Klaar voordat de SOC 2-auditor aanklopt
Een klant zet SOC 2 in de inkoopvoorwaarden en nu moet je leveren. Wij richten de maatregelen in, zetten de bewijsvoering op en loodsen je door de observatieperiode. Het rapport komt van een onafhankelijk auditkantoor, en dat hoort ook zo.
- Eerst uitzoeken wat je klant echt vraagt
- Bewijs vanaf dag één
- Vrijblijvende kennismaking
100+ organisaties gingen je voor
Wij richten in, een auditkantoor beoordeelt
Hoe de rolverdeling werkt
Bij SOC 2 zijn dat twee gescheiden rollen, en dat is geen formaliteit. De partij die je maatregelen ontwerpt en implementeert kan er geen onafhankelijk oordeel over geven. Wij doen daarom de readiness: de nulmeting, het inrichten van de maatregelen, het opzetten van de bewijsvoering en de begeleiding tijdens de observatieperiode. Het onderzoek en het rapport komen van een auditkantoor of een register EDP-auditor. Wij werken daar prettig mee samen en brengen je desgewenst in contact, maar je kiest die partij zelf.
Eerst uitzoeken wat je klant echt vraagt
“SOC 2” in een securityvragenlijst betekent niet automatisch dat je een volledig Type 2-rapport op alle vijf de criteria nodig hebt. Soms volstaat security als enig criterium, soms accepteert de klant een ISAE 3000-rapport of een ISO 27001-certificaat, en soms is een Type 1 de tussenstap. Wij bellen die vraag na voordat we een traject inrichten, want het verschil is een factor in tijd en kosten.
Bewijs kun je niet achteraf maken
Bij Type 2 toetst de auditor met steekproeven of je maatregelen over een periode hebben gewerkt. Daarom richten we de bewijsvoering in vóórdat de observatieperiode start. Wil je eerst weten wat een SOC 2-rapport precies is? Lees wat is SOC 2 Type 2.
Zo ziet het readinesstraject eruit
We halen op wat je klant precies eist: welk rapport, welke criteria, welke periode en per wanneer. Hier bepalen we ook of SOC 2 de juiste route is of dat een ISAE 3000-rapport of een ISO 27001-certificaat volstaat.
Welke diensten, systemen en locaties vallen binnen de scope, en welke Trust Services Criteria neem je mee. Security is verplicht, de andere vier zijn een keuze. Een te brede scope is de meest voorkomende reden dat een eerste SOC 2-traject uit de hand loopt.
We toetsen je huidige situatie tegen de gekozen criteria en leveren een concrete lijst van wat ontbreekt, met prioriteit en doorlooptijd. Vaste prijs van 3.000 euro.
Bij SOC 2 schrijf je zelf je maatregelen. Wij formuleren ze zo dat ze de criteria dekken en dat je ze in de praktijk waarmaakt, want een te ambitieuze maatregel komt in het rapport terug als bevinding.
Per maatregel bepalen we welk bewijs de auditor opvraagt, waar het vandaan komt en wie zorgt dat het er is. Waar mogelijk automatiseren we de vastlegging.
We monitoren of het bewijs daadwerkelijk ontstaat en grijpen in als een maatregel anders loopt dan bedacht. Hier vallen de meeste trajecten stil, omdat het geen project is maar een gewoonte moet worden.
Voordat de auditor komt toetsen we zelf wat hij gaat toetsen, met dezelfde steekproeven. Bevindingen los je dan nog op, in plaats van dat je klanten ze in je rapport lezen.
We zijn aanwezig bij het onderzoek, leveren het dossier aan en zijn aanspreekpunt voor de auditor. Daarna bewaken we de cyclus voor het volgende rapport.
Waarom kiezen voor BOEM?
- Heldere rolverdeling: wij doen de readiness, een onafhankelijk auditkantoor geeft het rapport af; wij beoordelen nooit ons eigen werk
- Wij bellen eerst je klant na: regelmatig volstaat een ISAE 3000-rapport of een ISO 27001-certificaat, en dan bespaar je een compleet traject
- Bewijs vanaf dag één: de vastlegging loopt voordat de observatieperiode start, want bewijs over een verstreken periode kun je niet achteraf maken
- Realistische maatregelen: liever een maatregel die je twaalf maanden volhoudt dan een mooie formulering die als bevinding terugkomt
- Eén fundament: heb je al ISO 27001, dan bouwen we daarop verder in plaats van een tweede dossier op te tuigen
Wat kost een SOC 2-traject?
Reken op twee facturen. De readiness doen wij. Het onderzoek en het rapport koop je in bij een auditkantoor of een register EDP-auditor; die kosten hangen af van je scope, het aantal criteria en de lengte van de periode. Wij helpen je die scope zo scherp te krijgen dat je niet betaalt voor criteria die je klant niet vraagt.
