Der Erhalt Ihres ersten SOC 2-Berichts ist nicht die Ziellinie — es ist der Beginn eines Zyklus. Ein Type 2-Bericht deckt einen definierten Beobachtungszeitraum ab, und am Tag nach dessen Ende beginnen Kunden zu fragen: „Und wie steht es jetzt um Ihre Kontrollen?“ Genau dafür gibt es Bridge Letters, jährliche Erneuerungen des Berichts und kontinuierliche Compliance. Hier erfahren Sie, wie Sie den Zyklus so gestalten, dass er nicht zur jährlichen Feuerwehrübung wird.
Warum ein SOC 2-Bericht „altert“
Ein SOC 2 Type 2-Bericht beschreibt, wie die Kontrollen während des Beobachtungszeitraums funktioniert haben — etwa vom 1. Januar bis 31. Dezember. Danach bleibt der Bericht als historisches Dokument gültig, sagt aber nichts über den aktuellen Zustand aus. Die Marktpraxis betrachtet einen Bericht für etwa 12 Monate nach Ende des Zeitraums als aktuell. Ein Type 1-Bericht beschreibt einen einzelnen Stichtag, sodass seine Nutzungsdauer noch kürzer ist.
Zwischen dem Ende des Zeitraums und der Ausstellung des nächsten Berichts gibt es immer eine Lücke: Der Prüfer benötigt 4–8 Wochen für Prüfungshandlungen und Entwurf. Rechnen Sie die Zeit für die Durchsicht hinzu, und Sie haben 2–3 Monate ohne aktuellen Bericht. Der Bridge Letter überbrückt diese Lücke.
Was ein Bridge Letter (Gap Letter) ist
Ein Bridge Letter ist ein Schreiben, das die Dienstleistungsorganisation — Ihr Unternehmen, nicht der Prüfer — an ihre Kunden ausstellt. Darin bestätigt das Management, dass vom Enddatum des letzten Beobachtungszeitraums bis zum Datum des Schreibens:
- die im SOC 2-Bericht beschriebenen Kontrollen weiterhin funktionieren;
- keine wesentlichen Änderungen am Kontrollumfeld stattgefunden haben (oder die Änderungen aufgeführt werden, falls es welche gab);
- keine Vorfälle eingetreten sind, die die Schlussfolgerungen des Berichts beeinträchtigen würden (oder diese beschrieben werden).
Drei Punkte sind wichtig. Erstens ist ein Bridge Letter eine Erklärung des Managements, kein Urteil des Prüfers; die CPA-Gesellschaft stellt ihn weder aus noch unterzeichnet sie ihn. Zweitens ersetzt er den Bericht nicht — er überbrückt lediglich zwei Berichte. Drittens deckt er normalerweise nicht mehr als drei Monate ab; eine längere Lücke veranlasst Kunden zu fragen, warum sich das nächste Audit verzögert.
Was ein Bridge Letter typischerweise enthält
- Verweis auf den jüngsten Bericht: Typ, Beobachtungszeitraum, CPA-Gesellschaft, Datum des Urteils.
- Den vom Schreiben abgedeckten Zeitraum (Enddatum des Zeitraums bis Datum des Schreibens).
- Eine Erklärung, dass es keine wesentlichen Änderungen an Kontrollen, Systemen, Schlüsselpersonal oder Subdienstleistern gab.
- Eine Aussage zu Vorfällen (oder deren Ausbleiben).
- Das geplante Datum des nächsten Berichts.
- Unterschrift eines bevollmächtigten Vertreters — üblicherweise des Sicherheitsverantwortlichen oder CFO.
Wir stellen im Rahmen der laufenden Betreuung eine Vorlage für den Bridge Letter bereit und helfen, Änderungen ehrlich zu formulieren, wenn es welche gab: Das Verschweigen von Änderungen schadet dem Vertrauen weit mehr als die Änderungen selbst.
Wie Sie Beobachtungszeiträume planen
Um Lücken zu minimieren, sollten die Beobachtungszeiträume nahtlos aneinander anschließen: Der erste Bericht deckt etwa den 1. Juli – 31. Dezember ab (sechs Monate), der zweite den 1. Januar – 31. Dezember des Folgejahres, und danach jährlich. Jeder neue Bericht erscheint dann etwa im Februar–März, mit einem Bridge Letter, der Januar–Februar abdeckt.
