SOC 2-audit, door Register EDP-auditors.
Trust Services Criteria voor SaaS en cloud.
Wat is het?
SOC 2 is het Amerikaanse assurance-rapport op basis van de AICPA Trust Services Criteria: Security, Availability, Confidentiality, Processing Integrity en Privacy. Internationale klanten vragen er vaak om voordat ze met een SaaS- of cloudleverancier in zee gaan. Bij een SOC 2-audit toetsen we of je beheersmaatregelen aan die criteria voldoen, op één moment (Type 1) of over een periode (Type 2). Wij voeren SOC 2 uit vanuit Nederland, op een manier die hier én bij je internationale klanten landt.
Voor wie?
Voor SaaS-bedrijven, cloudproviders en dataverwerkers die zakendoen met (vooral) Amerikaanse klanten, of die hun securityprogramma onafhankelijk willen laten valideren. Een SOC 2-rapport is vaak de sleutel om enterprise-klanten en hun securityteams te overtuigen. En het scheelt je een stapel securityvragenlijsten: één rapport beantwoordt de meeste vragen in één keer.
Wat het oplevert.
- Een SOC 2 Type 1- of Type 2-rapport op de AICPA Trust Services Criteria
- Een Engelstalig rapport dat aansluit bij wat internationale klanten gewend zijn
- Onafhankelijke validatie van je securityprogramma
- Inzicht in gaten en concrete verbeterpunten vóór de observatieperiode
Type 1 of Type 2?
Een SOC 2-rapport bestaat in twee varianten. Het verschil zit in de vraag die het beantwoordt: zijn je beheersmaatregelen goed ontworpen, of werken ze ook echt?
| Type 1 | Type 2 | |
|---|---|---|
| Wat we toetsen | Opzet en bestaan van de beheersmaatregelen | Opzet, bestaan én werking |
| Peilmoment | Eén peildatum | Een observatieperiode, meestal 6 tot 12 maanden |
| Doorlooptijd | Doorgaans 4 tot 8 weken vanaf de kick-off | De observatieperiode, plus enkele weken voor de rapportage |
| Waarde voor je klanten | Laat zien dat de basis staat | Het rapport waar enterprise-klanten om vragen |
Veel organisaties beginnen met een Type 1 en groeien daarna door naar Type 2. Dat is geen verplichte tussenstap. Staat je beheersing al een tijd stabiel, dan kun je direct met de observatieperiode voor Type 2 beginnen. Een Type 1 is vooral handig als een klant nú iets op papier wil zien, of als je eerst wilt weten of je opzet klopt voordat de klok gaat lopen.
Welke Trust Services Criteria kies je?
SOC 2 toetst aan de Trust Services Criteria van de AICPA, de Amerikaanse beroepsorganisatie van accountants. Security zit altijd in scope. De andere vier voeg je toe als je klanten erom vragen of als ze passen bij wat je contractueel belooft:
- Security: bescherming tegen ongeautoriseerde toegang. Altijd verplicht.
- Availability: is je dienst beschikbaar zoals afgesproken in je SLA?
- Confidentiality: blijft vertrouwelijke informatie ook echt vertrouwelijk?
- Processing Integrity: verloopt de verwerking juist, volledig en tijdig?
- Privacy: ga je met persoonsgegevens om zoals je toezegt?
Meer criteria is niet automatisch beter. Elk extra criterium betekent extra controls, extra bewijs en een hogere prijs. Wij adviseren welke criteria je klanten écht verwachten. Meer achtergrond lees je in Wat is SOC 2?
Kosten en doorlooptijd.
Wat een SOC 2-audit kost, hangt af van wat er getoetst moet worden. Een SaaS-scale-up met één platform en alleen Security in scope is een andere opdracht dan een cloudprovider met meerdere omgevingen en alle vijf criteria. Daarom werken we niet met een standaardprijs, maar met een vaste prijs per opdracht. De prijs wordt vooral bepaald door:
- Type 1 of Type 2, en bij Type 2 de lengte van de observatieperiode
- Het aantal Trust Services Criteria in scope
- De omvang van je systemen en omgevingen, en de partijen waaraan je zelf uitbesteedt
- Hoe goed je beheersmaatregelen en het bewijs daarvan al zijn vastgelegd
Na het scopinggesprek krijg je een offerte waarin prijs, planning en aanpak vastliggen. Blijft de scope gelijk, dan blijft de prijs gelijk. Geen verrassingen achteraf.
Voor de doorlooptijd geldt grofweg: een Type 1-rapport heb je doorgaans binnen 4 tot 8 weken na de kick-off, mits je beheersing en documentatie op orde zijn. Bij Type 2 komt daar de observatieperiode bij, meestal 6 tot 12 maanden; bij een eerste rapport soms korter. Na afloop van die periode volgen de laatste toetsing en de rapportage. Heb je het rapport op een vaste datum nodig, bijvoorbeeld voor een aanbesteding of de verlenging van een groot contract? Vertel het ons in het eerste gesprek, dan rekenen we terug.
