SOC 2 oder ISO/IEC 27001?

Kurz erklärt

SOC 2 ist ein Prüfbericht. Ein Wirtschaftsprüfer (CPA) untersucht nach den Standards des US-Berufsverbands AICPA die Kontrollen eines Dienstleisters und bewertet sie an den Trust Services Criteria. Die Kriterien decken fünf Bereiche ab: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Sicherheit ist immer dabei, die anderen wählt das Unternehmen nach Bedarf. Ein Bericht vom Typ 1 beschreibt, ob die Kontrollen zu einem Stichtag sinnvoll gestaltet sind. Ein Bericht vom Typ 2 prüft zusätzlich, ob sie über einen Zeitraum hinweg tatsächlich gewirkt haben. Den Bericht geben Sie in der Regel nur unter Vertraulichkeit an Kunden weiter.

ISO/IEC 27001 ist eine internationale Norm für ein Managementsystem der Informationssicherheit. Eine akkreditierte Zertifizierungsstelle prüft, ob Ihr ISMS die Anforderungen erfüllt, und stellt ein Zertifikat aus. Es gilt drei Jahre, mit jährlichen Überwachungsaudits, und lässt sich öffentlich vorzeigen.

Warum EU-Kunden ISO/IEC 27001 bevorzugen

EU-Einkäufer akzeptieren einen SOC-2-Bericht oft, wenn er vorliegt. Gefragt wird aber zuerst nach ISO/IEC 27001. Dafür gibt es handfeste Gründe:

• Die Norm ist international und gleich in allen Ländern. Ein Einkäufer in Frankfurt muss kein US-Prüfungsrecht kennen, um das Zertifikat einzuordnen.
• Die Zertifizierung läuft über akkreditierte Stellen mit gegenseitiger Anerkennung. Echtheit und Geltungsbereich lassen sich prüfen.
• Lieferantenfragebögen und Ausschreibungen in Europa nennen häufig ISO/IEC 27001 ausdrücklich oder fragen nach einem gleichwertigen Nachweis.
• Ein SOC-2-Bericht ist lang und muss gelesen werden. Die Ausnahmen in Typ-2-Berichten zu bewerten kostet den Kunden Zeit.

Hinter beiden Nachweisen stehen dieselben Pflichten Ihres Kunden. NIS2 verlangt von wichtigen und wesentlichen Einrichtungen, die Sicherheit ihrer Lieferkette zu steuern. DORA verlangt von Finanzunternehmen, IKT-Dienstleister vor Vertragsschluss zu bewerten. Die DSGVO verlangt von Auftragsverarbeitern hinreichende Garantien für technische und organisatorische Maßnahmen. Keine dieser Regeln schreibt ein bestimmtes Zertifikat vor, aber ISO/IEC 27001 ist der Nachweis, den die Prüfer Ihrer Kunden am besten kennen. Wer Cloud-Dienste an deutsche Kunden liefert, wird zusätzlich nach dem BSI-Kriterienkatalog C5 gefragt.

Wer in Südamerika was braucht

• SaaS-Anbieter, die zuerst in den USA verkauft haben und jetzt nach Europa gehen: SOC 2 behalten, ISO/IEC 27001 ergänzen.
• Softwarehäuser und Nearshoring-Dienstleister mit überwiegend europäischen Kunden, etwa in Montevideo oder Medellín: zuerst ISO/IEC 27001.
• Fintechs und IT-Dienstleister für EU-Banken: ISO/IEC 27001, weil Aufsicht und Revision der Bank es erwarten. SOC 2 nur, wenn US-Kunden es fordern.
• BPO und Contact Center: fast immer ISO/IEC 27001, bei Personendaten oft ergänzt um ISO/IEC 27701.

Wer nur eines finanzieren kann und EU-Kunden gewinnen will, entscheidet sich für ISO/IEC 27001.

