SOC-compliance kan ingewikkeld en tijdrovend zijn voor organisaties. Als u zich er nu in verdiept, hebben we een uitgebreide gids samengesteld om u te helpen de kernaspecten te begrijpen. In deze gids leggen we het verschil uit tussen SOC 1 en SOC 2, waarom u de ene eerder nodig hebt dan de andere, hoe SOC-audits werken en of SOC 3 het overwegen waard is.
Wat is het verschil tussen Type I- en Type II-SOC-rapporten?
Wat is SOC 1, wie heeft het nodig en waarom?
Wat is SOC 2, wie heeft het nodig en waarom?
Wat is SOC 3, wie heeft het nodig en waarom?
Welke bedrijven hebben meerdere SOC-rapporten nodig?
Hoe werken SOC-audits? Tijdlijnen, kosten en middelen
Hoe Proton u kan helpen bij het voltooien van SOC-audits
SOC 1 vs. SOC 2 vs. SOC 3
SOC-rapporten klinken misschien als niveaus van hetzelfde soort rapport, maar dat zijn ze niet. Het zijn in feite drie verschillende rapporten voor drie verschillende doelgroepen. Als u ze vergelijkt, gaat het dus niet om welk rapport beter is, maar om welk rapport beter bij uw behoeften past.
- SOC 1 is bedoeld voor bedrijven waarvan de diensten raken aan de financiële rapportage van een klant, zoals loonverwerkers, schadebehandelaars of fondsbeheerders.
- SOC 2 is bedoeld voor bedrijven die klantgegevens verwerken, zoals SaaS-, cloud- en technologieleveranciers.
- SOC 3 is een openbare samenvatting van een SOC 2-rapport. Er gelden dezelfde onderliggende criteria, maar zonder de gevoelige technische gegevens, zodat het vrij kan worden gedeeld.
Waarom een SOC-audit laten uitvoeren?
Klanten hebben bewijs nodig dat uw bedrijf vertrouwd kan worden met hun gegevens, maar elke leverancier afzonderlijk auditen kan traag en duur zijn voor iedereen die erbij betrokken is. De klanten van uw organisatie zijn de beoogde doelgroep van het rapport.
Een SOC-audit, ontwikkeld door het American Institute of CPAs (AICPA), stelt een bedrijf in staat om dat proces één keer te doorlopen met een onafhankelijk CPA-kantoor en het resulterende rapport vervolgens aan een potentiële klant te overhandigen, in plaats van voor elke kans een nieuwe veiligheidsvragenlijst in te vullen. In gereguleerde of veiligheidsbewuste sectoren zoals de financiële wereld en de gezondheidszorg bepaalt een SOC-rapport vaak of uw bedrijf überhaupt op de shortlist van leveranciers terechtkomt.
Een SOC-audit zet bedrijven er onderweg ook toe aan om echte beveiligingsmaatregelen te implementeren, zoals toegangsbeheer, monitoring en incidentrespons. Hoewel het rapport dus bedoeld is om de inkoopteams van klanten tevreden te stellen, versterkt het proces erachter uw beveiligingspraktijken, ongeacht wie het rapport leest. Omdat SOC-rapporten gedetailleerde informatie over bedrijfsprocessen en infrastructuur onthullen, vragen bedrijven hun klanten doorgaans een geheimhoudingsovereenkomst (NDA) te ondertekenen voordat het rapport kan worden gedeeld.
