SOC 2 Type I oder Type II:Was ihr erster enterprise-deal wirklich verlangt

Hier die Kurzfassung. Ihr Käufer will fast sicher einen Type II. Trotzdem sollten Sie wahrscheinlich zuerst einen Type I machen. Und der Bericht ist nur so viel wert wie der Prüfer, der ihn unterzeichnet, weshalb diese Wahl genauso wichtig ist wie die Berichtsart. Der Rest dieses Leitfadens erklärt das in einfachen Worten, damit Sie Ihr Geld einmal und in der richtigen Reihenfolge ausgeben.

SOC 2 ist kein Zertifikat. Es ist eine Bescheinigung. Ein unabhängiger Wirtschaftsprüfer untersucht, wie Sie Kundendaten schützen, und hält anschließend schriftlich fest, was er vorgefunden hat. Dieses Schriftstück ist der Bericht. Es gibt kein Siegel und nichts zum Aufhängen. Das Sicherheitsteam Ihres Interessenten liest den Bericht und entscheidet, ob es Ihnen vertraut.

Der Prüfer, der das übernimmt, ist ein CPA, ein Certified Public Accountant, und genau darauf kommt es an. SOC 2 prüft Ihre Sicherheit auf dieselbe Weise, wie eine Jahresabschlussprüfung Ihre Bücher prüft: methodisch, anhand von Stichproben, um mit hinreichender Sicherheit festzustellen, dass Ihre Angaben zutreffen. Das ist der eigentliche Unterschied zu Zertifizierungen wie ISO 27001. Auch die Kriterien unterscheiden sich, aber der größere Unterschied liegt darin, wer die Prüfung durchführt und wie.

Gemessen wird an fünf Bereichen, den sogenannten Trust Services Criteria: Security, Availability, Confidentiality, Processing Integrity und Privacy. Security ist immer enthalten. Die anderen vier sind optional, und jeder zusätzliche Bereich bringt eigene Controls, Nachweise und Prüfstunden mit sich, in jedem Jahr, in dem er im Bericht bleibt. Nehmen Sie einen Bereich also nur dann auf, wenn ein Versprechen, das Sie bereits gegeben haben, das erfordert. Eine Verfügbarkeitszusage deutet auf Availability hin, eine vertragliche Vertraulichkeitspflicht auf Confidentiality.

Wenn ein Interessent nach allen fünf fragt, fragen Sie nach, worum es ihm wirklich geht. Meist ist es genau eine Sache. Und denken Sie daran: Sie erstellen einen Bericht, nicht einen pro Kunde. Derselbe Bericht geht an alle, die danach fragen. Legen Sie den Umfang auf das fest, was Sie tatsächlich zugesagt haben, nicht auf das, was der Anspruchsvollste verlangt. Die meisten Unternehmen starten mit Security allein oder mit Security plus Availability und Confidentiality und erweitern später, wenn Käufer weiter danach fragen.

Es sind die Enterprise-Käufer, die danach fragen. Sie wollen Nachweise statt Versprechen, bevor sie ihre Daten herausgeben. SOC 2 begann als überwiegend amerikanische Anforderung, ist inzwischen aber auch in Europa verbreitet.

Damit lassen sich die beiden Berichtsarten leicht auseinanderhalten. Stellen Sie sich einen Type I als Foto vor und einen Type II als Video.

Der Type I ist das Foto. Er zeigt, dass Ihre Sicherheits-Controls an einem bestimmten Tag richtig eingerichtet sind. Der Prüfer sieht sich Ihre Richtlinien und Einstellungen so an, wie sie gerade sind, und gibt ein Urteil darüber ab, ob sie gut ausgestaltet sind. Es ist eine Momentaufnahme, und sie sagt nichts darüber aus, was am Tag danach passiert.

Der Type II ist das Video. Er zeigt Ihre Controls im laufenden Betrieb, Tag für Tag, über einen längeren Zeitraum. Der Prüfer legt einen Zeitraum fest, üblicherweise drei bis zwölf Monate, und prüft Nachweise dafür, dass die Controls durchgehend funktioniert haben. Nicht „wir haben eine Richtlinie für die Überprüfung von Zugriffsrechten“, sondern die tatsächlichen Zugriffsüberprüfungen, die Sie im Zeitraum durchgeführt haben, mit Datum und Freigabe. Käufer vertrauen dem Video, weil es zeigt, dass Sie Ihre Sicherheit leben, statt sie für einen Tag zu inszenieren.

Bevor Sie sich entscheiden, sehen Sie sich an, was jede Variante Sie an Kalenderzeit kostet, denn das gibt in der Regel den Ausschlag.

