SOC 2 · Type-II-Vorbereitung
Der Evidence-Trail über den Beobachtungszeitraum – der teure Teil der SOC-2-Prüfung.
Type II prüft nicht einen Tag, sondern einen ganzen Zeitraum.
„Compliance ist mein Verkaufsargument. Enterprise-Deals hängen am Trust-Paket und GDPR-Nachweis." So beschreiben SaaS-CISOs, wofür SOC 2 in der Praxis gebraucht wird — häufig ist es keine Kür, sondern eine feste Voraussetzung im Vertrag mit größeren Kunden. Der Unterschied zu Type I ist dabei entscheidend: Ein Type-I-Bericht bescheinigt, dass Kontrollen an einem Stichtag existieren, ein Type-II-Bericht dagegen, dass sie über einen Beobachtungszeitraum von typischerweise drei bis zwölf Monaten tatsächlich funktioniert haben.
Genau das macht die Type-II-Vorbereitung teuer: Evidenz muss während des gesamten Beobachtungszeitraums laufend gesammelt werden, nicht kurz vor dem Prüftermin zusammengestellt. Nachträglich rekonstruierte Nachweise — Screenshots von vor drei Monaten, Tickets, die im Nachhinein ergänzt wurden — sind für Auditoren ein Warnsignal, kein Ersatz für echte laufende Sammlung.
Die neun Common-Criteria-Kategorien (CC1–CC9) der Trust Services Criteria überschneiden sich zudem stark mit NIS2 und ISO 27001. Wer diese Frameworks bereits pflegt, sollte dieselbe Evidenz nicht ein drittes Mal separat sammeln müssen.
Vier Bausteine für die Type-II-Vorbereitung.
TSC-Kontrollkatalog (34 Kontrollen)
Die Trust Services Criteria sind als strukturierter Kontrollkatalog mit 34 Kontrollen über die neun Common-Criteria-Kategorien hinterlegt — als gemeinsame Basis, statt für jeden Audit neu interpretiert zu werden.
Evidence-Requests & Findings
Evidenzanfragen werden an die zuständigen Verantwortlichen verteilt und laufend nachverfolgt, Abweichungen als Findings erfasst — statt am Ende des Beobachtungszeitraums in einer Excel-Liste zusammengesucht zu werden.
Type-II-Attestation über Zeitraum
Für den gesamten Beobachtungszeitraum entsteht eine nachvollziehbare Attestation der Kontrollwirksamkeit — mit Zeitstempeln, die belegen, dass die Evidenz laufend und nicht rückwirkend entstanden ist.
Verifizierbarer Auditor-Export
Für den externen Prüfer entsteht ein vollständiges Export-Paket, dessen Siegel eigenständig verifiziert werden kann — ohne dass der Auditor auf Ihr System zugreifen muss.
Mehr zu SOC 2 und zur Engine dahinter.
Trust Services Criteria, Type I vs. Type II und Primärquellen im Detail.
Regulierung im Detail →Wie versiegelte Nachweise und der Auditor-Export in workspace.reportact.com zusammenspielen.
Funktion im Detail →Ihr erster versiegelter SOC-2-Nachweis — noch heute.
Wir zeigen Ihnen in 30 Minuten, was ReportAct für diesen Use-Case konkret leistet – unverbindlich.