Vergelijkingstabel: SOC 1 vs. SOC 2 vs. SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| Focus | Interne controles op financiële rapportage | Beveiliging, beschikbaarheid, integriteit van de verwerking, vertrouwelijkheid en privacy | Dezelfde criteria als SOC 2, maar samengevat |
| Geldende standaard | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| Doelgroep | Auditors, toezichthouders en de financiële en boekhoudteams van de klant | De beveiligings-, IT- en inkoopteams van klanten | Algemeen publiek / potentiële klanten |
| Verspreiding van het rapport | Beperkt: gedeeld onder NDA met specifieke belanghebbenden | Beperkt: gedeeld onder NDA met specifieke belanghebbenden | Openbaar: kan vrij worden gepubliceerd of gedeeld |
| Voorbeeldbedrijven | Loonadministraties, schadebehandelaars, fondsbeheerders | SaaS-platforms, cloudaanbieders, datacenters | Bedrijven met een SOC 2 die een deelbare versie willen |
| Beschikbare rapporttypen | Type I en Type II | Type I en Type II | Niet van toepassing |
Wat is het verschil tussen Type I- en Type II-SOC-rapporten?
Er zijn twee soorten rapporten beschikbaar voor SOC 1- en SOC 2-audits, en hier wordt een vergelijking pas echt nuttig.
- Een Type I-audit onderzoekt de papierwinkel, het beleid en de systeemontwerpen die een bedrijf heeft ingevoerd en beoordeelt of die controles geschikt zijn ontworpen om gegevens te beschermen. Er wordt niet getest of de waarborgen in de loop van de tijd daadwerkelijk werken, er wordt alleen bevestigd dat ze er zijn en er correct uitzien.
- Een Type II–audit onderzoekt documentatie, beleid en systeemontwerpen en monitort de werking ervan vervolgens continu gedurende een periode van 3 tot 12 maanden. De auditor verifieert dat de maatregelen niet alleen goed zijn ontworpen, maar ook effectief worden nageleefd: dat het bedrijf logboeken bijhoudt, back-ups maakt, toegang monitort en incidenten afhandelt zoals beloofd.
Klanten en partners vertrouwen doorgaans meer op een Type II-audit, omdat die doorlopende beveiligingsprestaties in de praktijk aantoont. Anders dan SOC 1 en SOC 2, die alleen verschillende doelgroepen bedienen, kan een Type II-audit als sterker worden beschouwd dan een Type I.
Wat is SOC 1, wie heeft het nodig en waarom?
SOC 1 is een kader voor compliance en auditing voor bedrijven waarvan de diensten van invloed zijn op de financiële rapportage van hun klanten. SOC 1 voldoet aan de behoeften van de externe auditors van klanten en biedt de zekerheid dat de maatregelen van een dienstverlenende organisatie geen fouten in de administratie van klanten introduceren.
Welke soorten bedrijven hebben baat bij een SOC 1-attest?
SOC 1 is het aangewezen attest voor bedrijven die financiële transacties of gegevens namens anderen verwerken. Denk aan loonadministraties, betalingsverwerkers, fondsbeheerders, claimverwerkers en platforms voor leningsbeheer. Een SOC 1 kan nieuwe contracten met grotere klanten mogelijk maken, frictie tijdens jaarlijkse audits verminderen en de reputatie van een bedrijf op het gebied van betrouwbare, goed beheerste financiële processen versterken. Dat bepaalt vaak of uw bedrijf überhaupt in aanmerking komt voor financieel gevoelig werk.
Wat is SOC 2, wie heeft het nodig en waarom?
SOC 2 is een kader voor compliance en auditing voor bedrijven die klantgegevens verwerken. Een SOC 2-audit levert een rapport op dat beschrijft hoe de maatregelen van een bedrijf zich verhouden tot de Trust Services Criteria van de AICPA, op het gebied van beveiliging, beschikbaarheid, integriteit van gegevensverwerking, vertrouwelijkheid en privacy, samen met het oordeel van een onafhankelijke auditor over de vraag of die maatregelen goed zijn ontworpen. SOC 2 is een noodzakelijk attest voor bedrijven die de effectiviteit van hun beveiligingsmaatregelen moeten aantonen aan klanten en partners in de Verenigde Staten.
Welke soorten bedrijven hebben baat bij een SOC 2-attest?