Der langsame Teil ist bei beiden Berichten derselbe. Richtlinien schreiben, Systeme konfigurieren, Zugriffsüberprüfungen durchführen, Monitoring einrichten: Diese Arbeit dauert bei den meisten Teams einige Monate, und keiner der beiden Berichte erlaubt es, sie zu überspringen. Kein Prüfer kann nächste Woche vorbeikommen und bewerten, was zufällig da ist. Es muss etwas aufgebaut sein und laufen, bevor es überhaupt etwas anzusehen gibt.

Unterschiedlich ist nur, was danach passiert. Ein Type I kann kurz nach dem Fertigstellen der Controls ausgestellt werden, weil der Prüfer die Ausgestaltung zu einem Stichtag beurteilt. Ein Type II lässt sich nicht beschleunigen, weil die Controls erst laufen müssen, bevor es etwas zu prüfen gibt. Ein sechsmonatiger Type II dauert sechs Monate, und kein Budget verkürzt das.

Genau dieser Abstand ist die ganze Entscheidung.

Beginnen wir mit dem praktischen Grund. Zwischen dem Tag, an dem Ihre Controls stehen, und dem Tag, an dem Ihr erster Type II vorliegt, liegen mindestens drei und meist sechs Monate. Der Type I ist der einzige Bericht, den Sie einem Käufer in diesem Zeitfenster in die Hand geben können. Wenn ein Deal nur auf Unterlagen wartet, ist das für sich genommen oft schon die Antwort.

Ein Type I ist eine günstige Generalprobe, bevor es ernst wird. Er holt Ihren Prüfer an Bord und legt genau fest, was er von Ihnen erwarten wird. Sie übergeben für jedes Control einen sauberen Nachweis, und genau das ist es, was Sie danach über den gesamten Type-II-Zeitraum immer wieder liefern müssen. Es ist deutlich besser, eine Lücke jetzt im Foto zu finden als mitten im Video. Und weil Prüfer den Type II häufig günstiger anbieten, wenn sie bereits Ihren Type I gemacht haben, kostet beides zusammen meist nur wenig mehr als der Type II allein. Für diesen kleinen Aufpreis bekommen Sie einen sicheren ersten Durchlauf.

Der Type I ist also nützlich, aber er ist nicht das, was den Deal abschließt. Was der Enterprise-Käufer will, ist ein Type II. Manche gehen weiter und verlangen einen Zeitraum von mindestens sechs Monaten, obwohl ein Type II mindestens drei Monate abdecken muss.

Und hier der Teil, den man sich merken sollte. Diese Forderung ist meist flexibler, als sie aussieht. Eine Zeile in einem Fragebogen ist eine Ausgangsposition, kein verschlossenes Tor, und sie wird nicht dadurch zur festen Regel, dass jemand sie in eine Tabelle getippt hat. Sprechen Sie also mit dem Käufer. Ein übliches Gespräch läuft so: Sie sagen ihm, dass Sie jetzt einen Type I schicken, damit er einen Bericht in der Hand hat, und anschließend einen sechsmonatigen Type II durchlaufen, der ihm mehr Nachweise und stärkere Sicherheit gibt als ein überhasteter Dreimonatsbericht. Die meisten Käufer stimmen zu, weil sie am Ende bessere Nachweise bekommen, nicht weniger. Nach diesem ersten Sechsmonatsbericht wechseln Sie auf einen Zwölfmonatszyklus und bleiben dabei.

Die Berichtsart ist nur die halbe Entscheidung. Die andere Hälfte ist, wer ihn unterzeichnet, und das vergessen Erstprüflinge oft.

Sie können ein SOC-2-Audit nicht in dem Sinne nicht bestehen, wie man eine Prüfung nicht besteht, denn es gibt keine Bestehensgrenze. Der Prüfer gibt lediglich ein Urteil ab, und davon gibt es vier. Ein uneingeschränktes Urteil bedeutet, dass Ihre Controls standgehalten haben. Ein eingeschränktes Urteil bedeutet, dass sie weitgehend standgehalten haben, mit einigen vermerkten Abweichungen. Ein negatives Urteil bedeutet, dass sie es nicht getan haben. Eine Erklärung über die Nichtabgabe eines Urteils bedeutet, dass der Prüfer nicht genug erheben konnte, um überhaupt zu urteilen. Sie streben ein uneingeschränktes Urteil an, aber ein eingeschränktes kann durchaus brauchbar sein, solange Sie erklären können, worin die Abweichung bestand und was Sie dagegen unternommen haben.

