SOC 2: Trust Services Criteria der AICPA
Die in Nordamerika geprägte, international zunehmend nachgefragte Attestierung zur Vertrauenswürdigkeit von Dienstleistern, relevant für SaaS-Anbieter mit US-Kunden oder internationalen Enterprise-Verträgen.
Eine Attestierung durch eine Wirtschaftsprüfungsgesellschaft, kein Zertifikat.
SOC 2 basiert auf den Trust Services Criteria (TSC) des American Institute of Certified Public Accountants (AICPA), Fassung 2017 mit überarbeiteten Points of Focus aus 2022. Anders als ISO/IEC 27001 ist SOC 2 kein Zertifikat, sondern ein Attestierungsbericht einer lizenzierten Wirtschaftsprüfungsgesellschaft (CPA-Firma).
Die TSC gliedern sich in fünf Kategorien: Security (die verpflichtende „Common Criteria“, CC1–CC9) sowie vier optionale Zusatzkategorien: Availability, Processing Integrity, Confidentiality und Privacy.
SOC 2 kennt zwei Berichtstypen: Type I bewertet die Eignung der Kontrollen zu einem Stichtag, Type II die tatsächliche Wirksamkeit über einen Beobachtungszeitraum — in der Praxis meist drei bis zwölf Monate. Type II ist aussagekräftiger und am Markt stärker nachgefragt.
Wichtige Stichtage
AICPA Trust Services Criteria (2017)
Aktuelle Grundfassung der Trust Services Criteria, auf der SOC-2-Berichte basieren.
Revised Points of Focus 2022
Überarbeitete Auslegungshinweise (Points of Focus) zu den TSC von 2017, ohne die Kriterien selbst zu ändern.
Bewertung der Kontroll-Eignung zu einem Zeitpunkt
Point-in-time-Bewertung, ob die beschriebenen Kontrollen angemessen gestaltet sind.
Bewertung der Wirksamkeit über einen Zeitraum
Der Beobachtungszeitraum ist von der AICPA nicht fix vorgegeben, meist aber drei bis zwölf Monate; danach üblicherweise jährliche Wiederholung.
Wie SOC 2 strukturiert ist.
Security / Common Criteria (CC1–CC9)
Verpflichtende Basiskriterien für jeden SOC-2-Bericht: Governance, Risikobewertung, Kontrollaktivitäten, Kommunikation, Monitoring.
Vier optionale Kategorien
Availability, Processing Integrity, Confidentiality und Privacy, je nach Geschäftsmodell zusätzlich zu Security wählbar.
Type I vs. Type II
Type I: Eignung der Kontrollen zu einem Stichtag. Type II: nachgewiesene Wirksamkeit über einen Beobachtungszeitraum; höhere Aussagekraft, höherer Aufwand.
Jährlicher Attestierungszyklus
SOC-2-Berichte haben keine feste gesetzliche Gültigkeitsdauer, werden am Markt aber überwiegend jährlich erneuert.
Common-Criteria-Evidenz, cross-gemappt zu NIS2 und ISO 27001.
Das Framework-Pack SOC 2 bildet alle neun Common-Criteria-Kategorien (CC1–CC9) als Assessment ab, mit NIS2 und ISO/IEC 27001 gecross-mapped; dieselbe Kontrolle wird nicht dreifach erfasst.
Die versiegelte Evidenz aus ReportAct dient dem Prüfer als Grundlage für den SOC-2-Bericht, besonders für Type II, wo die Wirksamkeit über den gesamten Beobachtungszeitraum dokumentiert sein muss.
Über das Trust Center lässt sich versiegelte SOC-2-Evidenz direkt in Kundenfragebögen und im öffentlichen Vertrauensnachweis verwenden.
Produkt-/Positionierungsaussage, keine Rechtsberatung.
Direkt nachlesen
ReportAct ist kein Beratungsunternehmen. Diese Seite ersetzt keine Rechtsberatung. Der Text der Trust Services Criteria ist urheberrechtlich geschützt und bei der AICPA erhältlich — diese Seite beschreibt Struktur und Ablauf, ersetzt aber nicht die Lektüre des Originaltexts oder die Abstimmung mit Ihrem Prüfer. Es gelten unsere AGB.
Evidenz, die Ihr SOC-2-Audit beschleunigt.
Starten Sie mit Ihrem Common-Criteria-Assessment, cross-gemappt zu NIS2 und ISO 27001.
- Security / Common Criteria (CC1–CC9)
- Vier optionale Kategorien
- Type I vs. Type II