Bedrijven die technologiegedreven diensten leveren, hebben het meest baat bij een SOC 2-certificering. Denk aan software-as-a-service (SaaS), cloudinfrastructuur, platforms voor data-analyse, fintechoplossingen en healthtech-toepassingen. Nu gegevensschendingen aan de orde van de dag zijn, willen klanten de zekerheid dat een bedrijf de gegevens en systemen kan beschermen die zij hen toevertrouwen. Een SOC 2 biedt die zekerheid. Daarmee kunt u nieuwe contracten met grote ondernemingen binnenhalen, leveranciersrisicobeoordelingen vereenvoudigen en de reputatie van een bedrijf op het gebied van sterke gegevensbescherming versterken.
Lees meer over de SOC 2 Type II-audit van Proton
Wat is SOC 3, wie heeft het nodig en waarom?
Een SOC 3 komt voort uit hetzelfde auditproces als een SOC 2, maar dient een ander doel. Het SOC 3-rapport is een samenvatting op hoofdlijnen van dezelfde informatie, zonder de gedetailleerde en specifieke gegevens waarvoor een NDA nodig is. Daarom wordt het vaak gebruikt als openbare samenvatting van het SOC 2-rapport.
Welke soorten bedrijven hebben baat bij een SOC 3-attest?
Het is niet mogelijk om een SOC 3 te behalen zonder het SOC 2-auditproces te doorlopen, maar bedrijven die al worden beoordeeld voor een SOC 2 en die informatie willen gebruiken in marketingcampagnes of verkooppresentaties, kunnen baat hebben bij een SOC 3-rapport.
Welke bedrijven hebben meerdere SOC-rapporten nodig?
De keuze tussen SOC 1 en SOC 2 komt vaak neer op de vraag welk rapport het beste past bij de behoeften van uw klanten. Sommige bedrijven hebben echter meer dan één SOC-rapport nodig. Een fintechbedrijf dat betalingen verwerkt en gevoelige klantgegevens opslaat, heeft bijvoorbeeld zowel een SOC 1 nodig (omdat het raakt aan de financiële rapportage van klanten) als een SOC 2 (omdat het klantgegevens verwerkt).
| Combinatie van SOC-audits | Type bedrijf |
| SOC 1 + SOC 2 | Bedrijven die zowel financiële rapportage als omvangrijke klantgegevens verwerken |
| SOC 1 + SOC 3 | N.v.t. (het is niet mogelijk om een SOC 3 te behalen zonder een SOC 2) |
| SOC 2 + SOC 3 | Bedrijven die omvangrijke klantgegevens verwerken en hun SOC 2-attest willen tonen in openbaar toegankelijke content |
| SOC 1 + SOC 2 + SOC 3 | Bedrijven die zowel financiële rapportage als omvangrijke klantgegevens verwerken en hun SOC 2-attest willen tonen in openbaar toegankelijke content |
Hoe werken SOC-audits? Tijdlijnen, auditfasen en verlengingen
Er zijn allerlei factoren die bepalen hoe duur en tijdrovend een SOC-audit is. Houd rekening met de volgende punten als u van plan bent om aan SOC 1- of SOC 2-compliance te voldoen.
SOC-tijdlijn
| SOC | Tijdlijn |
| SOC 1 Type I | ~ 2–4 maanden |
| SOC 1 Type II | ~ 6–12 maanden in totaal, observatieperiode doorgaans 6–12 maanden |
| SOC 2 Type I | ~ 3–6 maanden in totaal |
| SOC 2 Type II | ~ 6–15 maanden in totaal, observatieperiode doorgaans 3–12 maanden |
Fasen van een SOC-audit
Een SOC-audit bestaat uit meerdere fasen die zich over weken of maanden uitstrekken. Zo ziet elke fase eruit:
1. Voorbereiding (weken 1–4)
Voordat er wordt getest, bepaalt u welke systemen binnen de scope vallen en bevestigt u welke Trust Services Criteria van de AICPA van toepassing zijn. Voor SOC 2 betekent dat doorgaans beveiliging als verplicht criterium, plus een combinatie van beschikbaarheid, integriteit van gegevensverwerking, vertrouwelijkheid en privacy op basis van de behoeften van klanten. U brengt ook de maatregelen in kaart die u al hebt, zoals toegangsbeleid, versleutelingsstandaarden, back-upprocedures en plannen voor incidentrespons. Het doel is om verrassingen later te voorkomen.