SOC 2-certificering: een rapport, geen certificaat.
Veel mensen zoeken op "SOC 2-certificering" of vragen om een "SOC 2-certificaat". Strikt genomen bestaat dat niet. Bij ISO 27001 krijg je na een geslaagde audit een certificaat van een certificerende instelling: je voldoet of je voldoet niet, en het certificaat is drie jaar geldig. SOC 2 werkt anders. Je krijgt een assurance-rapport met het oordeel van een onafhankelijke auditor, een beschrijving van je systeem en, bij Type 2, per control wat er is getoetst en wat de uitkomst was.
Daardoor zegt een SOC 2-rapport meer dan een certificaat: je klant ziet niet alleen dát je het op orde hebt, maar ook hoe. Wel veroudert een rapport. Klanten verwachten meestal elk jaar een nieuw Type 2-rapport dat aansluit op de vorige periode. Bedient je klantenkring vooral de financiële kant, kijk dan ook naar een ISAE 3402-verklaring.
Onze aanpak.
-
Kennismaking & scoping
We beginnen met een kennismaking en bepalen samen de scope: wat hoort erbij en wat niet.
-
Offerte
Op basis van de scope stellen we een heldere offerte op, met een vaste prijs en een duidelijke aanpak.
-
Kick-off
Zodra de offerte getekend is, starten we met een kick-off waarin we de exacte tijdlijnen en aanpak afstemmen.
-
Systeembeschrijving beoordelen
We beoordelen de systeembeschrijving (sectie III van de rapportage) op juistheid en volledigheid: geeft die een getrouw beeld van de dienstverlening en de omgeving?
-
Normenkader toetsen
We toetsen het normenkader op volledigheid en of de controls op een juiste, toetsbare wijze zijn beschreven.
-
Toetsing
Na akkoord op het normenkader toetsen we de beheersmaatregelen en verzamelen we het onderbouwende bewijs.
-
Rapportage
We stellen een heldere rapportage op met ons onafhankelijke oordeel en de bevindingen.
-
Presentatie & evaluatie
We bespreken de rapportage en evalueren samen het traject, zodat een volgende audit nog soepeler verloopt.
Veelgestelde vragen.
- Wat kost een SOC 2-audit?
- Dat hangt af van het type rapport, het aantal Trust Services Criteria, de omvang van je systemen en hoe goed je beheersing al is vastgelegd. Na een kennismaking en scoping krijg je een offerte met een vaste prijs. Blijft de scope gelijk, dan blijft de prijs gelijk.
- Hoe lang duurt een SOC 2-traject?
- Een Type 1-rapport heb je doorgaans binnen 4 tot 8 weken na de kick-off. Een Type 2-rapport dekt een observatieperiode van meestal 6 tot 12 maanden; daarna volgen nog de laatste toetsing en de rapportage.
- Wat is het verschil tussen SOC 2 Type 1 en Type 2?
- Type 1 beoordeelt de opzet en het bestaan van je beheersmaatregelen op één peildatum. Type 2 toetst daarnaast of ze over een periode ook echt hebben gewerkt. Klanten vragen meestal om Type 2.
- Bestaat er een SOC 2-certificaat?
- Nee. Een SOC 2-audit levert een assurance-rapport op met het oordeel van een onafhankelijke auditor, geen certificaat. Wie om een "SOC 2-certificering" vraagt, bedoelt bijna altijd een SOC 2 Type 2-rapport.
- Welke Trust Services Criteria kan ik kiezen?
- Naast de verplichte Common Criteria (Security) kun je Availability, Confidentiality, Processing Integrity en Privacy toevoegen. We adviseren welke voor jouw situatie relevant zijn.
- Is SOC 2 hetzelfde als ISO 27001?
- Nee. SOC 2 is een Amerikaans assurance-rapport op de Trust Services Criteria; ISO 27001 is een internationale norm voor je ISMS, waarvoor je een certificaat krijgt. Ze overlappen voor een groot deel: heb je ISO 27001 al, dan heb je een flinke voorsprong richting SOC 2.
- Kunnen jullie SOC 2 in Nederland uitvoeren?
- Ja. Wij voeren SOC 2-trajecten uit vanuit Nederland, met een rapport dat zowel hier als bij je internationale klanten landt.
- Wat is een bridge letter?
- Een verklaring van je eigen management over de periode tussen het einde van je laatste SOC 2-rapport en nu. Je klant weet dan dat er in de tussentijd niets wezenlijks is veranderd. De auditor geeft daar geen oordeel over.