Leitfäden

ISO 27001 vs. SOC 2: Unterschiede und was Ihr Unternehmen braucht (mit Blick auf BSI C5)

Vom NexoDocs-Team · wie wir Inhalte erstellen und prüfen

ISO/IEC 27001:2022 ist eine internationale Norm für ein Informationssicherheits-Managementsystem (ISMS): Eine akkreditierte Zertifizierungsstelle (in Deutschland von der DAkkS akkreditiert) auditiert es und stellt ein Zertifikat für 3 Jahre mit jährlichen Überwachungsaudits aus. SOC 2 ist ein Prüfungsrahmen des US-Berufsverbands AICPA: Eine unabhängige CPA-Prüfungsgesellschaft prüft Ihre Kontrollen gegen die Trust Services Criteria und gibt einen Bericht mit Prüfungsurteil ab, kein Zertifikat. Kunden in den USA, vor allem beim Kauf von Software und Cloud-Diensten, fragen oft nach SOC 2; in Deutschland und Europa sind ISO 27001 und, für Cloud-Anbieter, das Testat nach dem BSI-Kriterienkatalog C5 üblicher. Ein großer Teil der Arbeit überschneidet sich (Risiken, Richtlinien, Zugriffe, Vorfälle, Lieferanten, Nachweise).

Die wichtigsten Unterschiede auf einen Blick

SOC 2 Typ 1 und Typ 2

Ein Bericht vom Typ 1 beurteilt, ob die Kontrollen zu einem bestimmten Stichtag angemessen ausgestaltet sind. Ein Bericht vom Typ 2 prüft zusätzlich, ob sie während eines mit dem Prüfer vereinbarten Zeitraums, meist mehrere Monate, wirksam funktioniert haben. Wer SOC 2 verlangt, erwartet in der Regel Typ 2; Typ 1 dient oft als erster Schritt, während sich Nachweise ansammeln.

Die Vorlage, sofort einsetzbar

ISMS-Dokumentationskit ISO 27001

84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.

Zum ISO-27001-Dokumentationskit (Einmalzahlung)

Wo sich die Arbeit überschneidet

Vieles, was ein ISO-27001-Projekt erzeugt, dient auch als Nachweis für eine SOC-2-Prüfung:

• Risikobeurteilung und -behandlung (Abschnitte 6.1.2 und 6.1.3; SOC 2 Risikokriterien CC3).
• Richtlinien und Rollen (Abschnitt 5; Maßnahmen 5.1 bis 5.4; SOC 2 Kontrollumfeld CC1).
• Zugriffssteuerung, Authentisierung und Berechtigungsprüfungen (Maßnahmen 5.15 bis 5.18 und 8.2 bis 8.5; SOC 2 CC6).
• Vorfallmanagement (Maßnahmen 5.24 bis 5.28; SOC 2 CC7).
• Änderungsmanagement (Maßnahme 8.32; SOC 2 CC8) und Lieferantenmanagement (Maßnahmen 5.19 bis 5.22; SOC 2 CC9).
• Internes Audit und Überwachung (Abschnitte 9.1 und 9.2; SOC 2 CC4).

Nicht automatisch übertragbar: SOC 2 verlangt eine Systembeschreibung nach den Beschreibungskriterien der AICPA, und die Prüfungsgesellschaft testet Stichproben über den Zeitraum. ISO 27001 verlangt wiederum Elemente des Managementsystems, die SOC 2 so nicht fordert, etwa die Erklärung zur Anwendbarkeit, Sicherheitsziele und die Managementbewertung. Die AICPA veröffentlicht eine offizielle Zuordnung der Trust Services Criteria zu ISO 27001.

Der deutsche Weg: BSI C5

Für Cloud-Anbieter mit Kunden in Deutschland ist der Kriterienkatalog C5 (Cloud Computing Compliance Criteria Catalogue) des BSI oft wichtiger als SOC 2. Er legt Mindestanforderungen an sicheres Cloud Computing fest; die Erfüllung weist ein Wirtschaftsprüfer mit einem Testat nach, in der Praxis nach ISAE 3000, als Typ 1 (Stichtag) oder Typ 2 (Zeitraum). Für Cloud-Dienste, die Gesundheits- und Sozialdaten verarbeiten, verlangt § 393 SGB V ein C5-Testat, seit dem 1. Juli 2025 vom Typ 2. Das BSI hat den Katalog überarbeitet und 2026 die Fassung C5:2026 veröffentlicht; die Übergangsregeln für laufende Testate stehen auf der Seite des BSI. Ein bestehendes ISMS nach ISO 27001 erleichtert C5 erheblich, ersetzt aber das Testat nicht.

Was zuerst?

Fragen Sie Ihre Kunden, was sie tatsächlich verlangen: Manche Sicherheitsfragebögen akzeptieren mehrere Nachweise, andere nennen einen davon im Vertrag.

Änderung in Sicht: Entwurf der Trust Services Criteria 2027

Am 28. Oktober 2026 hat die AICPA einen Entwurf zur Überarbeitung der SOC-2-Kriterien veröffentlicht: Er fasst überlappende Kriterien zusammen, ergänzt andere und fügt Schwerpunkte zu künstlicher Intelligenz hinzu. Kommentare sind bis zum 15. Januar 2027 möglich; bei Annahme gelten die neuen Kriterien für Prüfungen ab dem 31. Dezember 2027, eine frühere Anwendung ist erlaubt. Wer KI im eigenen Dienst einsetzt, findet in ISO/IEC 42001 das passende Managementsystem.

Wie das NexoDocs-Kit zu ISO 27001 hilft

Das ISO-27001-Kit von NexoDocs enthält die ISMS-Dokumente in bearbeitbarem Word und Excel: Risikomethodik und Risikomatrix, Risikobehandlungsplan, Erklärung zur Anwendbarkeit mit den 93 Maßnahmen, Richtlinien zu Anhang A, Auditprogramm und Checkliste sowie eine Gap-Analyse. Für SOC 2 oder C5 dienen sie als Basis für Richtlinien, Risiken und Nachweise, enthalten aber weder die SOC-2-Systembeschreibung noch die C5-Kriterien und ersetzen keine Prüfung. Kein Kit und kein Berater kann ein Zertifikat oder ein uneingeschränktes Prüfungsurteil zusichern: Das hängt vom Betrieb der Maßnahmen und vom Prüfer ab.

Nächster Schritt

Kostenlos testen oder direkt zur vollständigen Lösung.

ISMS-Dokumentationskit ISO 27001

84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.

Zum ISO-27001-Dokumentationskit (Einmalzahlung)

Kostenloses Muster

Laden Sie kostenlos eine reduzierte Version der Risikomatrix aus dem Toolkit herunter (Excel, 10 Szenarien, Heatmap; Probe auf Englisch). Sehen Sie, wie Risikoniveau und Kategorie berechnet werden, bevor Sie sich entscheiden.

Kostenlose Probe herunterladen (Englisch)

Häufige Fragen

Verwandte Leitfäden

Aktualisiert: 2026-10-30