2. Documentatie (weken 4–8)
U verzamelt bewijsmateriaal waaruit blijkt dat uw maatregelen bestaan en goed zijn ontworpen. Denk aan schriftelijk beleid, systeemarchitectuurdiagrammen, op rollen gebaseerde toegangsmatrices, leveranciersrisicobeoordelingen en trainingsgegevens. De auditor beoordeelt deze materialen om te controleren of ze alle relevante vereisten dekken en aansluiten bij wat klanten redelijkerwijs mogen verwachten.
3. Audit (weken 8–12)
Voor een Type I-rapport voert de auditor veldwerk uit rond één enkel moment. Er worden gesprekken gevoerd met sleutelmedewerkers, bewijsmateriaal over maatregelen wordt steekproefsgewijs bekeken en er wordt geverifieerd of uw documentatie de werkelijkheid weerspiegelt. In deze fase wordt bevestigd dat de maatregelen correct zijn ontworpen.
4. Observatie (maanden 3–15)
Een Type II voegt een observatieperiode toe waarin de auditor uw maatregelen continu monitort. In deze periode worden onder meer de volgende zaken onderzocht:
- Toegangslogboeken: wie machtigingen kreeg, wanneer toegang werd ingetrokken en of geprivilegieerde accounts periodiek werden gecontroleerd
- Wijzigingsbeheer: hoe codedeployments werden goedgekeurd en bijgehouden
- Incidentafhandeling: of beveiligingsgebeurtenissen werden gedetecteerd, geëscaleerd en opgelost volgens uw gedocumenteerde proces
- Back-ups en monitoring: bewijs dat systemen daadwerkelijk worden gemonitord en hersteld zoals beloofd
Aan het einde van de observatieperiode geeft de auditor een oordeel over hoe goed uw beheersmaatregelen gedurende het hele venster hebben gefunctioneerd.
SOC-verlengingen
Het verlengen van uw SOC-attestation gaat doorgaans sneller dan de eerste audit. Aangezien uw scope, beheersmaatregelen en systeemgrenzen al zijn vastgesteld, bouwt de auditor voort op een bekende basis in plaats van helemaal opnieuw te beginnen, en veel verlengingen zijn zowel goedkoper als sneller dan de eerste audit. Rapporten zijn doorgaans 12 maanden geldig, dus de meeste bedrijven verlengen jaarlijks, waarbij ze vaak de volgende observatieperiode direct laten beginnen nadat de huidige afloopt om hiaten in de dekking te voorkomen.
Wat kost een SOC-audit?
Het is vrijwel onmogelijk om de kosten van een SOC-audit te bepalen zonder een offerte van een CPA aan te vragen, aangezien ze kunnen variëren van slechts USD 5 000 tot meer dan USD 150 000. De kosten hangen af van een aantal factoren, waaronder de grootte van uw organisatie, de gereedheid van uw organisatie, hoeveel resources u aan het proces kunt besteden en welk type audit u nastreeft. Type I-audits zijn doorgaans goedkoper, omdat ze minder tijd kosten.
Hoe Proton u kan helpen bij het afronden van SOC-audits
Proton beschikt zowel over de ISO 27001-certificering als over de SOC 2 Type II-attestation, wat het gemakkelijker kan maken voor bedrijven die Proton-producten gebruiken om hun eigen accreditatie te behalen. Door een veilige, versleutelde Workspace te gebruiken, neemt u een bewezen beveiligingsbasis over die al voldoet aan de strenge audits achter SOC 2 Type II. Dit kan de inspanning verminderen die nodig is om naleving aan te tonen en de doorlooptijd van audits verkorten.
