Uw Amerikaanse klant vraagt om “SOC 2 Type II”. De host verzendt een niet-gerelateerde “SOC 2-compatibele” pagina. Jij tekent. Voor de klantenaudit is het volledige rapport vereist: “corporate SaaS platform US” scope – niet het VPS EU-aanbod. Type II is geldig; Hij praat niet over jouw dienst.
SOC 2 = rapport van een onafhankelijke auditor over controles met betrekking tot de Trust Services Criteria (beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid, privacy) — op een beperkt beschreven systeem.
Wat het rapport u kan leren
- Operationele controles die in de loop van de tijd zijn getest (Type II).
- Uitzonderingen en reacties van het management – waar het mislukte.
- Systeemperimeter (infrastructuur, datacenters, diensten).
- Materiële onderaannemers (subserviceorganisaties).
Wat het je niet leert
- Wereldwijde AVG-naleving.
- Beveiliging van uw configuratie (OS, app).
- Automatische dekking van alle commerciële aanbiedingen.
- Details zonder geheimhoudingsverklaring (vaak).
| Document | Waarde |
|---|---|
| SOC-logo | Laag |
| Brugbrief | Gemiddelde indien duidelijke omtrek |
| Compleet type II (NDA) | Hoog |
| ISO 27001 + SOC 2 | Complementair als de scopes op één lijn liggen |
Overbrug letters en uitsnijdingen
De brief aan klanten vat de mogelijkheden samen voor klanten zonder geheimhoudingsverklaring. Vink de carve-outs aan (“shared hosting valt niet onder de scope”).
De top: een nuttig buitenlands rapport leest in uitsluitingen
Beslis en ga vooruit zonder blinde vlek
- Overbruggingsbrief of NDA-rapport vereisen.
- Vergelijk de scope met het contractproduct.
- Lees uitzonderingen Type II – niet alleen zuivere meningen.
- Volledige AVG: DPA, ISO-scope, TIA.
Veelgestelde vragen
SOC 2 = ISO 27001?
Nee – Amerikaanse certificering versus SMSI-certificering. Complementair.
Type I versus II?
ik = ontwerp; II = effectiviteit over een periode – geef de voorkeur aan II.
Openbaar rapport?
Zeldzaam: geheimhoudingsverklaring of overbruggingsbrief.
SOC 2 = AVG?
Nee – DPA + TIA blijft vereist.
SOC 2: het buitenlandse rapport is waard wat de reikwijdte waard is – niet de badge op de site.