SOC 2 in het kort
SOC 2 voor SaaS-bedrijven verklaart SOC 2 voor Europese SaaS: attestatierapport van een CPA over Trust Services Criteria (security vaak leidend). ISO 27001 is een certificaat op een ISMS — ander bewijs, andere markt.
Type I vs Type II
Type I is ontwerp op een moment; Type II is werking over een periode (vaak 6–12 maanden). Enterprise-klanten vragen meestal Type II.
Evidence en combineren met ISO
Map TSC-controls naar je ISO SoA en risicoregister. Deel logging, access reviews en change records — vermijd dubbele policies. Gebruik één evidence-map met tags per framework.
Veelgemaakte fouten
SOC 2 rapport als ISO verkopen; geen periode voor Type II; evidence in persoonlijke drives; vendor questionnaires handmatig zonder register.
Controlelijst
- Kies Type I of II
- Map TSC ↔ ISO controls
- Gedeelde evidence-map
- Readiness scan vóór audit
- Contracten en vragenlijsten koppelen
Praktische vervolgstap
Voor SOC 2 SaaS helpt ISO Ready om acties, bewijs, risico’s en leveranciers in één lijn te houden richting audit of toezicht. Start met de readiness-scan op iso-ready.nl.
Geen certificeringsgarantie — je houdt eigenaarschap op scope, risico’s en besluiten.
Verdieping in dit cluster
- Iso 27001 Saas
- Soc 2 Hub
- Trust Services Criteria Uitleg
- Soc 2 Readiness Scan
- Iso Audit Bewijsvoering
- Business Continuity Iso