SOC-2-Kriterien ohne ISO-27001-Entsprechung und ihr Hintergrund
Eine ISO-27001-Zertifizierung bringt Sie schon weit auf dem Weg zu einem SOC-2-Bericht, aber nicht vollständig. Die Kriterien, die sich nicht übertragen lassen, stammen alle aus zwei optionalen Kategorien.
Wenn Ihre Organisation bereits über ISO 27001 verfügt und ein Kunde einen SOC-2-Bericht verlangt, ist der größte Teil der Arbeit erledigt. Die Sicherheitsmaßnahmen überschneiden sich stark, und das ISMS liefert den SOC-2-Prüfern die Nachweise zur Governance, nach denen sie suchen. Doch eine Gruppe von SOC-2-Kriterien hat überhaupt kein Gegenstück in ISO 27001, und es lohnt sich, diese zu kennen, bevor Sie den Umfang mit Ihrem Prüfer festlegen.
Die zentrale Kennzahl
Von den 61 SOC 2-Kriterien sind 41 (67%) auf etwas in ISO 27001 zugeordnet, 0 sind nur lose verwandt und 20 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →
Kein SOC-2-Kriterium ist lediglich "Lose verwandt" mit ISO: Jedes davon wird entweder zugeordnet oder nicht. Diese klare Trennung ist ein Hinweis darauf, was dahintersteckt.
Die Kriterien ohne ISO-Zuordnung
| SOC 2 | Anforderung | Abgleich | ISO 27001 |
|---|---|---|---|
| P1.1 | Privacy notice | Keine Zuordnung in unseren Daten | — |
| P2.1 | Choice and consent | Keine Zuordnung in unseren Daten | — |
| P3.1 | Collection limited to privacy objectives | Keine Zuordnung in unseren Daten | — |
| P3.2 | Explicit consent where required | Keine Zuordnung in unseren Daten | — |
| P4.1 | Use limited to privacy objectives | Keine Zuordnung in unseren Daten | — |
| P5.1 | Data subject access | Keine Zuordnung in unseren Daten | — |
| P5.2 | Correction of personal information | Keine Zuordnung in unseren Daten | — |
| P6.1 | Disclosure to third parties with consent | Keine Zuordnung in unseren Daten | — |
| P6.2 | Record of authorized disclosures | Keine Zuordnung in unseren Daten | — |
| P6.3 | Record of unauthorized disclosures | Keine Zuordnung in unseren Daten | — |
| P6.4 | Privacy commitments from third parties | Keine Zuordnung in unseren Daten | — |
| P6.5 | Notification by third parties of unauthorized disclosures | Keine Zuordnung in unseren Daten | — |
| P6.7 | Accounting of disclosures to data subjects | Keine Zuordnung in unseren Daten | — |
| P7.1 | Quality of personal information | Keine Zuordnung in unseren Daten | — |
| P8.1 | Handling privacy inquiries, complaints and disputes | Keine Zuordnung in unseren Daten | — |
| PI1.1 | Information about processing objectives | Keine Zuordnung in unseren Daten | — |
| PI1.2 | Controls over system inputs | Keine Zuordnung in unseren Daten | — |
| PI1.3 | Controls over system processing | Keine Zuordnung in unseren Daten | — |
| PI1.4 | Controls over system outputs | Keine Zuordnung in unseren Daten | — |
| PI1.5 | Storing inputs, items in processing and outputs | Keine Zuordnung in unseren Daten | — |
Jedes Kriterium in der Liste stammt aus zwei der fünf SOC-2-Kategorien: Verarbeitungsintegrität (PI1) und Datenschutz (P1 bis P8). Beide sind optional. Die Kategorie Sicherheit, also die gemeinsamen Kriterien CC1 bis CC9, die jeder SOC-2-Bericht enthält, lässt sich vollständig zuordnen, ebenso Verfügbarkeit und Vertraulichkeit.
Warum die Verarbeitungsintegrität kein ISO-Gegenstück hat
Die Verarbeitungsintegrität fragt, ob ein System Daten vollständig, korrekt, zeitgerecht und autorisiert verarbeitet: dass Eingaben geprüft werden, Verarbeitungsfehler erkannt werden, Ausgaben am richtigen Ort ankommen und gespeicherte Daten konsistent bleiben. Es geht um die Richtigkeit der Dienstleistung selbst, nicht um die Sicherheit rund um sie herum.
ISO 27001 ist eine Norm für die Informationssicherheit. Sie schützt Vertraulichkeit, Integrität und Verfügbarkeit von Informationen, wobei "Integrität" dort den Schutz vor unautorisierten Änderungen meint, nicht die Frage, ob ein Lohnlauf jedes Gehalt korrekt berechnet hat. Keine Maßnahme aus Anhang A verlangt, die fachliche Verarbeitung zu validieren. Wenn ein Kunde sich darauf verlässt, dass Ihr System die Zahlen richtig ermittelt (Zahlungen, Abrechnung, Lohn- und Gehaltsabrechnung, Schadensfälle, Datenpipelines), ist die Verarbeitungsintegrität auch bei einem ausgereiften ISMS neue Arbeit: Eingabevalidierung, Abstimmung, Fehlerbehandlung und Ausgabekontrollen, jeweils mit Nachweisen.
