SOC 2

Was ist SOC 2?

SOC 2 ist eine prüferische Untersuchung der Beschreibung eines Systems einer Serviceorganisation und ihrer Kontrollen anhand der AICPA Trust Services Criteria; das Ergebnis ist ein Bericht, keine Zertifizierung.

Autoritative Einordnung: Gegenstand sind das abgegrenzte System, seine Beschreibung und die zugehörigen Kontrollen. Sicherheit gehört stets zum Kriterienkern. Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz werden entsprechend dem festgelegten Prüfungsumfang einbezogen. Die Bezeichnung darf nicht mit einem Security Operations Center verwechselt werden.

Welche Grundlage hat SOC 2?

Technische Einordnung: SOC 2 beruht auf dem Prüfungs- und Berichtsrahmen des American Institute of Certified Public Accountants (AICPA) und dessen Trust Services Criteria. Der Rahmen dient dazu, Kontrollen zu Informationen und Systemen zu beurteilen, mit denen eine Serviceorganisation Produkte oder Dienstleistungen bereitstellt. Er ist keine technische Produktnorm und schreibt weder bestimmte Werkzeuge noch eine einheitliche Systemarchitektur vor.

SOC 2 ist keine gesetzliche Zertifizierung und erzeugt aus sich heraus keine allgemeine Pflicht, eine Prüfung durchführen zu lassen. Vertragliche, kundenbezogene oder sektorspezifische Anforderungen können außerhalb des AICPA-Rahmens einen solchen Nachweis verlangen.

Für wen ist SOC 2 relevant?

SOC 2 richtet sich an Serviceorganisationen sowie an vorgesehene, sachkundige Nutzer des Berichts, insbesondere Kunden und Geschäftspartner. Relevant ist der Bericht, wenn diese Nutzer Informationen über Kontrollen eines bereitgestellten oder ausgelagerten Systems benötigen. Seine Aussage beschränkt sich auf das beschriebene System und die ausgewählten Kriterien.

SOC 1 betrifft demgegenüber Kontrollen mit Bezug zur Finanzberichterstattung. SOC 3 ist für die allgemeine Verwendung konzipiert. Ob und an wen ein konkreter SOC-2-Bericht weitergegeben werden darf, ergibt sich aus den Bedingungen und dem vorgesehenen Nutzerkreis dieses Berichts.

Wie kommt ein SOC-2-Bericht zustande?

Prüfungspraxis nach dem AICPA-Rahmen: Ausgangspunkt ist ein beauftragtes SOC-2-Engagement mit festgelegtem System und Prüfungsumfang. Das Management erstellt die Systembeschreibung und eine Management-Assertion. Ein CPA untersucht die beschriebenen Kontrollen anhand der einschlägigen Trust Services Criteria.

Die Systemgrenze, die erbrachten Leistungen und die Kriterien müssen zum Informationsbedarf der vorgesehenen Nutzer passen. Sicherheit ist einzubeziehen; Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz kommen hinzu, soweit sie für den vereinbarten Umfang relevant sind.

Typenabgrenzung: Typ I beurteilt die Beschreibung des abgegrenzten Systems und die Gestaltung der anhand der ausgewählten Trust Services Criteria untersuchten Kontrollen zu einem bestimmten Stichtag. Typ II umfasst zusätzlich die operative Wirksamkeit dieser Kontrollen über einen festgelegten Zeitraum. Ein Typ-I-Bericht enthält deshalb keine Prüfungsaussage zur operativen Wirksamkeit über einen Zeitraum.

Welche Grenzen hat die Aussagekraft eines SOC-2-Berichts?

Die Aussagekraft ist auf die Systembeschreibung, die ausgewählten Kriterien, den Berichtstyp, den Stichtag beziehungsweise Zeitraum und den Prüfungsumfang begrenzt. Der Bericht belegt weder ungeprüfte Anforderungen noch pauschal die Sicherheit der gesamten Organisation.

