Häufig gestellte Fragen
Was ist der Unterschied zwischen SOC 2 Type 1 und Type 2?
Ein SOC-2-Type-1-Bericht beurteilt die internen Kontrollen eines Anbieters zu einem einzigen Stichtag und prüft dabei nur, ob sie angemessen beschrieben und sinnvoll gestaltet sind. Ein Type-2-Bericht geht deutlich weiter und untersucht über einen Beobachtungszeitraum von mindestens drei, typischerweise sechs bis zwölf Monaten, ob die Kontrollen tatsächlich durchgängig wirksam waren. Dadurch hat Type 2 eine erheblich höhere Aussagekraft und wird von Unternehmenskunden im Beschaffungsprozess regelmäßig vorausgesetzt. Für die Bewertung eines cloudbasierten ERP-Anbieters ist daher fast immer der Type-2-Bericht die relevante Grundlage.
Reicht ISO 27001 oder brauche ich SOC 2?
Beide Nachweise belegen Informationssicherheit, unterscheiden sich aber grundlegend: ISO 27001 ist eine internationale Norm, die ein Informationssicherheits-Managementsystem zertifiziert und mit einem standardisierten Zertifikat endet, während SOC 2 ein ausführlicher, individueller Prüfbericht des US-amerikanischen AICPA ohne Zertifikatscharakter ist. Im US-Markt wird SOC 2 häufiger erwartet, im europäischen Raum ist ISO 27001 verbreiteter, weshalb viele international tätige Cloud- und ERP-Anbieter beide Nachweise vorhalten. Welcher für Sie ausreicht, hängt von Ihren eigenen Kunden, Ihrer Branche und regulatorischen Anforderungen ab. Sinnvoll ist, den Bedarf gemeinsam mit den eigenen Compliance- und Einkaufsverantwortlichen zu klären, statt sich pauschal auf einen Standard festzulegen.
Was kostet ein SOC-2-Audit?
Die reinen Prüferhonorare für einen SOC-2-Type-2-Bericht liegen je nach Anbietergröße, Scope und Anzahl der geprüften Trust Services Criteria meist zwischen rund 20.000 und 80.000 US-Dollar, in größeren Organisationen auch darüber. Ein einfacherer Type-1-Bericht ist günstiger und beginnt oft im unteren fünfstelligen Bereich. Hinzu kommen interne Vorbereitungskosten sowie häufig ein separates Readiness-Assessment, das nochmals einige Tausend bis über zehntausend US-Dollar kosten kann. Da diese Werte stark von der individuellen Ausgangslage abhängen, sind sie als grobe Orientierung und nicht als feste Preise zu verstehen.
Wie lange ist ein SOC-2-Bericht gültig?
Ein SOC-2-Bericht „verfällt“ formal nicht, deckt aber immer nur den darin genannten Prüfungszeitraum ab und gilt in der Praxis als rund zwölf Monate aussagekräftig. Anbieter lassen den Bericht deshalb üblicherweise jährlich erneuern, damit er lückenlos an den Vorgängerzeitraum anschließt. Für die Zeit zwischen Berichtsende und neuem Bericht stellen viele Anbieter ein sogenanntes Bridge Letter (Überbrückungsschreiben) aus, das in der Regel maximal etwa 90 Tage abdeckt und bestätigt, dass sich am Kontrollumfeld nichts Wesentliches geändert hat. Bei der Anbieterauswahl sollten Sie daher prüfen, ob der vorgelegte Bericht aktuell ist und der Prüfungszeitraum keine Lücke aufweist.
Welche Trust Services Criteria deckt ein SOC-2-Bericht ab?
SOC 2 stützt sich auf fünf vom AICPA definierte Trust Services Criteria: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Verpflichtend in jedem SOC-2-Bericht ist allein das Kriterium Sicherheit; die übrigen vier werden nur dann geprüft, wenn sie für den jeweiligen Dienst relevant sind oder vom Anbieter zugesagt wurden. Für ein ERP-System sind in der Praxis vor allem Sicherheit, Verfügbarkeit und Vertraulichkeit von Bedeutung, da geschäftskritische Daten dauerhaft erreichbar und vor unbefugtem Zugriff geschützt sein müssen. Beim Lesen eines Berichts sollten Sie deshalb stets prüfen, welche dieser Kriterien tatsächlich im geprüften Geltungsbereich enthalten sind.
Ersetzt ein SOC-2-Bericht eine DSGVO-Prüfung?
Nein, SOC 2 ist ein US-amerikanisches Prüfungsrahmenwerk und deckt europäische Datenschutzpflichten nicht automatisch ab. Auch wenn das Trust-Service-Kriterium Datenschutz Teil eines Berichts sein kann, ersetzt es weder eine Bewertung nach DSGVO noch den erforderlichen Auftragsverarbeitungsvertrag mit dem Anbieter. Ein SOC-2-Bericht liefert vielmehr einen unabhängigen Nachweis darüber, dass die zugesagten Sicherheits- und Verfügbarkeitskontrollen wirksam umgesetzt sind, und sollte als ein Baustein in einem Gesamtbild aus Zertifikaten, Verträgen und eigener Risikobewertung betrachtet werden. Für die datenschutzrechtliche Bewertung eines cloudbasierten ERP-Systems sind daher zusätzlich die einschlägigen DSGVO-Anforderungen heranzuziehen.