SOC 2 Type II
in 12 Monaten.
Planbar, in
Ihren Tools.

Der Standard, den US-Kunden und Enterprise-Einkäufer von Cloud- und Tech-Anbietern erwarten. Wir bringen Sie ohne zusätzliche Compliance-Software zum testierten Report.

Message

Learn more

Brauchen wir eine US-Wirtschaftsprüfungsgesellschaft?

SOC 2 Reports werden nach den Attestierungsstandards des AICPA erstellt. Prüfen darf eine lizenzierte CPA-Firm – das kann auch eine europäische Prüfungsgesellschaft mit entsprechender Zulassung sein.

Wir schlagen Ihnen passende Prüfer vor und koordinieren das Audit.

Type I oder direkt Type II?

Type I bestätigt das Design der Kontrollen zu einem Stichtag und ist direkt nach der Readiness-Phase verfügbar. Type II belegt die Wirksamkeit über einen Beobachtungszeitraum und ist das, was Enterprise-Kunden in der Regel verlangen.

Wer einen laufenden Deal absichern muss, startet mit Type I; wer Zeit hat, geht direkt in die Observation Period.

Wie lang sollte die Observation Period sein?

Üblich sind 3 bis 12 Monate. Der erste Report wird oft mit 3 bis 6 Monaten angesetzt, um schnell ein Ergebnis vorlegen zu können.

Folgereports decken dann meist 12 Monate ab. Die Länge legen Sie gemeinsam mit dem Prüfer fest.

Wir haben ISO 27001 – wie viel ist wiederverwendbar?

Ein Großteil. Die Security-Kriterien von SOC 2 überschneiden sich weitgehend mit den Annex-A-Maßnahmen der ISO 27001. Risikoanalyse, Policies, Zugriffskontrollen und Lieferantenmanagement lassen sich direkt übernehmen.

Ergänzt werden vor allem die Systembeschreibung und die laufende Evidenzsammlung.

Was kostet ein SOC 2 Projekt?

Der Aufwand hängt von Scope, gewählten Kriterien und Ausgangslage ab.

Nach der Gap-Analyse erhalten Sie einen Festpreis für die Readiness-Phase.

Die Prüfungskosten der CPA-Firm werden separat beauftragt.

Laufende Software-Lizenzen fallen nicht an.