Was kostet ein SOC-2-Bericht? Die Kostentreiber im Überblick
Ein Interessent aus den USA fragt nach Ihrem SOC-2-Bericht, und intern lautet die erste Frage: Was kostet das? Wie bei ISO 27001 ist das Honorar des Prüfers nur ein Teil. Der Rest ist die Zeit, um Kontrollen zum Laufen zu bringen und Nachweise über den gesamten Beobachtungszeitraum zu führen.
Das Wichtigste in Kürze
- SOC 2 ist eine Attestierung, keine Zertifizierung. Eine lizenzierte CPA-Gesellschaft erstellt einen Bericht über Ihre Kontrollen anhand der Trust Services Criteria des AICPA.
- Type II kostet mehr als Type I, weil der Prüfer testet, ob die Kontrollen über einen Zeitraum wirksam waren, meist drei bis zwölf Monate.
- Der Umfang bestimmt das Honorar: das beschriebene System, die gewählten Trust Services Criteria und der Umgang mit Subdienstleistern wie Ihrem Cloud-Anbieter.
- Der interne Aufwand ist meist der größte Block, vor allem für Nachweise über den Beobachtungszeitraum.
- Der Bericht deckt einen vergangenen Zeitraum ab, deshalb erwarten die meisten Kunden jedes Jahr einen neuen.
1. Die CPA-Gesellschaft
Das Honorar hängt davon ab, wie viel der Prüfer testen muss. Die wichtigsten Faktoren:
- Type I oder Type II. Ein Bericht nach Type I betrachtet die Ausgestaltung Ihrer Kontrollen zu einem Stichtag. Type II prüft zusätzlich, ob sie über den Beobachtungszeitraum wirksam funktioniert haben. Das bedeutet mehr Stichproben und mehr Stunden.
- Trust Services Criteria. Sicherheit ist immer enthalten. Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz sind optional. Nehmen Sie nur auf, was Ihre Kunden verlangen.
- Umfang des Systems. Ein Produkt auf einer Standard-Cloud-Infrastruktur ist einfacher zu prüfen als mehrere Produkte, Umgebungen oder Standorte.
- Subdienstleister. Die meisten Unternehmen nutzen für Anbieter wie ihren Cloud-Hoster die Carve-out-Methode: Die Kontrollen des Anbieters bleiben außen vor und sind durch dessen eigenen SOC-Bericht abgedeckt. Bei der Inclusive-Methode werden sie Teil Ihres Berichts und Ihrer Prüfung.
Holen Sie Angebote auf Basis desselben Umfangs und derselben Kriterien ein, und prüfen Sie, welche Stundenzahl und welchen Beobachtungszeitraum jedes Angebot annimmt.
2. Die Zeit Ihres Teams
SOC 2 Type II braucht für jede Kontrolle Nachweise über den gesamten Zeitraum: Berechtigungsprüfungen, Freigaben von Änderungen, Ein- und Austritte, Datensicherung, Überwachung, Vorfallbehandlung, Lieferantenprüfungen. Werden Nachweise von Hand gesammelt, wird daraus eine wiederkehrende Aufgabe für mehrere Personen. Hinzu kommen die Systembeschreibung, die Sie schreiben und der Prüfer testet, und die Erklärung der Geschäftsleitung.
3. Bereitschaft und Lücken
Die meisten Teams beginnen mit einer Bereitschaftsprüfung gegen die Kriterien. Sie zeigt, welche Kontrollen fehlen oder noch nicht belegt sind. Lücken zu schließen kostet Zeit und manchmal Lizenzen, etwa für zentrale Protokollierung oder Geräteverwaltung. Starten Sie den Beobachtungszeitraum erst, wenn die Kontrollen tatsächlich laufen, denn jede Lücke im Zeitraum erscheint als Abweichung im Bericht.
4. Beratung und Software
Beratung kann die Bereitschaftsprüfung durchführen und bei der Systembeschreibung helfen. Compliance-Software kann Kontrollen den Kriterien zuordnen und während des Zeitraums Nachweise aus Ihren Systemen sammeln. Beides ist optional. Der Nutzen hängt davon ab, wie viele Nachweise Sie sonst von Hand sammeln würden.
Die laufenden Kosten
Ein SOC-2-Bericht beschreibt einen vergangenen Zeitraum. Kunden erwarten in der Regel jedes Jahr einen aktuellen Bericht, also wiederholen sich Prüfung und Nachweisführung. Zwischen zwei Berichtszeiträumen fragen manche Kunden nach einem Bridge Letter, einer Erklärung Ihrer Geschäftsleitung, dass sich die Kontrollen seit Ende des Zeitraums nicht wesentlich geändert haben.
So halten Sie die Kosten niedrig
- Mit Sicherheit allein starten, solange Kunden keine weiteren Kriterien verlangen.
- Den Umfang eng halten und auf das Produkt beschränken, das Kunden kaufen.
- Die Carve-out-Methode nutzen für Cloud-Anbieter mit eigenem SOC-Bericht.
- Nachweise automatisch sammeln, ab dem ersten Tag des Zeitraums aus Ihrem Tech-Stack.
- Kontrollen über Frameworks hinweg nutzen. Brauchen Sie auch ISO 27001, überschneiden sich die meisten Kontrollen. Wie das geht, zeigt unser Leitfaden SOC 2 oder ISO 27001.
Wie die KI-Agenten von GetTeddy jeden Schritt unterstützen, von der Zuordnung der Kontrollen bis zu den Nachweisen über den Zeitraum, zeigt unsere Seite zu SOC 2.
