Aktualität gegenüber Kunden zu belegen.
Common-Criteria-Evidenz, cross-gemappt zu NIS2 und ISO 27001.
Das ReportAct Framework-Pack SOC 2 bildet alle neun Common-Criteria-Kategorien (CC1–CC9) als strukturiertes Assessment ab — vollständig mit NIS2 und ISO/IEC 27001 gecross-mapped, damit dieselbe Kontrolle nicht dreifach erfasst werden muss.
Die versiegelte Evidenz aus ReportAct dient als Grundlage für den Prüfer bei der Erstellung des SOC-2-Berichts — insbesondere für Type II, wo die Wirksamkeit über den gesamten Beobachtungszeitraum nachvollziehbar dokumentiert sein muss.
Über das Trust Center lässt sich versiegelte SOC-2-relevante Evidenz direkt in Kundenfragebögen und im öffentlichen Vertrauensnachweis verwenden — ohne manuelles Nacharbeiten je Anfrage.
Produkt-/Positionierungsaussage, keine Rechtsberatung.
Direkt nachlesen
ReportAct ist kein Beratungsunternehmen. Diese Seite ersetzt keine Rechtsberatung. Der Text der Trust Services Criteria ist urheberrechtlich geschützt und bei der AICPA erhältlich — diese Seite beschreibt Struktur und Ablauf, ersetzt aber nicht die Lektüre des Originaltexts oder die Abstimmung mit Ihrem Prüfer. Es gelten unsere AGB.
Evidenz, die Ihr SOC-2-Audit beschleunigt.
Sie starten sofort mit Ihrem Common-Criteria-Assessment — cross-gemappt zu NIS2 und ISO 27001.