Kostenlose SOC-2-Readiness-Bewertung
Prüfen Sie, wie bereit Sie für SOC 2, ISO 27001, HIPAA oder DSGVO sind. Beantworten Sie verständliche Fragen, sehen Sie Ihren Stand nach Framework und Kontrollbereich und erfahren Sie, welche Lücken Sie zuerst schließen sollten.
Was ist eine SOC-2-Readiness-Bewertung?
Eine Readiness-Bewertung ist die Prüfung, die Sie vor dem Auditor durchführen. Sie vergleicht, wie Sie Sicherheit heute umsetzen, mit dem, worauf ein SOC-2-Audit (oder eine ISO-27001-Zertifizierung, eine HIPAA-Prüfung oder eine DSGVO-Bewertung) achtet, und macht aus den Unterschieden einen Plan. Unternehmen machen das meist, wenn ein Kunde einen SOC-2-Bericht oder einen Sicherheitsfragebogen verlangt und sie wissen müssen, wie weit sie noch entfernt sind.
Diese kostenlose Bewertung deckt die Kontrollen ab, die in fast jedem Audit und jeder Kundenprüfung vorkommen: Governance und Risiko, Zugriffskontrolle, Geräte, Datenschutz, Betrieb, Vorfälle, Anbieter und Nachweise. Sie ersetzt keine formale Readiness-Prüfung durch eine Prüfungsgesellschaft, zeigt Ihnen aber in wenigen Minuten, wo Sie stehen.
Welches Framework brauchen Sie?
SOC 2 US-Kunden
Ein Prüfbericht einer CPA-Gesellschaft darüber, wie Ihre Kontrollen ausgestaltet sind (Type 1) und wie sie über einen Zeitraum funktioniert haben (Type 2). Die übliche Anforderung von US-amerikanischen SaaS- und Unternehmenskunden.
ISO 27001 Global
Eine Zertifizierung Ihres Informationssicherheits-Managementsystems durch eine akkreditierte Stelle. Üblich bei Kunden aus Großbritannien, Europa, Australien und Asien.
HIPAA US-Gesundheitsdaten
US-Gesetz zum Schutz von Gesundheitsinformationen. Wenn Sie PHI für einen Kunden aus dem Gesundheitswesen verarbeiten, brauchen Sie dessen Schutzmaßnahmen und ein Business Associate Agreement.
GDPR Personenbezogene Daten in EU und UK
Datenschutzrecht für personenbezogene Daten von Menschen in der EU und im Vereinigten Königreich. Es regelt, wie Sie diese Daten erheben, nutzen, schützen und löschen, unabhängig von Ihrem Standort.
So funktioniert die Bewertung
Jede Frage steht für eine Kontrolle, die Auditoren und Kunden üblicherweise erwarten. „Ja“ zählt voll, „Teilweise“ halb, „Nein“ oder „Unsicher“ zählen als nicht umgesetzt. Wesentliche Kontrollen (etwa MFA, Geräteverschlüsselung, Backups, ein Incident-Plan und eine Risikobewertung) zählen doppelt. Jedes Framework wird nur mit den Fragen bewertet, die dafür gelten, daher können Ihre SOC-2- und DSGVO-Werte voneinander abweichen.
- 90 % und mehr: bereit für die Auditvorbereitung: Nachweise sammeln und eine Readiness-Prüfung buchen.
- 70–89%: fast bereit: Schließen Sie die verbleibenden Lücken und beginnen Sie dann, Nachweise zu sammeln.
- 40–69%: in Entwicklung: Ein fokussierter Plan über einige Monate schließt die Lücken meist.
- Unter 40 %: frühes Stadium: Beginnen Sie mit Richtlinie, MFA, Verschlüsselung, Backups und einem Incident-Plan.
Die häufigsten Lücken
- Keine Nachweise. Kontrollen existieren, aber niemand kann zeigen, dass sie im letzten Quartal liefen. Bei SOC 2 Type 2 geht es um Nachweise über einen Zeitraum.
- Langsames Offboarding. Ehemalige Mitarbeitende behalten wochenlang Zugriff auf E-Mail- oder Cloud-Konten.
- Ungetestete Backups und Incident-Pläne. Beides existiert auf dem Papier, wurde aber nie erprobt.
- Keine Risikobewertung. Sie ist eines der ersten Dokumente, nach denen Auditoren fragen, und eines der am schnellsten zu behebenden.
- Anbieter, die niemand geprüft hat. Ihre Kunden prüfen Sie; Auditoren prüfen, ob Sie Ihre eigenen Anbieter prüfen.
SOC 2 Type 1 oder Type 2?
Ein Type-1-Bericht prüft, ob Ihre Kontrollen zu einem bestimmten Zeitpunkt richtig ausgestaltet sind. Ein Type-2-Bericht prüft zusätzlich, ob sie über einen Zeitraum wirksam funktioniert haben, meist drei bis zwölf Monate. Viele Unternehmen beginnen mit Type 1, um einem Kunden schnell zu antworten, und wechseln dann zu Type 2. In beiden Fällen sollten Sie zuerst die Lücken aus dieser Bewertung schließen.
Häufige Fragen
Ist diese Bewertung kostenlos?
Ja. Sie können die Bewertung so oft durchführen, wie Sie möchten, das PDF herunterladen und den Snapshot teilen, ohne ein Konto anzulegen.
Werden meine Antworten hochgeladen?
Nein. Die Ergebnisse werden in Ihrem Browser berechnet. Ein geteilter Snapshot-Link enthält die Antworten im Link selbst. Wenn Sie Ihre Kontaktdaten angeben und herunterladen oder teilen, speichert Sourceably diese Angaben und Ihre Ergebnisse, es sei denn, Sie wählen „Bitte keine Kontaktaufnahme“.
Bedeutet ein hoher Wert, dass ich SOC-2-konform bin?
Nein. Dies ist eine Selbstbewertung, kein Audit, keine Testierung und keine Zertifizierung. Nur eine zugelassene CPA-Gesellschaft kann einen SOC-2-Bericht ausstellen, und nur eine akkreditierte Zertifizierungsstelle kann Sie nach ISO 27001 zertifizieren.
Wie lange dauert es, SOC-2-bereit zu werden?
Das hängt vom Ausgangspunkt ab. Unternehmen, bei denen die meisten Grundlagen stehen, brauchen oft einige Wochen bis wenige Monate; für einen Type-2-Bericht folgt dann ein Beobachtungszeitraum von meist drei bis zwölf Monaten.
Kann ich das Ergebnis mit einem Kunden teilen?
Ja. „Snapshot teilen“ erstellt einen Link, der Ihre Ergebnisse zeigt, klar als Selbstauskunft gekennzeichnet. Für eine Scorecard, auf die sich Kunden verlassen können, verifizieren Sie Ihre Kontrollen mit dem On-Premise-Agent von Sourceably.