Kann ein Unternehmen von einer Stelle, die kein AICPA-Mitglied ist, nach SOC 2 zertifiziert werden?

SOC-2-Bestätigungsaufträge müssen von zugelassenen Wirtschaftsprüfungsgesellschaften durchgeführt werden, die zur Durchführung von Bestätigungsaufträgen berechtigt sind. Voraussetzung ist jedoch die Zulassung als Wirtschaftsprüfungsgesellschaft, nicht unbedingt die Mitgliedschaft im AICPA. Viele Wirtschaftsprüfungsgesellschaften entscheiden sich zwar für eine AICPA-Mitgliedschaft, diese ist aber nicht ausschlaggebend. Entscheidend ist, dass die Gesellschaft über die entsprechende Zulassung als Wirtschaftsprüfer verfügt und gemäß den AICPA-Bestätigungsstandards zur Durchführung von Bestätigungsaufträgen qualifiziert ist.

Gibt es einen offiziellen oder exklusiven SOC-2-Konformitätsanbieter?

Nein, SOC 2 hat keinen offiziellen oder exklusiven Anbieter für die Einhaltung der Vorschriften. Stattdessen stellt das AICPA den Rahmen der Trust Services Criteria bereit, der von unabhängigen und qualifizierten Gutachtern oder Wirtschaftsprüfungsgesellschaften zur Bewertung der Einhaltung der Vorschriften durch eine Organisation genutzt werden kann.

Wo kann ich ein Unternehmen melden, das behauptet, die Exklusivrechte an AICPA-Bescheinigungen zu besitzen?

Wenn Sie auf ein Unternehmen stoßen, das fälschlicherweise behauptet, ausschließliche Rechte an AICPA-Bescheinigungen oder SOC-2-Audits zu besitzen, sollten Sie dies direkt der AICPA über deren offizielle Website oder über deren Kundendienstkanäle melden.

Ist SOC 2 eine Zertifizierung oder eine Bescheinigung?

SOC 2 ist ein Bestätigungsbericht, keine Zertifizierung. Eine qualifizierte Wirtschaftsprüfungsgesellschaft prüft die Kontrollsysteme einer Dienstleistungsorganisation anhand der relevanten Kriterien für Vertrauensdienstleistungen und erstellt einen Bericht mit ihrer Stellungnahme. Es gibt keine zentrale SOC-2-Zertifizierungsstelle, die ein einfaches „bestanden/nicht bestanden“-Zertifikat ausstellt.

SOC 2-Archive

Mythen und Missstände im Zusammenhang mit SOC 2 aufgedeckt – Achten Sie auf diese Warnsignale!

Blogs, SOC 2

Mythen und Missstände bei SOC 2 aufgedeckt: Achten Sie auf diese Warnsignale.

Kurz gesagt: Die SOC-2-Zertifizierung steht allen qualifizierten Wirtschaftsprüfungsgesellschaften offen und ist nicht ausgewählten Partnern vorbehalten. Das AICPA beauftragt keine exklusiven Anbieter für SOC-2-Prüfungen, entgegen anderslautenden Behauptungen einiger Anbieter. Häufige Irrtümer sind die Annahme, SOC 2 sei eine einmalige Angelegenheit (tatsächlich ist die Einhaltung der Vorschriften fortlaufend erforderlich) und dass nur große Unternehmen sie benötigen (jede Dienstleistungsorganisation…).

Blogs, SOC 2

Wie führt man eine SOC-2-Selbstbewertung durch?

Für viele Startups ist ein SOC-2-Bericht längst kein Luxus mehr. Er ist oft eine Grundvoraussetzung, um Vertrauen bei sicherheitsbewussten Kunden aufzubauen und Verträge im SaaS- und B2B-Bereich abzuschließen. Die Vorbereitung auf ein SOC-2-Audit kann jedoch zeitaufwendig sein, und bevor ein externer Auditor beauftragt wird, wollen die meisten Teams wissen: Sind wir…

Blogs, SOC 2

SOC-2-Bescheinigung: Prozess, Zeitplan & Checkliste

Did you hear about the incident that happened with the dating app MeetMindful? Well, unfortunately, back in January 2021, they experienced a cybersecurity attack that resulted in the theft and leak of data belonging to over 2 million users. It’s quite alarming, as the hackers managed to get hold of sensitive information like users’ full…

Blogs, SOC 2

Wie Sie Ihren SOC-2-Geltungsbereich definieren

Kurz gesagt: Der SOC-2-Geltungsbereich definiert die Parameter für die Bewertung interner Kontrollen und umfasst Dienste, Systeme, Richtlinien, Prozesse und Mitarbeiter, die anhand von fünf Vertrauensprinzipien bewertet werden: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Die Festlegung des Geltungsbereichs erfolgt in folgenden Schritten: Auswahl relevanter Vertrauensdienstkriterien basierend auf den Kundenerwartungen, Identifizierung der relevanten Systeme und Infrastruktur, Definition der Organisationsgrenzen, Dokumentation der Teilorganisationen usw.

Blogs, SOC 2

SOC-2-Berichte: Arten und Schritte zur Erstellung

In der heutigen Zeit ist Datensicherheit ein entscheidendes Verkaufsargument. Kunden und Interessenten möchten sicher sein, dass ihre Daten geschützt sind und dass die Unternehmen, mit denen sie Verträge abschließen, über ausreichende Maßnahmen verfügen, um dies auch weiterhin zu gewährleisten. Daher sind Unternehmen häufig gefordert, die Wirksamkeit ihrer Sicherheitsvorkehrungen nachzuweisen.

Blogs, SOC 2

Wie man einen effektiven SOC-2-Notfallwiederherstellungsplan erstellt

Did you know that infrastructure failures can cost a staggering $100,000 per hour? And that’s not even the worst part—critical application failures can rack up costs between $500,000 and $1 million per hour! Most SMBs can’t bounce back from such massive losses. This is one of the reasons why organizations take their disaster recovery plans…