SOC 2 Readiness & Audit-Begleitung
SOC 2 ist eine Attestierung, die eine unabhängige CPA-Firma ausstellt. Keine Beratung kann sie Ihnen einfach aushändigen. Wir bereiten Sie darauf vor: mit einem Gap-Assessment gegenüber den AICPA Trust Services Criteria, den Controls und Nachweisen, um diese Lücken zu schließen, und dem Penetrationstest, auf dem Ihr Bericht beruht. Das Audit selbst führt ein lizenzierter CPA durch.
Was Readiness umfasst
SOC 2 berichtet über die Controls einer Dienstleistungsorganisation gegenüber den AICPA Trust Services Criteria (TSC): Security (die verpflichtenden Common Criteria) sowie Availability, Processing Integrity, Confidentiality und Privacy nach Ihrer Wahl. Wir helfen Ihnen, die richtigen Kriterien abzugrenzen, und schließen dann die Lücke zwischen dem heutigen Stand und einem auditierbaren Control-Set.
- Abgrenzung der Systembeschreibung und der anwendbaren Trust Services Criteria
- Gap-Assessment der Controls gegenüber den Security Common Criteria (CC1-CC9)
- Optionale Kategorien: Availability, Processing Integrity, Confidentiality, Privacy
- Richtlinien, Verfahren und die Nachweis-/Control-Narrative, die ein Prüfer erwartet
- Penetrationstests als technischer Nachweis für die Common Criteria
- Type I (Design zu einem Stichtag) vs. Type II (operative Wirksamkeit über einen Zeitraum)
Erst Readiness, dann das Audit
Wir bereiten Sie vor, prüfen Sie aber nicht. Die beiden Rollen sind bewusst getrennt, weil die CPA-Firma unabhängig sein muss. Wir führen das Gap-Assessment und die Remediation durch, Sie gehen vorbereitet in die Prüfung, und der CPA führt sie durch und stellt den SOC-2-Bericht aus. Wir können Prüfungsfirmen empfehlen, stellen die Attestierung aber niemals selbst aus.
- 1
Scoping
Wir vereinbaren die Systemgrenze, die Trust Services Criteria im Scope sowie Type I vs. Type II und unterzeichnen ein NDA.
- 2
Gap-Assessment
Wir messen Ihre aktuellen Controls an den Common Criteria und allen gewählten Kategorien und priorisieren die Lücken.
- 3
Remediation
Wir helfen Ihnen, fehlende Controls, Richtlinien und Nachweise aufzubauen, und führen den Pentest durch, auf den sich der Bericht stützt.
- 4
Audit-Begleitung
Wir bereiten Sie auf die Prüfung vor und begleiten Sie durch die Feldarbeit der unabhängigen CPA-Firma.
- 5
Type-II-Beobachtungszeitraum
Bei Type II müssen die Controls über einen Zeitraum wirksam sein (üblicherweise 3-12 Monate). Wir helfen Ihnen, sie aufrechtzuerhalten und nachzuweisen.
Was Sie erhalten
Ein klares Vorbereitungsergebnis plus das technische Nachweispaket: alles, was Sie brauchen, um vorbereitet in die Prüfung zu gehen. Den SOC-2-Bericht selbst stellt die CPA-Firma aus, nicht wir.
- Gap-Assessment-Bericht, abgebildet auf die Trust Services Criteria
- Priorisierter Remediation-Plan mit Verantwortlichen und Aufwandsschätzungen
- Control-Narrative, Richtlinien-Vorlagen und eine Nachweis-Checkliste
- Penetrationstest-Bericht (CVSS 3.1, PoC, Reproduktion) als Common-Criteria-Nachweis
- Readiness-Freigabe, die bestätigt, dass Sie auf die Prüfung vorbereitet sind
- Kostenloser Re-Test behobener technischer Befunde vor dem Audit-Fenster, wie im SoW geplant
Gegründet auf den AICPA Trust Services Criteria
Die Vorbereitung richtet sich nach den AICPA Trust Services Criteria: Security (die verpflichtenden Common Criteria) sowie nach Wahl Availability, Processing Integrity, Confidentiality und Privacy. Eine SOC-2-Prüfung muss eine unabhängige, lizenzierte CPA-Firma durchführen. Wir liefern Vorbereitung, Gap-Assessment, Remediation und den begleitenden Penetrationstest, sind aber keine CPA-Firma und stellen weder den SOC-2-Bericht noch die Attestierung aus. Type II verlangt zusätzlich, dass die Controls über einen Beobachtungszeitraum wirksam sind.