Systemzertifizierung

System and Organization Controls (SOC)

Positionieren Sie Ihr Unternehmen als vertrauenswürdigen Partner.

Im heutigen digitalen Umfeld erwarten Kunden, Aufsichtsbehörden und Partner klare, unabhängige Nachweise dafür, dass Ihre Kontrollen angemessen konzipiert sind und wirksam funktionieren.

SOC‑Berichte bieten international anerkannte Gewährleistung über Ihre Sicherheits-, Daten‑Governance- und Finanzberichterstattungskontrollen.

Die SOC‑Dienste von BSI unterstützen Sie als Drittanbieter dabei, Risikopotenziale nachvollziehbar zu reduzieren, Beschaffungsprozesse Ihrer Kunden zu beschleunigen und ein reifes, gut geführtes Kontrollumfeld nachzuweisen.

Unsere Lösungen

SOC-Bewertungen, Berichte und Attestierungen

Wir bieten eine breite Palette an SOC- und ISAE‑Lösungen, um Ihre Anforderungen zu unterstützen und Compliance nachvollziehbar zu machen.

SOC 1

Gewährleistung im Hinblick auf Kontrollen der Finanzberichterstattung.

Bestätigen Sie, dass die Kontrollen, die sich auf die Finanzberichterstattung Ihres Kunden auswirken, angemessen konzipiert sind und wirksam funktionieren.

SOC 2

Gewährleistung für Dienstleistungsunternehmen

Weisen Sie die Sicherheit, Verfügbarkeit und Verarbeitungsintegrität Ihrer Systeme sowie die Vertraulichkeit und den Schutz der personenbezogenen Daten nach, die in diesen Systemen verarbeitet werden.

Weitere Informationen

Globale Varianten

Unterstützung bei internationalen Berichtsanforderungen

Anpassung an internationale Berichtsanforderungen: ISAE 3402, ISAE 30000, Kontrollen im Rahmen des EU-Gesetzes zur digitalen Betriebsstabilität (DORA).

SOC 3

Öffentlich teilbare Gewährleistung

Stellen Sie eine öffentlich zugängliche Gewährleistung der Wirksamkeit der Kontrollen Ihres Unternehmens bereit.

Wirkung erzeugen

Vertrauen entlang der digitalen Service‑Lieferkette aufbauen

Wachsende digitale Lieferketten erhöhen Risiken und die Anzahl von Sicherheitsvorfällen. SOC und ISAE liefern Ihnen eine unabhängige Gewährleistung, um das Vertrauen Ihrer Kunden zu stärken.

Lassen Sie uns zusammenarbeiten

FAQs

Häufig gestellte Fragen

Erfahren Sie mehr über unsere SOC-Angebote und darüber, wie diese Vertrauen schaffen.

Das Service Organization Control (SOC)-Rahmenwerk wurde vom American Institute of Certified Public Accountants (AICPA) entwickelt.

Ein SOC-Bericht liefert Ihnen eine unabhängige Bestätigung darüber, wie Ihr Unternehmen zentrale Kontrollen gestaltet und betreibt.key Mit einem SOC-Bericht erhalten Sie eine verlässliche, unabhängige Drittbestätigung, dass Ihre auf Sicherheit, Verfügbarkeit, Vertraulichkeit und verarbeitungsbezogene Aspekte ausgerichteten Kontrollen angemessen konzipiert sind und wirksam funktionieren. So zeigen Sie Ihren Kunden und Partnern transparent, dass sie sich auf den Schutz und die verantwortungsvolle Nutzung ihrer Informationen durch Ihr Unternehmen verlassen können.
Sie benötigen in der Regel einen SOC-Bericht, wenn Sie Dienste bereitstellen, die sich auf die Sicherheit, Verfügbarkeit, Vertraulichkeit oder die Verarbeitung von Informationen Ihrer Kunden auswirken. Verlassen sich Ihre Kunden darauf, dass Sie ihre Daten schützen oder sie bei der Einhaltung von Compliance‑Vorgaben unterstützen, hilft Ihnen ein SOC-Bericht, die erwartete Sicherheit und Vertrauenswürdigkeit nachvollziehbar zu belegen.

SOC 1 ist relevant für Dienstleistungsunternehmen, die Daten verarbeiten oder speichern, die sich auf das interne Kontrollsystem über die Finanzberichterstattung (Internal Control over Financial Reporting, ICFR) ihrer Kunden auswirken.

SOC 2 ist relevant für Dienstleistungsunternehmen – insbesondere Cloud‑ und SaaS‑Anbieter –, die Kundendaten in der Cloud speichern, verarbeiten oder übertragen.
Sie haben von einem Kunden die Anforderung erhalten, einen SOC-Bericht vorzulegen – der nächste Schritt ist, Kontakt mit unserem Team aufzunehmen, um die weiteren Schritte zu besprechen und den Prozess zu starten.

Kontaktieren Sie uns
Ihr Attestierungsprozess umfasst in der Regel die folgenden Schritte:

Schritt 1: Erste Besprechung und Festlegung des Projektumfangs

Schritt 2: Planung und Abstimmung der Kontrollen

Schritt 3: Prozessbeschreibungen

Schritt 4: Nachweisbeschaffung und Testdurchführung

Schritt 5: Auswertung der Ergebnisse und Berichtsentwurf

Schritt 6: Finaler Bericht und Attestierung

Schritt 7: Überprüfung durch das Management und Abschlussbesprechung

Schritt 8: Projektabschlussbesprechung

Möchten Sie sicherstellen, dass Sie bereit für die Attestierung sind? Wir bieten eine optionale Vorabprüfung an, mit deren Hilfe Sie eventuelle Lücken in Ihrer Umsetzung feststellen können, bevor Sie mit der formellen Prüfung fortfahren.
Sowohl SOC 1 als auch SOC 2 kennen zwei Berichtstypen, um unterschiedliche Informationsbedürfnisse der Nutzer abzudecken:

Ein Bericht vom Typ 1 bewertet, ob die Systembeschreibung eines Dienstleistungsunternehmens fair dargestellt ist und ob die Kontrollmechanismen zu einem bestimmten Zeitpunkt angemessen gestaltet sind, um die festgelegten Ziele und die Kriterien für Vertrauensdienste zu erfüllen.