Warum die meisten Datenschutzkriterien kein ISO-Gegenstück haben
Die Datenschutzkriterien von SOC 2 folgen dem Lebenszyklus personenbezogener Informationen: Hinweise (P1), Wahlmöglichkeit und Einwilligung (P2), Erhebung (P3), Nutzung, Aufbewahrung und Entsorgung (P4), Zugriff und Berichtigung (P5), Offenlegung (P6), Qualität (P7) sowie Überwachung und Beschwerden (P8). Sie sind Anforderungen an ein Datenschutzprogramm und stehen der DSGVO (GDPR) näher als der Informationssicherheit.
ISO 27001 berührt einige davon. A.5.34 verlangt, Verpflichtungen zum Schutz personenbezogener Daten zu ermitteln und zu erfüllen, A.5.33 betrifft den Schutz von Aufzeichnungen und A.8.10 die Löschung von Informationen. Deshalb sind Aufbewahrung (P4.2), Entsorgung (P4.3) und Meldung von Datenschutzverletzungen (P6.6) in unseren Daten tatsächlich zugeordnet, und zwar über redaktionelle Verknüpfungen mit angegebenen Begründungen. Der Rest, etwa Datenschutzhinweise, Einwilligungen, Auskunftsersuchen betroffener Personen und Aufzeichnungen über Offenlegungen, hat keine Maßnahme in Anhang A.
Wenn Sie diese benötigen, erweitert ISO/IEC 27701 ein ISMS zu einem Managementsystem für Informationen zum Datenschutz und ist die naheliegende Partnernorm. Zur DSGVO-Seite finden Sie unter Sicherheitsartikel der DSGVO einen Vergleich mit ISO 27001.
Was zu tun ist
- Legen Sie zuerst den Umfang fest. Nehmen Sie Verarbeitungsintegrität oder Datenschutz nur auf, wenn Kunden sie benötigen. Viele SOC-2-Berichte umfassen nur die Sicherheit oder Sicherheit plus Verfügbarkeit und Vertraulichkeit.
- Wenn Sie diese aufnehmen, behandeln Sie sie als neue Maßnahmen, nicht als Übung zur ISO-Zuordnung: Erstellen, betreiben und Nachweise für den gesamten Beobachtungszeitraum aufbewahren.
- Nutzen Sie das ISMS für alles Übrige weiter. Der Lückenbericht ISO 27001 → SOC 2 listet jedes Kriterium mit seiner ISO-Entsprechung auf, und unser Beitrag zu einem gemeinsamen Maßnahmensatz für beide erläutert die Umsetzung.
Die umgekehrte Richtung ist eine andere Geschichte: Beim Wechsel von SOC 2 zu ISO 27001 besteht die neue Arbeit im Managementsystem selbst. Der Vergleich ISO 27001 vs. SOC 2 behandelt beide Richtungen.
Hinweis zu den Daten
Es gibt keinen offen lizenzierten SOC-2-Crosswalk, daher beruht jede SOC-2-Verknüpfung hier auf dem redaktionellen Urteil von ControlMapping, mit der Begründung auf jeder Anforderungsseite. Die oben genannten Zahlen werden live aus den aktuellen Daten berechnet.
Fragen
Deckt ISO 27001 die Datenschutzkriterien von SOC 2 ab?
Größtenteils nicht. ISO 27001 schützt personenbezogene Daten als Information (A.5.34), verlangt aber keine Datenschutzhinweise, Einwilligungen, Auskunftsrechte betroffener Personen oder Aufzeichnungen über Offenlegungen. ISO/IEC 27701 erweitert ein ISMS um das Datenschutzmanagement und ist die passendere Entsprechung.
Muss ich die Verarbeitungsintegrität in einen SOC-2-Bericht aufnehmen?
Nein. Nur die Kategorie Sicherheit (die gemeinsamen Kriterien) ist verpflichtend. Nehmen Sie die Verarbeitungsintegrität hinzu, wenn Kunden darauf vertrauen, dass Ihr System ihre Daten vollständig und korrekt verarbeitet, etwa bei Zahlungen oder der Lohnabrechnung.
Datenstand 2026-10-27: Die Zahlen in diesem Beitrag werden aus dem aktuellen Crosswalk berechnet und aktualisieren sich, sobald dieser geändert wird. Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Keine Compliance-Beratung.
Verwandte Beiträge
Analyse · 2026-10-27CPS 234 und ISO 27001: Was das ISMS abdeckt und was APRA ergänztEin ISO-27001-ISMS deckt nahezu jeden Absatz der CPS 234 der APRA ab, dennoch ergänzt die APRA Pflichten des Vorstands, Zusicherungen durch Dritte und strenge Meldefristen.
Analyse · 2026-10-27Cyber Essentials vs. Essential Eight: Zwei nationale Baselines im VergleichDas britische Cyber Essentials und das australische Essential Eight zielen beide auf gängige Angriffe ab, decken aber unterschiedliche Bereiche ab. Was sich überschneidet, was nicht und warum.
Analyse · 2026-10-27DORA vs NIS2: Was ein NIS2-Programm bereits abdecktDORA und NIS2 teilen den größten Teil ihrer Sicherheitsinhalte, doch DORA ergänzt ein Register, Vertragsklauseln und bedrohungsorientierte Tests. Artikel für Artikel: Was sich übertragen lässt.