Die kurze Antwort
Entscheiden Sie danach, wo Ihre Kunden sitzen. Britische, europäische und die meisten internationalen Kunden fragen nach ISO 27001, US-Kunden meist nach einem SOC-2-Bericht. Die beiden überschneiden sich stark. Bereiten Sie sich also einmal vor und lassen Sie zuerst das prüfen, was Ihr nächster Deal verlangt. Qorelo, ein deutsches KI-Startup, wurde in rund sechs Wochen ohne Nichtkonformitäten nach ISO 27001 zertifiziert und schloss danach eine Prüfung nach SOC 2 Type I ab.
Ein weiterer Unterschied zählt im Vertriebsgespräch: Am Ende von ISO 27001 steht ein Zertifikat einer akkreditierten Zertifizierungsstelle. Am Ende von SOC 2 stehen ein Bericht und ein Prüfungsurteil einer CPA-Firma. Ein SOC-2-Zertifikat gibt es nicht.
Mit einem Gründer über Ihren ISO-Weg sprechen · Qorelo-Fallstudie lesen
ISO 27001 und SOC 2 im direkten Vergleich
| ISO 27001 | SOC 2 | |
|---|---|---|
| Was es ist | Eine internationale Norm für ein Informationssicherheits-Managementsystem (ISMS) | Eine Prüfung Ihrer Kontrollen anhand der Trust Services Criteria des AICPA |
| Was Sie bekommen | Ein Zertifikat | Einen Bericht mit dem Prüfungsurteil des Auditors |
| Wer es ausstellt | Eine akkreditierte Zertifizierungsstelle (in UK von UKAS akkreditiert) | Eine zugelassene CPA-Firma |
| Wer danach fragt | Britische, europäische und die meisten internationalen Kunden | US-Kunden und Unternehmen mit US-Muttergesellschaft in anderen Ländern |
| Was abgedeckt ist | Ihr ISMS plus die Maßnahmen aus Anhang A, die Sie in Ihrer Erklärung zur Anwendbarkeit auswählen (93 in der Version von 2022) | Immer Sicherheit (Security); Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz, wenn Sie diese Kategorien aufnehmen |
| Wie lange es gilt | Drei Jahre, mit Überwachungsaudits im zweiten und dritten Jahr | Ein Bericht deckt einen Stichtag (Type I) oder einen Zeitraum (Type II) ab; Kunden verlangen jedes Jahr einen neuen |
| Wie Kunden es prüfen | Über das Zertifikat selbst, oft auch über öffentliche Register wie UKAS CertCheck und IAF CertSearch | Sie teilen den Bericht, meist unter NDA |
Womit Sie anfangen sollten
Gehen Sie von den Märkten aus, in denen Sie heute verkaufen, und von denen, die Sie etwa im kommenden Jahr erschließen wollen.
- Sie verkaufen in UK und Europa: ISO 27001. Diese Norm nennen Einkaufsabteilungen in ihren Fragebögen und Verträgen.
- Sie verkaufen in die USA oder haben es vor: SOC 2. Diesen Bericht kennen Sicherheitsteams in den USA.
- Sie verkaufen fast überall sonst, etwa in Asien oder Lateinamerika: ISO 27001, weil die Norm international ist.
- Sie verkaufen in beide Märkte: Bereiten Sie sich auf beides gleichzeitig vor, lassen Sie jetzt das eine prüfen und das zweite, sobald ein Kunde es tatsächlich braucht.
Zwei unserer Kunden haben diese Entscheidung getroffen. Centinel Analytica, ein deutsches Startup für Bot-Erkennung, wurde von seinen Kunden nach ISO 27001 und SOC 2 gefragt und entschied sich für ISO 27001: zertifiziert in unter zwei Monaten, mit 15-20 Stunden Zeitaufwand im Team. Qorelo, eine deutsche KI-Plattform für den SAP-Betrieb, hat zuerst ISO 27001 abgeschlossen und danach eine Prüfung nach SOC 2 Type I. Laut dem CTO hat das Ergebnis Qorelo eine stärkere Vertrauensbasis für Gespräche mit Großkunden verschafft, darunter Mercedes-Benz.
Wenn ein Kunde „ISO 27001 oder SOC 2“ verlangt, fragen Sie nach: Was ist ihm lieber, bis wann braucht er es, und reicht vorerst ein Schreiben, das bestätigt, dass Sie daran arbeiten? Unserer Erfahrung nach reicht das oft.
Wo sie sich überschneiden und wo nicht
Der Großteil der Arbeit ist derselbe. Beide verlangen, dass Sie:
- Ihre Risiken bewerten und Maßnahmen dafür auswählen;
- mit MFA und regelmäßigen Überprüfungen steuern, wer worauf Zugriff hat;
- Änderungen an Code und Infrastruktur kontrolliert durchführen;
- Ihre Lieferanten prüfen und in einer Liste erfassen;
- für Sicherheitsvorfälle vorsorgen und Ihre Daten sichern;
- Ihr Team schulen und sich die Richtlinien bestätigen lassen;
- all das mit Nachweisen belegen, nicht nur mit Richtlinien.
Das AICPA veröffentlicht ein Mapping zwischen den Trust Services Criteria und den Anforderungen der ISO 27001. Es zeigt, wie viel sich vom einen auf das andere übertragen lässt.