| Szenario | Beobachtungszeitraum | Lücke ohne Bericht | Lösung |
|---|---|---|---|
| Erster Type 2 | 3–6 Monate | Audit plus Zeit für den Entwurf | Zuerst Type 1, danach Bridge Letter |
| Jährliche Erneuerung | 12 aufeinanderfolgende Monate | 2–3 Monate | Bridge Letter für die Lücke |
| Pause zwischen Zeiträumen | Lücke über 3 Monate | Ein echtes Loch in der Abdeckung | Vermeiden; Kunden könnten einen neuen Type 1 verlangen |
Kontinuierliche Compliance: was zwischen den Audits zu tun ist
Der teuerste Fehler ist, SOC 2 nach dem Bericht zu vergessen und sich einen Monat vor dem nächsten Audit wieder daran zu erinnern. Type 2-Kontrollen müssen während des gesamten Zeitraums funktionieren und Nachweise hinterlassen; sie lassen sich nicht rückwirkend rekonstruieren. Dies ist der Mindestrhythmus, den wir empfehlen:
Monatlich
- Logs und Alarme prüfen, Vorfälle abschließen;
- verifizieren, dass Sicherheitspatches eingespielt sind;
- bestätigen, dass Backups vollständig und wiederherstellbar sind.
Vierteljährlich
- Zugriffsüberprüfungen mit dokumentierten Ergebnissen;
- Schwachstellenscans und Nachverfolgung der Behebung;
- Überprüfung neuer Lieferanten und Unterauftragsverarbeiter;
- Überprüfung des Risikoregisters.
Jährlich
- Überprüfung, Freigabe und Kenntnisnahme der Richtlinien durch die Mitarbeiter;
- Security-Awareness-Schulung;
- Test der Geschäftskontinuität und Disaster Recovery;
- Penetrationstest;
- Risikobeurteilung und Überprüfung des Geltungsbereichs.
Compliance-Automatisierungsplattformen helfen, indem sie Nachweise automatisch aus Cloud-Diensten abrufen und Verantwortliche an manuelle Aufgaben erinnern. Die Verantwortung für jede Kontrolle muss jedoch bei einer benannten Person liegen, nicht bei einem Tool.
Wann Sie den Berichtsumfang ändern sollten
Unternehmen verändern sich: neue Produkte, Hosting-Regionen, Datenkategorien, Kunden mit neuen Anforderungen. Prüfen Sie vor jedem neuen Beobachtungszeitraum:
- ob TSC-Kategorien hinzugefügt werden sollen (zum Beispiel Availability oder Confidentiality);
- ob sich die Systeme und Subdienstleister im Geltungsbereich geändert haben;
- ob der nächste Zyklus mit ISO 27001, NIS2 oder GDPR kombiniert werden soll — siehe SOC 2 und GDPR gemeinsam.
Änderungen am Geltungsbereich nehmen Sie am besten an den Zeitraumgrenzen vor, nicht mittendrin; andernfalls muss der Prüfer zwei unterschiedliche Systemzustände in einem Bericht beschreiben.
Was bei Abweichungen im Bericht zu tun ist
Abweichungen in einem Type 2-Bericht sind keine Katastrophe — die meisten Berichte enthalten welche. Entscheidend ist, einen Behebungsplan zu dokumentieren, ihn umzusetzen und im nächsten Zeitraum zu zeigen, dass das Problem geschlossen ist. Kunden reagieren weitaus gelassener auf „eine Abweichung mit dokumentierter Behebung“ als auf einen Lieferanten ganz ohne Type 2.
Die Rolle des Beraters nach dem ersten Bericht
Sobald der Bericht ausgestellt ist, bietet das Beratungsteam von BALTUM laufende Compliance-Unterstützung an: regelmäßige Kontrollprüfungen, Erstellung des Bridge Letters, Aktualisierung der Richtlinien, Vorbereitung der Nachweise für das nächste Audit und Terminplanung mit der US-CPA-Gesellschaft der Gruppe, die ein unabhängiges Prüfungsteam bleibt. Das ist günstiger, als die Vorbereitung jedes Jahr von null zu wiederholen, und lässt das Team sich auf das Produkt konzentrieren. Die zugrunde liegenden Vorbereitungsschritte finden Sie in unserer SOC 2 Readiness-Checkliste und den europäischen Marktkontext unter SOC 2 für europäische Softwareunternehmen, die in die USA verkaufen.
Sie haben bereits einen SOC 2-Bericht und möchten, dass der nächste Zyklus ohne Hektik abläuft? Oder ein Kunde fragt nach einem Bridge Letter, und Sie wissen nicht, wo Sie anfangen sollen? Fordern Sie ein Angebot an — wir bewerten den aktuellen Zustand Ihrer Kontrollen und schlagen Ihnen einen Betreuungsplan bis zum nächsten Audit vor.