SOC 2 ist kein Zertifikat, sondern ein Bericht eines unabhängigen Prüfers über die Kontrollen eines Dienstleisters. Er stammt aus dem amerikanischen Prüfungswesen und ist dort für SaaS-Anbieter fast Standard.
Trust Services Criteria
Pflicht ist die Kategorie Sicherheit. Je nach Dienst kommen Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz hinzu. Der Anbieter beschreibt sein System und seine Kontrollen, der Prüfer bewertet sie.
Type 1 und Type 2
Ein Type-1-Bericht bewertet, ob die Kontrollen zu einem Stichtag angemessen gestaltet sind. Ein Type-2-Bericht prüft zusätzlich, ob sie über einen Zeitraum von typischerweise mehreren Monaten wirksam funktioniert haben. Kunden verlangen in der Regel Type 2.
SOC 2 oder ISO 27001
In Europa ist ISO 27001 verbreiteter, in den USA SOC 2. Inhaltlich überschneiden sich beide stark; ein gut aufgebautes ISMS liefert viele Nachweise für beide. Für europäische Anbieter lohnt sich SOC 2 vor allem, wenn wichtige Kunden aus den USA ihn ausdrücklich verlangen.
Praktischer Weg
Wer Sicherheitsnachweise braucht, beginnt meist mit einem ISMS und beantwortet Kundenfragebögen. Wie man dabei vorgeht, beschreibt unser Angebot zu Sicherheitsfragebögen.