SOC 2 · Trust Services Criteria
Vorbereitung auf SOC 2
Bereiten Sie sich auf den SOC-2-Bericht vor, den Ihr Kunde verlangt. Aegentra grenzt die Dienstleistung ab, analysiert Lücken gegenüber den relevanten Trust Services Criteria und ordnet Kontrollen und Nachweise für die Prüfung. Die SOC-2-Prüfung führt eine lizenzierte CPA-Prüfungsgesellschaft durch, die auch den Bericht ausstellt; Aegentra bereitet vor. Beraterinnen und Berater in Europa arbeiten remote und vor Ort in Deutschland.
Was wir liefern
Was die Vorbereitung liefert
Ihr schriftlicher Leistungsumfang legt die Ergebnisse und die Verantwortlichen fest. Die Vorbereitung ist auf diese Ergebnisse ausgerichtet.
- Umfang und Berichtsart
- Die Dienstleistung, Systeme, Trust Services Categories und Berichtsart (Type I oder Type II), die Ihr Kunde tatsächlich benötigt.
- Gap-Analyse
- Ein Abgleich bestehender Kontrollen und Nachweise mit den anwendbaren Kriterien, mit priorisierten Lücken und Verantwortlichen.
- Zuordnung von Kontrollen und Nachweisen
- Jedes Kriterium verknüpft mit einer Kontrolle, einer verantwortlichen Person und den Aufzeichnungen, die ihren Betrieb belegen.
- Richtlinien und Systembeschreibung
- Vereinbarte, auf Ihre Umgebung zugeschnittene Richtlinien und Unterstützung bei der Systembeschreibung.
- Readiness-Review
- Eine Überprüfung vor der Prüfung, die offene Maßnahmen aufzeigt.
- Übergabe an die CPA-Prüfungsgesellschaft
- Die vereinbarten Ergebnisse, übergeben an die von Ihnen beauftragte Prüfungsgesellschaft.
Hintergrund
SOC 2 ist ein Bericht, kein Zertifikat
SOC 2 ist eine Prüfung des Systems und der Kontrollen eines Dienstleisters anhand der Trust Services Criteria des AICPA. Eine lizenzierte CPA-Prüfungsgesellschaft führt die Prüfung durch und stellt den Bericht aus. Ein Type-I-Bericht betrifft die Ausgestaltung der Kontrollen zu einem Stichtag; ein Type-II-Bericht umfasst zusätzlich ihre Wirksamkeit über einen Zeitraum.
Ob Umfang, Zeitraum und Ergebnisse des Berichts genügen, entscheidet Ihr Kunde. Klären Sie daher vor Projektbeginn, was er erwartet.
SOC 2 und ISO/IEC 27001
Bestehende Aufzeichnungen aus ISO/IEC 27001 – etwa Zugriffsüberprüfungen, Risikobeurteilungen, Lieferantenbewertungen und Vorfallsaufzeichnungen – können die SOC-2-Vorbereitung unterstützen, nachdem ihre Relevanz für die abgegrenzte Dienstleistung und den Berichtszeitraum geprüft wurde. Ein ISO/IEC-27001-Zertifikat erfüllt SOC 2 nicht, und ein SOC-2-Bericht ersetzt kein ISO/IEC-27001-Zertifikat.
Was diese Leistung nicht ist
Aegentra ist keine CPA-Prüfungsgesellschaft, führt keine SOC-2-Prüfungen durch und stellt keine Berichte aus. Die Vorbereitung garantiert kein bestimmtes Prüfungsurteil, kein Berichtsdatum und keine Kundenentscheidung.
So läuft es ab
Von der Kundenanfrage zur Übergabe an die Prüfer
Erstgespräch
Wir klären, welche Dienstleistung Ihr Kunde bezieht, welche Berichtsart und Kategorien er erwartet und wie Ihr Zeitplan aussieht, und bieten dann einen Festpreis an.
Abgrenzen
Wir legen Dienstleistung, Kriterien und Verantwortlichkeiten fest, einschließlich des Umgangs mit Subdienstleistern.
Bewerten
Wir prüfen bestehende Kontrollen, Richtlinien und Nachweise und vereinbaren Prioritäten und Verantwortliche.
Vorbereiten
Vereinbarte Dokumente werden angepasst und Nachweise zugeordnet; technische Behebung übernimmt das zuständige Team oder ein gesondert vereinbarter Auftrag.
Prüfen und übergeben
Wir führen das Readiness-Review durch und übergeben die vereinbarten Ergebnisse an Ihre CPA-Prüfungsgesellschaft, die ihre Prüfungshandlungen und ihr Urteil selbst bestimmt.
Für wen es passt
Für wen sich die Leistung eignet
- Software- und Cloud-Anbieter, deren Kunden – oft in den USA – einen SOC-2-Bericht verlangen.
- Organisationen mit ISO/IEC 27001, die nun SOC-2-Anfragen erhalten.
- Teams, die sich auf eine erste Type-I- oder Type-II-Prüfung vorbereiten.
Fragen
Häufige Fragen
Führt Aegentra die SOC-2-Prüfung durch?
Nein. Eine lizenzierte CPA-Prüfungsgesellschaft führt die SOC-2-Prüfung durch und stellt den Bericht aus. Aegentra übernimmt die Vorbereitung und kann mit der von Ihnen beauftragten Gesellschaft zusammenarbeiten.
Type I oder Type II?
Richten Sie sich nach der Anforderung Ihres Kunden. Type I betrifft die Ausgestaltung der Kontrollen zu einem Stichtag, Type II zusätzlich ihre Wirksamkeit über einen Zeitraum. Ein Type-I-Bericht ist kein verpflichtender erster Schritt.
Ist SOC 2 eine Zertifizierung?
Nein. Es handelt sich um einen Prüfungsbericht (Attestation). Ein SOC-2-Zertifikat gibt es nicht.
Wir sind nach ISO/IEC 27001 zertifiziert. Brauchen wir trotzdem SOC 2?
Wenn Ihr Kunde einen SOC-2-Bericht verlangt, ja. Vorhandene ISMS-Nachweise können helfen, aber das eine ersetzt das andere nicht.
Was kostet es?
Wir veröffentlichen keinen Preis. Nach einem Erstgespräch bieten wir einen Festpreis für den Vorbereitungsumfang an. Die Gebühren der CPA-Prüfungsgesellschaft sind gesondert.
Ein Kunde verlangt SOC 2?
Nennen Sie uns die Dienstleistung, den erwarteten Bericht und den Termin.