Ein Beispiel: Ein SaaS-Anbieter aus Florianópolis mit Kunden in Miami und Lissabon hat einen SOC-2-Typ-2-Bericht. Die portugiesische Bank schickt trotzdem ihren eigenen Fragebogen mit über hundert Fragen und fragt nach dem ISO-Zertifikat. Mit ISO/IEC 27001 zusätzlich verweist der Anbieter auf Zertifikat und Erklärung zur Anwendbarkeit und beantwortet nur noch die Fragen, die DORA darüber hinaus verlangt.

Ablauf: beides effizient kombinieren

1. Ein gemeinsames Kontrollset aufbauen, das Anhang A der ISO/IEC 27001 und die Trust Services Criteria abdeckt. Die Überschneidung ist groß.
2. ISMS nach ISO/IEC 27001 einführen: Geltungsbereich, Risikoanalyse, Erklärung zur Anwendbarkeit, Richtlinien, internes Audit.
3. Zertifizierung nach ISO/IEC 27001 in Stufe 1 und Stufe 2.
4. Für SOC 2 einen Typ-1-Bericht als Einstieg erstellen lassen, danach den Prüfzeitraum für Typ 2 beginnen.
5. Nachweise einmal sammeln und für beide Prüfungen nutzen; Audittermine abstimmen.

ISO/IEC 27001 dauert typischerweise 6 bis 12 Monate bis zum Zertifikat. Ein SOC-2-Typ-2-Bericht setzt einen Beobachtungszeitraum voraus, der mehrere Monate umfasst; Kunden erwarten oft eher längere Zeiträume. Wer beides parallel aufbaut, braucht deshalb meist länger als ein Jahr bis zum ersten vollständigen Paket. Die Kosten hängen stark von Größe, Umfang und Prüfer ab; bei SOC 2 kommen Honorare von Wirtschaftsprüfern hinzu, die sich deutlich unterscheiden können.

Akkreditierung und Prüferzulassung

Bei SOC 2 gibt es keine Akkreditierung im ISO-Sinn. Den Bericht darf ein zugelassener US-Wirtschaftsprüfer (CPA) abgeben, und er haftet berufsrechtlich dafür. Fragen Sie bei Prüfern aus der Region nach, ob der Bericht von einer CPA-Gesellschaft unterzeichnet wird.

Bei ISO/IEC 27001 zählt die Akkreditierung der Zertifizierungsstelle durch eine Stelle, die das internationale Anerkennungsabkommen unterzeichnet hat: bis Ende 2025 das IAF MLA, seit 1. Januar 2026 das MRA der Global Accreditation Cooperation Incorporated (Global ACI). In allen neun Ländern gibt es eine solche Stelle: Cgcre beim INMETRO in Brasilien, OAA in Argentinien, INN in Chile, ONAC in Kolumbien, INACAL in Peru, SAE in Ecuador, OUA in Uruguay, ONA in Paraguay und DTA-IBMETRO in Bolivien. Ob die Akkreditierung Informationssicherheit umfasst, steht in der Urkunde der jeweiligen Zertifizierungsstelle.

Typische Fehler

• Ein SOC-2-Bericht wird EU-Kunden als „Zertifikat“ vorgelegt. Das wirkt unprofessionell und führt zu Rückfragen.
• Der SOC-2-Bericht deckt nur ein Produkt ab, der EU-Kunde nutzt aber ein anderes.
• Zwei getrennte Projekte für SOC 2 und ISO/IEC 27001 mit doppelten Richtlinien, doppelten Nachweisen und zwei Teams.
• ISO/IEC 27001 wird bei einer nicht akkreditierten Stelle gemacht, weil sie billiger ist. Der EU-Kunde erkennt das Zertifikat dann nicht an.
• Ein Typ-1-Bericht wird als ausreichend verkauft. Wer Wirksamkeit nachweisen will, braucht Typ 2.

Wie Sightadel hilft

Sightadel verwaltet ein gemeinsames Kontrollset für ISO/IEC 27001 und SOC 2, sodass Sie Nachweise einmal erfassen und für beide Prüfungen nutzen. Mit einem Beraterpaket begleiten erfahrene Berater Sie bis zum Zertifikat und durch die SOC-2-Prüfung.

FAQ