Tips voor SOC-audits
- Doe zoveel mogelijk voorbereidend werk voordat de audit begint. Een gebrek aan gereedheid kan het proces vaak vertragen en de kosten verhogen.
- Bepaal uw systeemgrenzen voordat het veldwerk begint. Onduidelijkheid over wat daadwerkelijk binnen de scope valt, is een van de meest voorkomende oorzaken van vertraging.
- Kies uw observatievenster voor Type II op basis van wie het rapport opvraagt, niet alleen op basis van hoe snel u het wilt. Een venster van drie maanden levert sneller een rapport op, maar veel klanten verwachten zes maanden tot een jaar aan bewijs en kunnen bezwaar maken tegen alles wat korter is.
- Wijs vroegtijdig duidelijke eigenaren van beheersmaatregelen aan. De grootste vertragingen kunnen ontstaan bij het achterhalen van de juiste persoon binnen de organisatie voor bewijs, goedkeuringen of interviews.
- Plan voor verlengingen en behandel het verzamelen van bewijs als een doorlopende gewoonte in plaats van een gehaaste actie vlak voor de audit. Organisaties die continue monitoring opnemen in hun normale werkzaamheden hebben vaak snellere en goedkopere verlengingen dan organisaties die elke cyclus als een eenmalig project behandelen.
FAQ over SOC 1- en SOC 2-audits
Wat zijn SOC 1 en SOC 2?
SOC 1 en SOC 2 zijn beide auditkaders die door de AICPA zijn ontwikkeld, maar ze dienen verschillende doelen. SOC 1 richt zich op interne beheersmaatregelen voor financiële verslaglegging. Het is bedoeld voor bedrijven waarvan de diensten van invloed zijn op de financiële overzichten van hun klanten, zoals loonadministratie- of fondsbeheerders. SOC 2 richt zich op beveiliging, beschikbaarheid, integriteit van verwerking, vertrouwelijkheid en privacy. Het is bedoeld voor technologie- en cloudserviceproviders die klantgegevens verwerken.
Hebt u SOC 1 nodig voordat u aan SOC 2 begint?
Nee, SOC-audits zijn niet opeenvolgend, ze zijn gewoon verschillend, dus u hoeft geen SOC 1 af te ronden voordat u een SOC 2 uitvoert. Een SOC 1 is bedoeld voor bedrijven die financiële verslaglegging uitvoeren, terwijl een SOC 2 de beveiliging, privacy en integriteit van verwerking van een bedrijf controleert.
Hoe lang duurt een SOC 2-audit?
Een SOC 2-audit kan drie maanden tot meer dan een jaar duren, afhankelijk van of u een Type I- of Type II-audit nastreeft, de grootte en complexiteit van uw organisatie en de gereedheid van uw team.
Wat kost een SOC 1- of SOC 2-audit?
Een SOC-audit kan tussen USD 5 000 en USD 150 000 kosten, afhankelijk van het type audit, de grootte van uw organisatie en de complexiteit van uw systemen.
Is SOC 2 een certificering?
Nee, een SOC 2 is geen certificering, maar een attestation. Hoewel de termen door elkaar worden gebruikt met SOC 1- en 2-audits, lijkt een attestation meer op een beoordeling, terwijl een certificering een slaag-/zakcriterium is.
Hoe vaak moet u een SOC 2 herhalen?
Een SOC-audit verloopt technisch gezien niet, zolang de systemen ongewijzigd blijven, maar de industriestandaard is om ze elke 6–12 maanden te vernieuwen. Veel bedrijven zetten een jaarlijks verlengingsproces op, maar dit hangt af van of u een Type I- of Type II-audit nastreeft en, bij Type II, hoe lang de observatieperiode is.
Kunt u een SOC 3 krijgen zonder een SOC 2?
Nee, een SOC 3 is afgeleid van hetzelfde auditproces als een SOC 2. Een SOC 3 is een optionele aanvulling op een SOC 2, geen afzonderlijk proces.
