„SOC 2 Type 1 oder Type 2?“ ist die erste Frage, die sich jedes Unternehmen stellt, wenn ein Kunde SOC 2 verlangt. Beide Berichte werden von einer unabhängigen CPA-Gesellschaft ausgestellt und beruhen auf denselben Kriterien, beantworten jedoch unterschiedliche Fragen. Dieser Artikel erklärt den Unterschied zwischen Type 1 und Type 2, vergleicht Zeitpläne und Kosten und gibt eine praktische Empfehlung, womit Sie beginnen sollten.
Die kurze Antwort
SOC 2 Type 1 beantwortet die Frage: „Sind die Kontrollen des Unternehmens zu einem bestimmten Stichtag angemessen gestaltet?“ Der Prüfer verifiziert, dass Richtlinien existieren, Kontrollen implementiert sind und diese geeignet sind, die relevanten Kriterien zu erfüllen.
SOC 2 Type 2 beantwortet eine schwierigere Frage: „Haben diese Kontrollen über einen Zeitraum hinweg wirksam funktioniert?“ Der Prüfer zieht Stichproben aus den Nachweisen des gesamten Beobachtungszeitraums (in der Regel 3, 6 oder 12 Monate) und testet, ob die Verfahren tatsächlich eingehalten wurden: Wurden die Konten ausgeschiedener Mitarbeiter entfernt, wurden Backups getestet, durchliefen Änderungen ein Review?
Vereinfacht gesagt: Type 1 ist ein Foto, Type 2 ist eine Videoaufzeichnung.
Direkter Vergleich
| Aspekt | SOC 2 Type 1 | SOC 2 Type 2 |
|---|---|---|
| Prüfungsgegenstand | Gestaltung der Kontrollen | Gestaltung + Wirksamkeit im Betrieb |
| Zeitliche Abdeckung | Ein einzelner Stichtag („as of“) | Ein Zeitraum von 3–12 Monaten |
| Prüfungshandlungen | Dokumentenprüfung, Interviews, Konfigurationschecks | Dasselbe, plus Stichproben aus den Nachweisen des gesamten Zeitraums |
| Zeit bis zum Bericht von null | 2–4 Monate | 6–12 Monate |
| Typische Auditgebühr (KMU) | $8–20k | $15–40k |
| Wie Kunden ihn lesen | „Sie haben den Weg begonnen“ | „Sie haben bewiesen, dass die Prozesse funktionieren“ |
| Häufigkeit | Meist einmalig | Jährlich |
Was der Prüfer tatsächlich testet
Type 1
Zum Berichtsstichtag bewertet der Prüfer jede Kontrolle nach dem Maßstab „existiert sie und ist sie angemessen“. Für eine Kontrolle wie „Produktionszugriff wird nur nach Genehmigung gewährt“ genügt es, die Richtlinie, den Genehmigungsworkflow im Ticketsystem und die aktuelle Benutzerliste mit dem Nachweis vorzulegen, dass für jeden Benutzer ein genehmigter Antrag vorliegt.
Type 2
Für dieselbe Kontrolle fordert der Prüfer eine Liste aller Zugriffsvergaben während des Zeitraums an, etwa sechs Monate, wählt eine zufällige Stichprobe aus und verifiziert für jeden Fall, dass ein Antrag existierte, eine befugte Person ihn genehmigt hat und der Zugriff nach der Genehmigung gewährt wurde, nicht davor. Fehlt bei einem von 25 Stichprobenfällen die Genehmigung, ist das eine Abweichung, und sie landet im Bericht.
Deshalb erfordert Type 2 Disziplin: Die Kontrollen müssen jeden Tag funktionieren, und die Nachweise müssen kontinuierlich gesammelt werden, nicht erst in der Woche vor dem Audit.
Wann Type 1 ausreicht
- Ein Kunde verlangt „irgendein SOC 2“ mit kurzer Frist, zum Beispiel vor der Vertragsunterzeichnung in drei Monaten.
- Sie haben die Kontrollen gerade erst implementiert und haben noch keine Betriebshistorie; Type 2 ist ohne Beobachtungszeitraum schlicht unmöglich.
- Ein Start-up in der Frühphase muss Investoren und ersten Kunden zeigen, dass Sicherheit ernst genommen wird.
- Größere Infrastrukturänderungen stehen bevor, sodass es unpraktisch wäre, jetzt einen Beobachtungszeitraum festzulegen.
