Ihr amerikanischer Kunde verlangt „SOC 2 Typ II“. Der Host sendet eine unabhängige „SOC 2-konform“-Seite. Sie unterschreiben. Das Kundenaudit erfordert den vollständigen Bericht: Umfang „Unternehmens-SaaS-Plattform USA“ – nicht das VPS-EU-Angebot. Typ II ist gültig; Er spricht nicht über Ihren Service.
SOC 2 = Bericht eines unabhängigen Prüfers über Kontrollen im Zusammenhang mit den Trust Services-Kriterien (Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit, Datenschutz) – auf einem begrenzten beschriebenen System.
Was Sie aus dem Bericht lernen können
- Im Laufe der Zeit getestete Betriebskontrollen (Typ II).
- Ausnahmen und Managementreaktionen – wo es fehlgeschlagen ist.
- Systemperimeter (Infrastruktur, Rechenzentren, Dienste).
- Wesentliche Subunternehmer (Subservice-Organisationen).
Was es dir nicht beibringt
- Globale DSGVO-Konformität.
- Sicherheit Ihrer Konfiguration (Betriebssystem, App).
- Automatische Abdeckung aller kommerziellen Angebote.
- Angaben ohne NDA (häufig).
| Dokument | Wert |
|---|---|
| SOC-Logo | Niedrig |
| Brückenbrief | Durchschnittlicher, wenn freier Umfang |
| Vollständiger Typ II (NDA) | Hoch |
| ISO 27001 + SOC 2 | Komplementär, wenn Bereiche ausgerichtet sind |
Überbrückungsbuchstaben und Aussparungen
Der Brief an die Kunden fasst die Möglichkeiten für Kunden ohne NDA zusammen. Überprüfen Sie Ausgliederungen („Shared Hosting nicht im Umfang“).
Der Gipfel: Ein nützlicher Auslandsbericht liest Ausschlüsse vor
Entscheide dich und gehe ohne blinden Fleck voran
- Brückenbrief erforderlich oder NDA-Bericht.
- Umfang vergleichen mit Vertragsprodukt.
- Lesen Sie Ausnahmen Typ II – nicht nur saubere Meinung.
- Vollständige DSGVO: DPA, ISO-Geltungsbereich, TIA.
Häufig gestellte Fragen
SOC 2 = ISO 27001?
Nein – US-Zertifizierung vs. SMSI-Zertifizierung. Komplementär.
Typ I vs. II?
I = Design; II = Wirksamkeit über einen bestimmten Zeitraum – bevorzugen Sie II.
Öffentlicher Bericht?
Selten – NDA oder Brückenbrief.
SOC 2 = DSGVO?
Nein – DPA + TIA bleibt erforderlich.
SOC 2: Der Auslandsbericht ist das wert, was sein Umfang wert ist – nicht das Abzeichen auf der Website.