Weil es kein Siegel gibt, entsteht der Wert des Berichts vollständig aus der Firma, die ihn unterzeichnet. Formal kann jeder Prüfer einen SOC-2-Bericht schreiben. Sie wollen einen, dem Ihr Käufer auch wirklich vertraut. In der Praxis heißt das: eine CPA-Firma, die bei der AICPA registriert ist, dem American Institute of Certified Public Accountants, und die aktiv am Peer-Review-Programm teilnimmt, in dem andere Prüfer regelmäßig kontrollieren, ob ihre Prüfungen ordnungsgemäß durchgeführt wurden. Beides ist öffentlich einsehbar, prüfen Sie es also nach, bevor Sie unterschreiben. Zulassung und Status einer Firma können Sie über CPAverify bestätigen. Einen Big-Four-Namen brauchen Sie nicht. Die sind ausgezeichnet und teuer, aber eine kleinere registrierte Firma ist völlig in Ordnung. Was Sie nicht tun sollten, ist allein nach dem Preis zu entscheiden, denn ein günstiger Bericht von einer Firma, die der Käufer nicht kennt, ist sehr wenig wert.

• Fragen Sie den Käufer, was er tatsächlich braucht, bevor Sie den Umfang festlegen, und behandeln Sie den Zeitraum als verhandelbar.
• Machen Sie zuerst einen Type I als Generalprobe mit geringem Risiko.
• Prüfen Sie vor der Unterschrift, ob Ihr Prüfer AICPA-registriert und peer-reviewed ist.
• Beginnen Sie jetzt mit der Sicherheitsarbeit, denn sie ist der langsame Teil.
• Wählen Sie den Prüfer nicht allein nach dem Preis aus.
• Betrachten Sie den Wortlaut des Fragebogens nicht als endgültig.
• Versprechen Sie keinen Type II schneller, als es sein Zeitraum zulässt, denn ein Sechsmonatsbericht dauert sechs Monate.
• Lassen Sie Ihre Controls nach dem Audit nicht einschlafen, sonst zeigt das der nächste Bericht.

Der erste Bericht ist nicht die Ziellinie, planen Sie also, was danach kommt. Ein SOC-2-Bericht deckt einen festgelegten Zeitraum ab und wird in der Regel noch etwa zwölf Monate nach dessen Ende als aussagekräftig akzeptiert. In der Lücke zwischen diesem Enddatum und dem Tag, an dem ein neuer Interessent fragt, wollen Käufer oft ein Bridge Letter. Das ist eine kurze, von Ihrer eigenen Geschäftsführung unterzeichnete Erklärung, dass sich seit Abschluss des Berichts nichts Wesentliches geändert hat. Sie verschafft Ihnen ein paar Monate, ist aber Ihr Wort und nicht das des Prüfers und ersetzt daher kein neues Audit. Deshalb wird der Type II zu einem jährlichen Rhythmus. Ihr erster Bericht gewinnt den Deal. Die Controls dauerhaft am Laufen zu halten ist das, was jeden weiteren Bericht absichert und sauber hält.

Wenn gerade eine SOC-2-Anfrage hereingekommen ist, zählt die Reihenfolge mehr als das Tempo. Fragen Sie zuerst den Käufer, welchen Bericht er über welchen Zeitraum braucht, denn diese eine Antwort prägt alles Weitere und ist oft verhandelbar. Wenn Sie das Ziel kennen, suchen Sie einen glaubwürdigen Prüfer, einen CPA, der bei der AICPA registriert ist und aktiv am Peer-Review-Programm teilnimmt, denn der Bericht ist nur so viel wert, wie sein Name trägt. Ist der Prüfer gewählt, legen Sie den Umfang auf Security plus das fest, was Sie Ihren Kunden tatsächlich zugesagt haben, und beginnen Sie sofort mit der Sicherheitsarbeit, weil sie am längsten dauert. Von dort gehen Sie die Leiter hinauf: zuerst ein Type I, dann ein sechsmonatiger Type II, dann jedes Jahr ein Zwölfmonatszyklus.

Zwei Dinge sollten stimmen, bevor die Feldarbeit beginnt. Das Erste, wonach Prüfer fragen, ist eine Übersicht darüber, was Sie haben und wer darauf Zugriff hat, deshalb muss Ihr Asset-Register standhalten. Und weil ein Type II Vorfälle über den gesamten Zeitraum prüft und nicht an einem Stichtag, brauchen Sie einen Vorfallprozess, den Sie im Ernstfall wirklich befolgen, und nicht einen, der nur auf dem Papier existiert.