Ein Bericht vom Typ 2 bewertet, ob die Systembeschreibung eines Dienstleistungsunternehmens fair dargestellt ist und ob die Kontrollmechanismen während eines bestimmten Zeitraums angemessen konzipiert und wirksam umgesetzt wurden, um die Ziele und die Kriterien für Vertrauensdienste zu erfüllen.
SOC-Berichte liefern Ihnen klare, unabhängige Nachweise dafür, dass Ihre Kontrollen angemessen konzipiert sind und wirksam funktionieren. Damit unterstützen Sie die Einhaltung des EU-Gesetzes zur digitalen Betriebsresilienz (DORA), indem Sie Ihr Risikomanagement im Bereich der Informations- und Kommunikationstechnologie (IKT), Ihre Betriebsresilienz sowie die Überwachung von Drittanbietern stärken. Unsere DORA-Kontrollprüfung bietet eine unabhängige Überprüfung der Wirksamkeit Ihrer Kontrollmaßnahmen zur Untermauerung Ihrer EU-DORA-Compliance-Erklärung.
Auch wenn Sie nicht mit Kunden in den USA zusammenarbeiten, kann ein Service Organization Control (SOC)-Bericht für Ihr Unternehmen sinnvoll sein. Wenn Ihre Stakeholder eine unabhängige Gewährleistung darüber erwarten, wie Sie Sicherheit, Verfügbarkeit oder andere Kontrollen managen, bietet SOC eine klare und anerkannte Attestierung. Sie können einen SOC-Bericht nutzen, um nachzuweisen, dass Ihre Kontrollen angemessen konzipiert sind und wirksam funktionieren – und so Vertrauen bei Kunden, Partnern oder Aufsichtsbehörden aufbauen, unabhängig davon, in welcher Region diese ansässig sind.
In der Regel benötigen Sie einen ISAE-Bericht (International Standard on Assurance Engagements), wenn Sie außerhalb der USA tätig sind oder wenn Ihre Stakeholder einen weltweit anerkannten Gewährleistungs-Standard benötigen. ISAE bietet Ihnen eine unabhängige Bestätigung, dass Ihre Kontrollen internationalen Erwartungen entsprechen, während SOC‑Berichte vor allem im US‑Markt eingesetzt werden. Wenn Ihre Kunden, Aufsichtsbehörden oder Zielmärkte eine global einsetzbare Lösung erwarten, hilft Ihnen ein ISAE‑Bericht, das erforderliche Maß an Vertrauen und Gewährleistung nachvollziehbar zu belegen.
Der Wechsel zu BSI ist einfach. Da SOC‑Berichte jährlich erneuert werden müssen, ist ein Wechsel des Anbieters in der Regel unkompliziert möglich. Wenden Sie sich einfach an unser Team und wir können Ihnen ein Informationsformular und ein Angebot zur Verfügung stellen, um loszulegen.

Insights & Medien

Insights zu den neuesten Chancen und Risiken im digitalen Raum

Insights & Medien

Broschüre

Leitfaden zur ISO/IEC 27001

Broschüre lesen

Blog

Vertrauen schaffen

Blog lesen

Blog

Verteidigung gegen die dunkle Seite der KI

Blog lesen

Fallstudien

KEO ist mit BIM Kitemark™ führend im Bauwesen

Fallstudie lesen

Fallstudien

Parsons: Bessere Standards für das Bauwesen

Fallstudie lesen

Fallstudien

Führend auf dem Gebiet mit einer verbesserten Infosec-Norm

Fallstudie lesen

Kontakt

Ihr Partner für den Fortschritt

Stellen Sie sicher, dass Ihre Kontrollen mit anerkannten Best Practices und Frameworks im Einklang stehen – durch eine Partnerschaft mit einem weltweit anerkannten Gewährleistungs‑Anbieter, dem Kunden und Aufsichtsbehörden gleichermaßen vertrauen.

Kontaktieren Sie uns

Digitales Vertrauen

Resilienz verankern und das Vertrauen der Stakeholder stärken

Gestalten Sie mit unseren zusätzlichen Leistungsbereichen eine resiliente digitale Zukunft, die Datenschutz, Sicherheit, Schutz und Verlässlichkeit in den Mittelpunkt stellt.

Informations- und Cybersicherheit

Schützen Sie Ihre Informationen mit einem strukturierten, risikobasierten System, das Sicherheit, Resilienz und Leistungsfähigkeit deutlich stärkt.

Weitere Informationen

Betriebliche Kontinuität

Wir helfen Ihnen dabei, die mit Ihrem Unternehmen verbundenen digitalen Risiken zu verstehen und diese so zu bewältigen, dass ein angemessenes Risikoniveau erreicht wird.

Weitere Informationen

Datenschutz

Entwickeln Sie einen Datenschutzansatz, der Einzelpersonen schützt, regulatorische Anforderungen erfüllt und die Auswirkungen von Datenschutzverletzungen wirksam mindert.

Weitere Informationen