Ein Kontrollset für SOC 2 und ISO 27001: beide betreiben, ohne alles doppelt zu tun

Unternehmen, die Software international verkaufen, haben häufig beides: einen SOC-2-Bericht für US-Kunden und ein ISO-27001-Zertifikat für alle übrigen. Führen Sie beides als zwei getrennte Projekte, schreiben Sie zwei Sätze Richtlinien, sammeln dieselben Nachweise zweimal ein und durchlaufen überlappende Audits. Betreiben Sie beides aus einem Kontrollset, kostet das zweite Framework nur einen Bruchteil des ersten.

So richten Sie das ein.

Wie stark sich die Frameworks überschneiden

Richtung	Zugeordnet	Lose verwandt	Keine Zuordnung
Haben ISO 27001 → benötigen SOC 2	41 von 61 (67%)	0	20	Bericht →
Haben SOC 2 → benötigen ISO 27001	98 von 123 (80%)	21	4	Bericht →

Beim Wechsel von SOC 2 zu ISO 27001 lässt sich nahezu jede Anhang-A-Kontrolle und jede ISMS-Klausel einem SOC-2-Kriterium zuordnen. Die wenigen ohne Zuordnung betreffen die Mechanik des Managementsystems nach ISO: die Definition des ISMS selbst und die Lenkung dokumentierter Informationen. In die Gegenrichtung gilt: Die SOC-2-Kriterien ohne ISO-Entsprechung sind die optionalen Kategorien Privacy und Processing Integrity; alle Security-Kriterien lassen sich zuordnen.

Die Überschneidung liegt also bei den Sicherheitskontrollen. Die Unterschiede liegen in der Struktur: ISO verlangt ein Managementsystem rund um die Kontrollen, SOC 2 verlangt den Nachweis, dass sie über einen Zeitraum wirksam betrieben wurden.

Schritt 1: ein Rückgrat festlegen

Ein gemeinsames Kontrollset braucht eine primäre Struktur, auf die alles abgebildet wird. Verwenden Sie Anhang A der ISO 27001 als Rückgrat, wenn Sie das Zertifikat haben oder anstreben, denn die Erklärung zur Anwendbarkeit führt jede Kontrolle mit einer Begründung auf. Nutzen Sie die SOC-2-Kriterien, wenn der Bericht Ihr wichtigstes Ergebnis ist. Beides funktioniert; entscheidend ist, dass jede Kontrolle eine feste Heimat hat.

Schritt 2: jede Kontrolle nur einmal beschreiben

Führen Sie für jede Kontrolle einen Datensatz mit folgenden Angaben:

• Eine klare Beschreibung dessen, was Sie tun ("Der Zugriff auf die Produktivumgebung wird über ein vom Systemverantwortlichen genehmigtes Ticket gewährt und vierteljährlich überprüft").
• Einen Verantwortlichen und eine Häufigkeit.
• Die Framework-Referenzen, die sie erfüllt, zum Beispiel ISO A.5.15 und A.5.18, SOC 2 CC6.1–CC6.3.
• Die Nachweise, die sie erzeugt, und wo diese Nachweise liegen.

Die Referenzen stammen aus einer Zuordnung wie unserer. Für die Zugriffskontrolle sieht das so aus:

Framework	Zugriffskontrolle	Verknüpfung
NIST CSF 2.0	PR.AA-01PR.AA-05	Themendefinition
ISO 27001	A.5.15A.5.16A.5.18A.8.3	Crosswalk
CIS v8.1	CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5	Crosswalk
SOC 2	CC6.1CC6.2CC6.3	Redaktionell
PCI DSS	7.2.17.2.27.2.48.2.1	Crosswalk
CMMC	AC.L2-3.1.1AC.L2-3.1.2	Crosswalk
800-53	AC-2AC-3	Crosswalk
HIPAA	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d)	Crosswalk
GDPR	Art.25(2)Art.32(1)(b)	Redaktionell
NIS2	11.111.211.5	Crosswalk
Essential Eight	—	Keine Zuordnung in unseren Daten

Vollständige Details und die Begründung für jede Verknüpfung: Zugriffskontrolle über Frameworks hinweg →

Schritt 3: Nachweise einmal erheben, zweimal kennzeichnen

SOC-2-Typ-II-Prüfer ziehen Nachweise als Stichproben aus dem gesamten Beobachtungszeitraum: Tickets, Überprüfungen, Scans, Schulungsnachweise. ISO-Überwachungsauditoren fordern dieselben Arten von Aufzeichnungen an. Erheben Sie jeden Nachweis einmal, an einem Ort, und versehen Sie ihn mit jeder Framework-Referenz, die seine Kontrolle trägt.

Schritt 4: die Zeitpläne abstimmen

• Starten Sie den SOC-2-Beobachtungszeitraum, wenn Ihre Kontrollen seit einigen Wochen laufen, nicht am Tag ihrer Einführung.
• Planen Sie ISO-interne Audits und Managementbewertungen so, dass sie Aufzeichnungen innerhalb des SOC-2-Zeitraums erzeugen: Sie sind auch für die gemeinsamen SOC-2-Kriterien gute Governance-Nachweise.
• Fragen Sie Ihre Prüfer, ob sie die Feldarbeit koordinieren können. Selbst wenn nicht, bedeutet eine zeitliche Nähe der beiden Audits eine einzige Runde von Nachweisanfragen.

Schritt 5: die Lücken schließen, die jede Seite lässt

Führen Sie den SOC 2 → ISO 27001-Lückenbericht sowie den umgekehrten Bericht aus. Rechnen Sie mit zwei Arten neuer Arbeit:

• Für ISO: das Managementsystem. Geltungsbereich, Ziele, Risikobewertung und Risikobehandlung, die Erklärung zur Anwendbarkeit, interne Audits, Managementbewertung und Korrekturmaßnahmen.
• Für SOC 2: alle optionalen Kategorien, die Sie einbeziehen, und die Gewohnheit, Nachweise über einen vollständigen Zeitraum kontinuierlich zu führen.

Unser Vergleich ISO 27001 vs. SOC 2 listet jede Anforderung in beiden Richtungen auf, und die Leitfäden zu SOC 2 und ISO 27001 behandeln die Audits selbst.

Ein Hinweis zu den Zuordnungen

Es gibt keinen offen lizenzierten SOC-2-Crosswalk. Daher beruht jede SOC-2-Verknüpfung auf dieser Website auf der redaktionellen Einschätzung von ControlMapping, wobei die Begründung jeweils angegeben ist. Nutzen Sie die Zuordnung, um das Kontrollset zu entwerfen, und bestätigen Sie die Details mit Ihren Prüfern, bevor Sie sich darauf verlassen.

Fragen

Kann ein Prüfer SOC 2 und ISO 27001 gemeinsam durchführen?

Manche Firmen haben sowohl eine CPA-Praxis als auch eine akkreditierte Zertifizierungsstelle und stimmen die Audits aufeinander ab. Doch es bleiben zwei Aufträge mit zwei Ergebnissen: ein SOC-2-Bericht und ein ISO-27001-Zertifikat.

Was sollte zuerst kommen, SOC 2 oder ISO 27001?

Das, wonach Ihre Kunden zuerst fragen. Wenn Sie das hier beschriebene gemeinsame Kontrollset aufbauen, ergänzt das zweite vor allem die Klauseln des Managementsystems (bei ISO) oder den Nachweiszeitraum und die optionalen Kriterien (bei SOC 2).