Security-Glossar

SOC 2 vs. ISO 27001

Beide belegen, dass Sie Informationssicherheit ernst nehmen, und Kunden fragen oft nach dem einen oder dem anderen. Sie stammen aber aus unterschiedlichen Welten (ein US-Rahmenwerk aus der Wirtschaftsprüfung und ein internationaler Standard) und werden unterschiedlich nachgewiesen. Keines davon kann Ihnen eine Beratung einfach aushändigen.

SOC 2: ein Attestierungsbericht

SOC 2 ist eine Prüfung gegenüber den AICPA Trust Services Criteria: Security (die verpflichtenden Common Criteria) sowie optional Availability, Processing Integrity, Confidentiality und Privacy. Das Ergebnis ist ein Bericht, den eine unabhängige, lizenzierte CPA-Firma erstellt und ausstellt. Ein Type-I-Bericht bewertet das Design der Controls zu einem Stichtag, ein Type-II-Bericht ihre Wirksamkeit über einen Zeitraum (üblicherweise 3-12 Monate). Von SaaS-Anbietern wird er weithin erwartet, besonders in den USA.

ISO 27001: ein zertifizierbarer Standard

ISO/IEC 27001:2022 ist ein internationaler Standard für ein Information Security Management System (ISMS). Sie bauen ein Managementsystem auf (Kapitel 4-10) und wählen Controls aus Annex A (93 Controls in vier Themen). Anschließend auditiert eine akkreditierte Zertifizierungsstelle das System in zwei Stufen und stellt, wenn Sie bestehen, ein drei Jahre gültiges Zertifikat mit Überwachungsaudits aus. Der Standard ist weltweit anerkannt und wird außerhalb der USA oft bevorzugt.

Wie sie sich unterscheiden

SOC 2 liefert einen detaillierten Bericht, den ein Kunde unter NDA liest; ISO 27001 liefert ein Zertifikat plus ein Statement of Applicability. SOC 2 attestiert eine CPA-Firma anhand der Trust Services Criteria, ISO 27001 zertifiziert eine akkreditierte Stelle anhand des Standards. Die zugrunde liegenden Controls überschneiden sich stark, daher verfolgen viele Organisationen beides und verwenden Nachweise mehrfach. Die Nachweisverfahren selbst bleiben aber getrennt und unabhängig.

Wo eine Beratung passt (und wo nicht)

Das ist der entscheidende Punkt. Eine Beratung kann Sie vorbereiten: mit Gap-Assessment, Controls, Richtlinien, internem Audit und den Penetrationstests, die technische Controls belegen. Den SOC-2-Bericht oder das ISO-27001-Zertifikat kann sie aber nicht ausstellen. Diese müssen von einer unabhängigen CPA-Firma bzw. einer akkreditierten Zertifizierungsstelle kommen. Vexaro liefert die Vorbereitung und den begleitenden Pentest; die Attestierung kommt immer vom unabhängigen Prüfer.

Häufig gestellte Fragen

SOC 2 ist eine Prüfung anhand der AICPA Trust Services Criteria; das Ergebnis ist ein Bericht einer unabhängigen, zugelassenen CPA-Prüfungsgesellschaft. ISO/IEC 27001:2022 ist ein internationaler Standard für ein Informationssicherheits-Managementsystem, zertifiziert von einer akkreditierten Stelle, deren Zertifikat drei Jahre gilt und von Überwachungsaudits begleitet wird.

Nein. Eine Beratung kann Sie vorbereiten (Gap-Analyse, Controls, Richtlinien, internes Audit und die Penetrationstests, die technische Controls belegen), aber weder den SOC-2-Bericht noch das ISO-27001-Zertifikat ausstellen. Diese kommen von einer unabhängigen CPA-Prüfungsgesellschaft bzw. einer akkreditierten Zertifizierungsstelle.

Ein Typ-I-Bericht bewertet die Ausgestaltung der Kontrollen zu einem einzelnen Zeitpunkt; ein Typ-II-Bericht bewertet ihre operative Wirksamkeit über einen Zeitraum, üblicherweise 3 bis 12 Monate.

Sprechen Sie mit einem echten Praktiker.

Eine Frage, die diese Seiten nicht beantwortet haben? Sagen Sie uns, was Sie schützen möchten, und wir weisen Ihnen den Weg zum passenden Projekt. Die Erstberatung ist kostenlos.