Erklären Sie SOC 2 Typ I vs. Typ II und die Trust Services Criteria.

SOC 2 ist ein Attestierungsbericht, der von einer unabhängigen CPA-Firma anhand der Trust Services Criteria der AICPA erstellt wird. Es ist das De-facto-Vertrauenssignal, das SaaS-Anbieter Unternehmenskunden geben. Interviewer wollen wissen, ob Sie verstehen, was jeder Bericht tatsächlich beweist.

Typ I vs. Typ II

• Typ I beantwortet: Sind die Kontrollen zu einem bestimmten Stichtag angemessen gestaltet? Es ist eine Momentaufnahme. Er bestätigt, dass die richtigen Kontrollen auf dem Papier zum Beispiel zum 30. Juni existieren.
• Typ II beantwortet: Haben diese Kontrollen über ein Zeitfenster hinweg wirksam funktioniert? Der Prüfer entnimmt Stichproben über einen Prüfzeitraum (üblicherweise 3, 6 oder 12 Monate), um zu bestätigen, dass die Kontrollen tatsächlich funktioniert haben und nicht nur gestaltet wurden.

Ein Typ I ist schneller zu erhalten und wird oft von jüngeren Unternehmen für ihren ersten Bericht genutzt. Ein Typ II hat weit mehr Gewicht, weil er einen dauerhaften Betrieb nachweist — weshalb die meisten Beschaffungsteams von Unternehmen ihn verlangen.

Die Trust Services Criteria

SOC 2 wird anhand von fünf Kategorien abgegrenzt:

• Sicherheit — die gemeinsamen Kriterien, in jedem Auftrag verpflichtend.
• Verfügbarkeit — Zusagen zu Betriebszeit und Resilienz des Systems.
• Verarbeitungsintegrität — die Verarbeitung ist vollständig, gültig, korrekt und zeitnah.
• Vertraulichkeit — Schutz der als vertraulich eingestuften Informationen.
• Datenschutz — Umgang mit personenbezogenen Daten gemäß der Mitteilung der Organisation.

Nur die Sicherheit ist verpflichtend; die Organisation entscheidet je nach Kundenzusagen, welche der übrigen einbezogen werden.

Warum das wichtig ist

Ein guter Kandidat erklärt, dass Typ II die Wirksamkeit über die Zeit nachweist und dass Sicherheit das nicht verhandelbare Kriterium ist. Bonuspunkte für den Hinweis, dass SOC 2 eine Attestierung ist (keine Bestanden/Nicht-bestanden-Zertifizierung), und für die Abgrenzung zu SOC 1, das auf Kontrollen der Finanzberichterstattung abzielt.