←  Alle Begriffe
S
Security & Compliance

SOC 2

SOC 2 ist ein Prüfungsrahmen für Kontrollen eines Dienstleistungsunternehmens in Bereichen wie Sicherheit und Verfügbarkeit.

SOC 2 bewertet, ob die internen Kontrollen eines Dienstleistungsunternehmens definierte Anforderungen an Bereiche wie Sicherheit, Verfügbarkeit, Vertraulichkeit und Verarbeitung erfüllen. Grundlage ist eine unabhängige Prüfung dokumentierter Prozesse und Kontrollen, deren Umfang je nach Unternehmen und Prüfbericht variiert. Für Organisationen dient SOC 2 häufig als Nachweis gegenüber Kunden und Partnern, dass relevante Sicherheits- und Betriebsprozesse strukturiert umgesetzt und überprüft werden. Eng verbunden ist der Begriff mit ISO 27001 und Governance.

Weiterlesen

ISO 27001

Governance

Audit Log

Service Level Agreement

FAQ

SOC 2

Wann wird ein SOC-2-Bericht von Dienstleistern verlangt?
Vor allem im Einkauf von Software- und Hosting-Diensten, wenn Kundendaten verarbeitet werden oder der Betrieb geschäftskritisch ist. Der Bericht verkürzt Sicherheitsfragebögen, weil er unabhängig geprüfte Kontrollen belegt. Je nach Region und Branche wird stattdessen oder zusätzlich ISO 27001 verlangt. Verbindlich ist das nur, wenn Vertrag oder interne Richtlinie es vorsehen.
Was sollte bei der Prüfung eines SOC-2-Berichts beachtet werden?
Relevant sind Berichtstyp, Prüfzeitraum, einbezogene Systeme und Kriterien sowie die vom Prüfer festgehaltenen Ausnahmen. Ein veralteter Bericht oder ein Umfang, der die genutzten Dienste nicht abdeckt, sagt wenig aus. Der Bericht ersetzt keine eigene Risikobewertung und begründet keine rechtliche Konformität.
Welche Kriterien deckt ein SOC-2-Bericht ab?
Grundlage sind die Trust-Services-Kriterien. Sicherheit ist stets enthalten; Verfügbarkeit, Vertraulichkeit, Verarbeitungsintegrität und Datenschutz können optional einbezogen werden. Den Umfang wählt der Dienstleister, er steht im Bericht. Bei der Auswertung ist zu prüfen, ob die für den eigenen Anwendungsfall relevanten Kriterien abgedeckt sind.
Ist SOC 2 ein Zertifikat wie ISO 27001?
Nein. SOC 2 ist ein Prüfbericht, kein Zertifikat mit Bestehen oder Nichtbestehen. Ein unabhängiger Prüfer beschreibt darin Kontrollen und gibt ein Urteil dazu ab. ISO 27001 zertifiziert dagegen ein Informationssicherheits-Managementsystem nach einer Norm. Beide Nachweise setzen andere Schwerpunkte und ersetzen einander nicht.
Was ist der Unterschied zwischen SOC 2 Type 1 und Type 2?
Type 1 prüft, ob Kontrollen zu einem Stichtag angemessen gestaltet sind. Type 2 prüft zusätzlich über einen Zeitraum, ob sie tatsächlich wirksam betrieben wurden. Type 2 ist deshalb aussagekräftiger für laufende Prozesse. Bei der Bewertung eines Dienstleisters sollte immer gelesen werden, welcher Berichtstyp vorliegt.