Was sich unterscheidet:
- Bei ISO 27001 wird das Managementsystem auditiert, nicht nur die Maßnahmen: Ihr Geltungsbereich, Ihre Methode zur Risikobewertung, das interne Audit und die Managementbewertung. Das Stage-1-Audit prüft Ihre Dokumente, das Stage-2-Audit, ob Sie sich daran halten.
- SOC 2 beginnt mit einer Systembeschreibung: einer schriftlichen Darstellung Ihrer Services, Ihrer Infrastruktur, der beteiligten Personen, der Daten und der zugehörigen Kontrollen. Die CPA-Firma prüft, ob die Beschreibung zutrifft und ob Ihre Kontrollen die Trust Services Criteria erfüllen.
- SOC 2 Type II prüft einen Zeitraum. Der Auditor zieht Stichproben aus dem gesamten Zeitfenster. Die Kontrollen müssen also den ganzen Zeitraum über greifen, nicht nur in der Woche des Audits.
SOC 2 Type I oder Type II
- Type I: Sind Ihre Kontrollen zu einem Stichtag angemessen gestaltet? Diesen Bericht können Sie bald nach Abschluss der Vorbereitung erhalten, ohne Beobachtungszeitraum. Qorelos Prüfung nach Type I umfasste die Kategorie Security, mit einem uneingeschränkten Prüfungsurteil im finalen Bericht.
- Type II: Haben Ihre Kontrollen über einen Zeitraum, meist 3 bis 12 Monate, tatsächlich funktioniert? Das wollen viele große US-Kunden am Ende sehen.
Ein üblicher Weg für Startups: zuerst Type I, um den anstehenden Deal nicht aufzuhalten, dann Type II, sobald die Kontrollen eine Weile laufen.
Wie Sie beides schaffen, ohne die Arbeit doppelt zu machen
- Schreiben Sie Richtlinien nur einmal, und zwar so, dass sie für beides passen. Die meisten ISO-27001-Richtlinien decken bereits ab, wonach ein SOC-2-Auditor fragt.
- Sammeln Sie Nachweise nur einmal. Zugriffsüberprüfungen, On- und Offboarding, Freigaben von Änderungen, Lieferantenprüfungen und Aufzeichnungen zu Sicherheitsvorfällen dienen beiden Audits.
- Lassen Sie zuerst das prüfen, was Ihr nächster Deal braucht. Für die meisten Startups in UK und Europa ist das ISO 27001.
- Bilden Sie das zweite auf das ab, was Sie schon haben. Unserer Erfahrung nach liegt vieles, was eine CPA-Firma anfordert, aus dem ISO-27001-Projekt bereits vor, etwa Bestätigungen der Richtlinien, Stichproben von Änderungen, MFA-Nachweise und Lieferantenlisten.
- Schreiben Sie die SOC-2-Systembeschreibung auf Basis Ihres ISO-27001-Geltungsbereichs und Ihrer Asset-Liste.
- Zeigen Sie beides an einem Ort. Ein Trust Center mit Ihrem Zertifikat, Ihrem SOC-2-Status und Ihren Richtlinien beantwortet viele Fragen, bevor Kunden einen Fragebogen schicken. Qorelos Trust Center zeigt die ISO-27001-Zertifizierung und SOC 2 Type I nebeneinander. Kunden fordern dort das Zertifikat und die Berichte an, und Qorelo prüft die Anfragen.
Was es kostet
Für ISO 27001 ergeben die Preisspannen am britischen Markt bei einem Team mit bis zu 10 Personen im ersten Jahr etwa 11.300 bis 31.500 £, ohne MwSt.: das Audit, Software oder ein Berater und ein Pentest. Der Leitfaden zu den ISO-27001-Kosten schlüsselt jeden Posten mit Quellen auf.
Bei SOC 2 ist die Preisstruktur eine andere. Das Honorar der CPA-Firma hängt von der Art des Berichts (Type I oder Type II), den einbezogenen Kriterien und der Größe Ihres Systems ab, und Type II kostet meist mehr als Type I. Wenn Sie sich auf beides gleichzeitig vorbereiten, teilen sich die beiden Prüfungen den Großteil der Vorbereitungskosten.
Wo Kantis ins Spiel kommt
Kantis verbindet die Software mit praktischer Unterstützung für beides: die Gap-Analyse, Richtlinien, die für ISO 27001 und SOC 2 passen, die Nachweiserhebung, das interne Audit, die SOC-2-Systembeschreibung, die Koordination mit Ihrer Zertifizierungsstelle oder CPA-Firma und ein Trust Center für Ihre Kunden. Das ISO-27001-Zertifikat stellt die Zertifizierungsstelle aus, den SOC-2-Bericht die CPA-Firma.
Den vollständigen ISO-27001-Prozess vom Geltungsbereich bis zum Zertifikat finden Sie in unserem ISO-27001-Leitfaden für Startups. Ein Beispiel für den Zeitaufwand im Team zeigt die Fallstudie zu Centinel Analytica.
Sprechen Sie mit einem Gründer über Ihren ISO-Weg. Danach wissen Sie, welches von beiden Ihre Kunden zuerst brauchen, und kennen den schnellsten glaubwürdigen Weg dorthin. Gespräche finden auf Englisch statt.