Wat de readiness bij ons kost
Een GAP-analyse tegen de criteria die voor jou gelden kost €3.000. Het werk daarna rekenen we af tegen een vast maandtarief, zodat je vooraf weet waar je aan toe bent en zelf bepaalt wat je intern oppakt. Heb je al een werkend managementsysteem volgens ISO 27001, dan is de readiness aanzienlijk lichter.
Of binnen het Security Partner-model
De readiness kan ook binnen het Security Partner-model van €1.500 per maand. Bij SOC 2 past dat goed: een Type 2-cyclus loopt over maanden en elk jaar komt er een nieuw rapport, dus je hebt meer aan iemand die maandelijks meekijkt dan aan een project met een einddatum.
Prijsindicatie
Ontvang een prijsindicatie op maat
In een kort gesprek zoeken we uit wat je klant precies eist, welke criteria daarbij horen en welke route het snelst tot een bruikbaar rapport leidt. Daarna weet je wat het kost en hoe lang het duurt.
Plan een gratis kennismakingLiever direct iemand spreken? Plan een gratis gesprek of bel (+31) 8 521 29 248.
- 1Kort gesprekEen half uur, vrijblijvend en online
- 2De vraag achter de vraagWelk rapport, welke criteria, welke periode
- 3Voorstel op maatRoute, doorlooptijd en kosten op een rij
In het kort
Kort samengevat
De belangrijkste feiten over SOC 2 readiness op een rij, zodat je snel ziet wat er op je afkomt.
- Wat is het?
- Een assurancerapport van een onafhankelijke auditor over je beveiligingsmaatregelen, vooral gevraagd door Amerikaanse en internationale klanten.
- Type 1 of Type 2?
- Type 1 toetst de opzet op één moment. Type 2 toetst of de maatregelen over een periode van meestal zes tot twaalf maanden hebben gewerkt.
- Hoe lang duurt het?
- Vanaf nul is negen tot twaalf maanden realistisch: readiness, observatieperiode en onderzoek. Met ISO 27001 als basis eerder maanden dan kwartalen.
- Welke criteria?
- Alleen security is verplicht. Beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy kies je erbij op basis van wat je klant vraagt.
- Wie doet wat?
- Wij doen de readiness. Het rapport komt van een onafhankelijk auditkantoor of register EDP-auditor.
- En daarna?
- Jaarlijks een nieuw rapport over een aansluitende periode. De cyclus stopt niet na de eerste keer.
Wat het kost lees je bij de kosten. Volstaat een certificaat? Bekijk ISO 27001 of het overzicht van normen en wetgeving.
Nee. Wij verzorgen de readiness: nulmeting, maatregelen inrichten, bewijsvoering opzetten en begeleiding tijdens de observatieperiode en het onderzoek. Het rapport komt van een onafhankelijk auditkantoor of een register EDP-auditor. Een rapport van de partij die ook de maatregelen heeft ingericht is voor je klant niets waard.
Reken op twee facturen. De readiness bij ons begint met een GAP-analyse van 3.000 euro en loopt daarna tegen een vast maandtarief, of binnen het Security Partner-model van 1.500 euro per maand. Het onderzoek en rapport koop je apart in bij een auditkantoor.
Readiness plus observatieperiode plus onderzoek. Vanaf nul is negen tot twaalf maanden realistisch. Heb je op korte termijn iets nodig voor een klant, dan is een Type 1-rapport de tussenstap.
Nee. Alleen security is verplicht. De andere vier kies je erbij op basis van je dienst en de vraag van je klant. Elk extra criterium maakt het onderzoek duurder.
Vaak wel. ISAE 3000 is de internationale assurancestandaard waaronder een Nederlandse register EDP-auditor hetzelfde soort onderzoek doet. Een Amerikaanse partij vraagt vaak expliciet om SOC 2, een Europese accepteert ISAE 3000 doorgaans zonder discussie.
Aanzienlijk minder. Een werkend managementsysteem levert al veel van het bewijs dat een SOC 2-auditor opvraagt. Wat erbij komt is het per maatregel expliciet maken van het bewijs en het volhouden over de observatieperiode.
Nee. Ook het privacycriterium is naar Amerikaanse maatstaven opgesteld. De AVG stelt eigen eisen aan grondslag, rechten van betrokkenen en doorgifte. De dossiers overlappen deels maar vervangen elkaar niet.
Plan vandaag nog een vrijblijvende telefonische intake
In een vrijblijvend gesprek zoeken we uit wat je klant precies eist, welke criteria daarbij horen en welke route het snelst tot een bruikbaar rapport leidt.
BOEM Cybersecurity als partner, verhalen uit de praktijk
Wij zijn trots op onze klanten. Lees hier meer over deze klanten en hun succesverhalen.