Was ist SOC 2?
SOC 2 ist ein Prüfungsbericht über die Kontrollen eines Dienstleisters, den ein US-Wirtschaftsprüfer (Certified Public Accountant, CPA) nach den Vorgaben des AICPA erstellt. SOC steht für System and Organization Controls, eine Reihe von Prüfungsleistungen des AICPA für die Kontrollen von Dienstleistern. SOC 1 betrifft Kontrollen, die für die Finanzberichterstattung der Kunden relevant sind, SOC 2 die Trust Services Criteria; SOC 3 ist ein Bericht zur allgemeinen Verwendung.
Ein SOC-2-Bericht ist kein Zertifikat. Es gibt keine Zertifizierungsstelle und keine Akkreditierung wie bei ISO/IEC 27001, sondern das Urteil eines Prüfers über eine beschriebene Systemumgebung. Das BSI nennt SOC 2 als US-Pendant zur Prüfung nach ISAE 3000, auf der auch das C5-Testat beruht (BSI: C5 Einführung).
Welche Kategorien prüft ein SOC-2-Bericht?
Die Trust Services Criteria gliedern sich in fünf Kategorien:
| Kategorie | Gegenstand |
|---|---|
| Security | Schutz von Systemen und Informationen vor unbefugtem Zugriff und unbefugter Offenlegung |
| Availability | Verfügbarkeit des Systems für Betrieb und Nutzung |
| Processing Integrity | Vollständigkeit, Richtigkeit und Rechtzeitigkeit der Verarbeitung |
| Confidentiality | Schutz von Informationen, die als vertraulich bestimmt sind |
| Privacy | Umgang mit personenbezogenen Daten |
Ein Bericht sagt nur über die Kategorien etwas aus, die tatsächlich geprüft wurden. Welche das sind, steht in der Beschreibung des Systems und im Prüfungsurteil.
Was unterscheidet Typ 1 und Typ 2?
Ein Typ-1-Bericht beurteilt, ob die Kontrollen zu einem Stichtag angemessen ausgestaltet sind. Ein Typ-2-Bericht beurteilt zusätzlich, ob sie über einen Berichtszeitraum wirksam waren, und enthält dazu die Tests des Prüfers mit ihren Ergebnissen. Ob die Kontrollen im laufenden Betrieb gewirkt haben, zeigt deshalb nur der Typ-2-Bericht (AICPA: SOC 2 Report Review). Beide Typen beziehen sich auf einen abgeschlossenen Zeitpunkt oder Zeitraum, nicht auf den heutigen Zustand.
So prüfen Sie einen SOC-2-Bericht
Gehen Sie für jeden bezogenen Dienst diese Schritte durch und legen Sie das Ergebnis in der Dienstleistersteuerung ab:
| Schritt | Bestanden, wenn | Was Sie ablegen |
|---|---|---|
| 1. Umfang | der Dienst und die Regionen, die Sie nutzen, stehen in der Systembeschreibung | Fundstelle im Bericht |
| 2. Kategorien | die Kategorien, die Ihr Anwendungsfall braucht, sind geprüft, etwa Availability bei einem Dienst mit hohem Verfügbarkeitsbedarf | Liste der geprüften Kategorien |
| 3. Typ und Zeitraum | Typ-2-Bericht; für die Zeit seit dem Ende des Berichtszeitraums liegt eine schriftliche Erklärung des Anbieters vor, dass sich die Kontrollen nicht wesentlich geändert haben | Berichtszeitraum, Erklärung, Termin des Folgeberichts |
| 4. Urteil und Ausnahmen | das Prüfungsurteil ist nicht eingeschränkt, und Sie haben jede im Testteil genannte Ausnahme für Ihren Fall bewertet | Bewertung je Ausnahme |
| 5. Kontrollen beim Kunden | die Kontrollen, die der Anbieter bei Ihnen voraussetzt (Complementary User Entity Controls), sind umgesetzt und haben einen Zuständigen | Liste mit Zuständigen |
| 6. Unterauftragnehmer | für Unterauftragnehmer, die der Bericht ausklammert, liegt ein eigener Nachweis vor | Liste mit Nachweis je Unterauftragnehmer |
Ein Bericht, der Schritt 1 nicht besteht, sagt über Ihren Dienst nichts aus. Fragen Sie in diesem Fall nach einem Bericht mit passendem Umfang oder bewerten Sie den Dienst mit eigenen Fragen.
Was gilt für Käufer in Deutschland?
In Deutschland lesen Käufer einen SOC-2-Bericht neben dem Kriterienkatalog BSI C5. Nach dem BSI ist es effizienter, SOC-2- und C5-Prüfungen organisatorisch und zeitlich abzustimmen, weil Prüfer und Anbieter Nachweise dann für beide Berichte nutzen können (Abschnitt 3.3 des Kriterienkatalogs C5:2026). Der bloße Verweis auf Kriterien anderer Standards genügt nach dem BSI aber nicht, um die Abdeckung der C5-Kriterien zu belegen.
Für Sozial- und Gesundheitsdaten in der Cloud verlangt § 393 SGB V ein C5-Testat. Als Ersatz lässt die C5-Gleichwertigkeitsverordnung Testierungen oder Zertifizierungen nach ISO/IEC 27001, ISO 27001 auf der Basis von IT-Grundschutz und der Cloud Controls Matrix 4.0 zu, jeweils mit Maßnahmenplan. SOC 2 nennt sie nicht. Was ein C5-Testat und ein ISO-27001-Zertifikat jeweils belegen, zeigt der Vergleich BSI C5 vs. ISO 27001.
SOC 2 als Anforderungskatalog in Rizzqo
SOC 2 wird unterstützt; der Anforderungskatalog wird aktiviert, sobald ein Kunde ihn benötigt. Seine Anforderungen hängen dann über Kategorie und Unterkategorie an den unterstützenden Assets. Ein zugewiesener Eigentümer beantwortet sie und finalisiert jede Antwort mit Name und Zeitstempel; als Nachweis kann etwa der SOC-2-Bericht eines Dienstleisters an dem Asset hängen, das dessen Dienst abbildet.
Tägliche Snapshots halten den Stand jedes Tages fest. Für einen Berichtszeitraum lässt sich damit zeigen, ab wann eine Anforderung als erfüllt finalisiert war.