Wann Sie Type 2 brauchen
- Enterprise-Kunden, Banken, Versicherer, Unternehmen im Gesundheitswesen. Deren Vendor-Risk-Verfahren verlangen in der Regel Type 2 mit einem Zeitraum von mindestens sechs Monaten.
- Sie besitzen bereits einen Type 1; Kunden erwarten innerhalb des folgenden Jahres einen Type 2.
- SOC 2 ist Teil Ihrer Vertriebsstrategie und nicht nur eine einmalige Anforderung. Type 2 wird jährlich erneuert, und eine lückenlose Kette von Berichten ohne Unterbrechung der Abdeckung ist ein starkes Argument in Verhandlungen.
- Sie verarbeiten sensible Daten in großem Umfang und wollen die Reife Ihrer eigenen Prozesse ernsthaft auf die Probe stellen.
Die typische Strategie: erst Type 1, dann Type 2
Der häufigste und risikoärmste Weg sieht so aus:
- Gap-Analyse und Implementierung der Kontrollen (1–3 Monate). Geltungsbereich und TSC-Kriterien festlegen, Lücken schließen.
- Type 1-Audit. Sie erhalten einen ersten Bericht, den Sie bereits mit Kunden teilen können.
- Beobachtungszeitraum (in der Regel sechs Monate für den ersten Type 2, danach zwölf). Die Kontrollen laufen, und die Nachweise sammeln sich an.
- Type 2-Audit. Sie erhalten einen Bericht, der den gesamten Zeitraum abdeckt.
- Jährliche Erneuerung des Type 2 ohne Lücken in der Abdeckung.
Sie können Type 1 überspringen und direkt zu Type 2 gehen. Insgesamt ist das günstiger, aber Ihr erster Bericht liegt erst nach 8–12 Monaten vor. Wenn Abschlüsse darauf warten, zahlt sich ein Type 1 als Zwischenschritt aus.
Was ein Bridge Letter ist und warum er wichtig ist
Ein Type 2-Bericht deckt einen vergangenen Zeitraum ab. Wenn ein Kunde im Februar den Bericht anfordert und Ihr letzter Zeitraum im September endete, entsteht eine Lücke. Für solche Fälle stellt das Unternehmen einen Bridge Letter (auch Gap Letter genannt) aus: eine Erklärung des Managements, dass seit Ende des Zeitraums keine wesentlichen Änderungen an den Kontrollen vorgenommen wurden. Er ersetzt den Bericht nicht, überbrückt aber die Zeit bis zum nächsten Audit.
Häufige Fehler bei der Wahl
- Einem Kunden einen Type 2 „in drei Monaten“ versprechen. Ohne Beobachtungszeitraum ist das unmöglich, und ein seriöser Prüfer wird sich darauf nicht einlassen.
- Für den ersten Type 2 den kürzesten Zeitraum (drei Monate) wählen, obwohl der Kunde offensichtlich sechs oder zwölf erwartet.
- Geltungsbereich oder Kriterien mitten im Zeitraum ändern, ohne dies mit dem Prüfer abzustimmen.
- Den nächsten Zeitraum nicht sofort nach Erhalt des Berichts planen und dadurch eine Lücke in der Abdeckung riskieren.
Wie BALTUM unterstützt
Unser Beratungsteam führt die Gap-Analyse durch, entwirft Richtlinien und hilft bei der Implementierung der Kontrollen, sodass diese vom ersten Tag an Type 2-tauglich sind und nicht nur Type 1-tauglich. Wir richten die Nachweiserhebung so ein, dass der Beobachtungszeitraum keine Überraschungen bereithält, und stimmen den Zeitplan mit der US-CPA-Gesellschaft der BALTUM-Gruppe ab, deren unabhängiges Prüfungsteam den Bericht ausstellt. Wenn Ihre europäischen Kunden zusätzlich ISO 27001 verlangen, sehen Sie sich das Paket SOC 2 + ISO 27001 an; die meisten Kontrollen sind gemeinsam nutzbar, und das Zertifikat wird von der akkreditierten Zertifizierungsstelle der Gruppe ausgestellt. Details zur Budgetplanung lesen Sie unter Was kostet SOC 2, und die Grundlagen finden Sie unter Was ist SOC 2.
Nicht sicher, welcher Berichtstyp zu Ihrer Situation passt? Senden Sie uns eine kurze Beschreibung Ihres Produkts und der Anforderung Ihres Kunden, und wir empfehlen Ihnen die optimale Reihenfolge und den passenden Zeitplan. Beratung anfordern.