SOC 2 ist kein allgemeines Sicherheitsgütesiegel und darf nicht mit ISO/IEC 27001 gleichgesetzt werden. Es ersetzt andere vertragliche, regulatorische oder zertifizierungsbezogene Anforderungen nicht automatisch. Für Nutzungs- und Weitergabebeschränkungen ist stets der konkrete Bericht maßgeblich.

Gibt es feste Fristen oder Schwellenwerte?

Im AICPA-SOC-2-Rahmen gibt es keine allgemeine Einreichungsfrist, keinen gesetzlichen Startzeitpunkt, keine feste Wiederholungsfrequenz und keinen quantitativen Schwellenwert. Stichtag, Prüfungszeitraum und Wiederholung werden im Prüfungsauftrag festgelegt.

Außerhalb dieses Rahmens können Verträge, Kundenanforderungen oder sektorspezifische Vorgaben zusätzliche Fristen, Mindestanforderungen oder wiederkehrende Nachweise vorsehen. Diese müssen für den Einzelfall gesondert geprüft werden.

Häufige Fehlannahmen

• „SOC 2 ist eine Zertifizierung.“ Nein. Das Ergebnis ist ein Prüfbericht über einen konkret abgegrenzten Gegenstand.
• „Jede Serviceorganisation muss SOC 2 durchführen.“ Nein. Der AICPA-Rahmen selbst begründet keine allgemeine Prüfungspflicht.
• „Ein Bericht deckt automatisch alle fünf Trust-Service-Kategorien ab.“ Nein. Sicherheit gehört zum Kriterienkern; die weiteren Kategorien werden nur entsprechend dem festgelegten Umfang einbezogen.
• „SOC 2 ist mit ISO/IEC 27001 gleichzusetzen.“ Nein. Die Rahmenwerke haben unterschiedliche Gegenstände und Ergebnisse.
• „Ein SOC-2-Bericht darf immer öffentlich verteilt werden.“ Nein. Die zulässige Nutzung und Weitergabe richten sich nach dem konkreten Bericht; SOC 3 ist als Bericht zur allgemeinen Verwendung konzipiert.

Was die Geschäftsleitung tun sollte

Praxisempfehlung, keine eigenständige Rechtspflicht: Vor der Beauftragung sollten folgende Schritte erfolgen:

1. Den Informationsbedarf der vorgesehenen Kunden und Geschäftspartner bestimmen und den Berichtstyp passend dazu festlegen.
2. Das berichtete System, seine Grenze und die tatsächlich erbrachten Leistungen eindeutig festlegen.
3. Sicherheit sowie die zusätzlich relevanten Trust-Service-Kategorien passend zum Prüfungsumfang auswählen.
4. Systembeschreibung, Management-Assertion und belastbare Kontrollnachweise für das beauftragte Engagement vorbereiten.
5. Vor der Verwendung eines Berichts dessen Typ, Stichtag beziehungsweise Zeitraum, Kriterien, Systemgrenze, Prüfungsumfang und Nutzungsbedingungen prüfen.

Für die Geschäftsleitung

SOC 2 liefert eine abgegrenzte Prüfungsaussage, kein universelles Sicherheitsversprechen. Als praktische Vorbereitung und nicht als eigenständige Rechtspflicht sollte die Geschäftsleitung vor der Beauftragung festlegen, welches System, welche Leistungen, welche Kriterien und welcher Berichtstyp den Informationsbedarf der vorgesehenen Nutzer abdecken, sowie Systembeschreibung, Management-Assertion und Kontrollnachweise vorbereiten. Als Nachweis zählt der konkrete SOC-2-Bericht mit seiner Systembeschreibung, Management-Assertion, Kriterienauswahl, seinem Stichtag beziehungsweise Zeitraum, seiner Prüfungsaussage und seinen Nutzungsbedingungen.

Quellen

• AICPA: SOC 2 Reporting on an Examination of Controls at a Service Organization, „Key Topics“
• AICPA: System and Organization Controls – SOC Suite of Services
• AICPA: SOC Suite
• AICPA: Trust Services Criteria with Revised Points of Focus
• Journal of Accountancy: Expanding Service Organization Controls Reporting, Abschnitte zu SOC 2 Typ I und Typ II