In het kort
- Een SOC 2-rapport beantwoordt veel vragen over toegangsbeheer, incidenten, wijzigingen, back-ups en leveranciersbeheer, mits die onderwerpen in de scope van het rapport vallen.
- Klant-specifieke vragen, contractuele afspraken, dataresidentie en privacy beantwoord je zelf, want het rapport geeft daar maar beperkt antwoord op.
- Werk met een antwoordbibliotheek als bron van waarheid en verwijs bij elk antwoord naar de relevante sectie van het rapport.
- Deel het rapport alleen onder NDA en bepaal vooraf wat je doet als het rapport te oud wordt voor je klanten.
Waarom klanten vragenlijsten sturen
Klanten willen weten hoe jij met hun gegevens en systemen omgaat, voordat ze met je in zee gaan of een contract verlengen. Een vragenlijst is daarvoor het gangbare middel. Of SOC 2 voor jouw organisatie past, lees je op voor wie is SOC 2, en wat een afnemer met je rapport doet, staat op hoe je een SOC 2-rapport beoordeelt.
Voor jou als leverancier levert dat vooral dubbel werk op. Veel vragen lijken op elkaar, maar elke klant heeft een eigen formulering, indeling of spreadsheet. Het antwoord is vaak al bekend, maar je moet het telkens opnieuw opzoeken en controleren.
Een vragenlijst is bovendien een zelfbeoordeling: jij vult in wat je doet, en de klant moet je daarin vertrouwen. Een onafhankelijk rapport van een auditor kan dat vertrouwen onderbouwen. Daarom is een SOC 2-rapport zo nuttig als bijlage bij een vragenlijst.
Soorten vragenlijsten
Je krijgt meestal een van drie vormen, of een combinatie daarvan.
- De eigen lijst van de klant. Deze is op maat gemaakt, en de vragen sluiten aan op de risico's en eisen van die klant.
- De SIG van Shared Assessments. Dit is een gestandaardiseerde vragenlijst voor de eerste beoordeling van leveranciers en andere derden. Volgens Shared Assessments zelf wordt de lijst minstens jaarlijks bijgewerkt en is toegang geregeld via voorwaarden, lidmaatschap of een abonnement. Er bestaat ook een kortere variant, SIG Lite.
- De CAIQ van de Cloud Security Alliance. De CAIQ is een vragenlijst met ja/nee-vragen, in de vorm van een downloadbare spreadsheet. De vragen sluiten aan op de Cloud Controls Matrix, een framework met best practices voor cloudbeveiliging van de CSA. Cloudaanbieders vullen de CAIQ in om hun controls te documenteren, en afnemers en auditors gebruiken het ingevulde antwoord om een aanbieder te beoordelen. De CSA publiceert de lijst in meerdere versies; de laatste is versie 4.1.
Wat een SOC 2-rapport beantwoordt
Een SOC 2-rapport is een assurance-rapport van een onafhankelijke auditor (in de VS een CPA, in Nederland meestal een IT-auditor) over de controls van jouw organisatie. De AICPA beschrijft SOC-rapporten als rapporten die gebruikers helpen de risico's van uitbesteding te beoordelen. De controls worden getoetst aan de Trust Services Criteria, met de categorieën security, availability, processing integrity, confidentiality en privacy. Welke vragen het rapport beantwoordt, hangt af van de scope: welke criteria zijn opgenomen en welke systemen en processen erbij horen. Meer over die criteria staat op de pagina over de Trust Services Criteria.
De tabel laat zien waar het rapport meestal helpt en waar jij zelf aan zet bent.
| Vraagtype | Dekt SOC 2 dit? | Wat leg je erbij |
|---|---|---|
| Toegangsbeheer (accounts, rechten, multifactorauthenticatie, periodieke controle van toegang) | Grotendeels, als toegang in de scope zit | Een actueel overzicht van de systemen onder het rapport, en hoe je in- en uitdiensttreding van medewerkers afhandelt |
| Incidentbeheer (detectie, respons, melding aan klanten) | Grotendeels, voor de controls die in het rapport zijn opgenomen | Je meldtermijnen, je contactpersonen en de afspraken die in het contract staan |
| Wijzigingsbeheer (wijzigingen in software en infrastructuur, goedkeuring, testen) | Grotendeels | Hoe je wijzigingen in jouw omgeving aantoont, en welke wijzigingen buiten de scope vallen |
| Back-up en herstel | Deels, alleen als beschikbaarheid in de scope zit | Je hersteltijden en bewaartermijnen, en of die in het rapport terugkomen |
| Leveranciersbeheer | Deels: het rapport toont jouw controls over leveranciers, niet altijd die van hun leveranciers | Een overzicht van je subverwerkers, of zij een eigen SOC-rapport hebben en hoe jij hun controls beoordeelt |
| Klant-specifieke vragen | Nee | Je eigen antwoord, dat je in je antwoordbibliotheek bewaart |
| Dataresidentie en verwerklocaties | Deels: het rapport beschrijft systemen, niet altijd de fysieke locatie van de data | Een concreet antwoord over regio's en locaties, ook bij subverwerkers |
| Technische details van pentests | Deels: het rapport kan bevestigen dat er getest wordt, maar geeft meestal geen technische details | Een samenvatting van je testprogramma, zonder details die je niet wilt delen |
| Contractuele afspraken (aansprakelijkheid, service levels, verwerkersovereenkomst) | Nee | Het contract of de verwerkersovereenkomst zelf |
| Privacy | Alleen als het Privacy-criterium in scope is | Je privacyverklaring en de afspraken over persoonsgegevens |
Let op: Houdt het rapport een subserviceorganisatie buiten het onderzoek (de carve-out-methode), dan staan de controls van die partij niet in jouw rapport. Beschrijf dan apart hoe je die partijen beoordeelt, en verwijs naar hun eigen rapporten. Hoe dat werkt, lees je in het artikel over subservice-organisaties en cloud.
Wat je er nog bij moet leggen
Een aantal onderwerpen blijft buiten het rapport of roept vragen op. Leg die er zelf bij.
- Scope en periode. Een Type 1-rapport is een momentopname van de opzet van je controls. Een Type 2-rapport kijkt ook naar de werking over een observatieperiode. Noem duidelijk welke systemen en welke periode het rapport beslaat, zodat de klant niet hoeft te raden. Meer uitleg vind je bij het verschil tussen Type 1 en Type 2.
- Afwijkingen. Een afwijking, ook wel exception genoemd, betekent dat een control in de geteste periode niet of niet altijd werkte. Zorg dat je kunt uitleggen wat er gebeurde, welke aanpassing je hebt gedaan en hoe je dat aantoont.
- Een rapport dat bijna te oud is. Soms vraagt een klant om zekerheid over een periode die na het einde van het rapport ligt. Dan kan een bridge letter, ook wel gap letter genoemd, die periode overbruggen. 2-Control, de initiatiefnemer van deze site, beschrijft dat het management die brief opstelt en ondertekent, niet de auditor.
Let op: Een bridge letter overbrugt alleen een periode. Het vervangt het rapport niet, het is geen nieuwe audit, en niet elke partij accepteert hem, zeker niet bij een groot gat.
Goed om te weten: Deze tekst is algemene informatie, met peildatum oktober 2026, en geen juridisch advies. Welke wetgeving voor jouw organisatie geldt, bespreek je met een jurist of privacy-specialist.
Zo pak je het aan
Je hoeft niet bij elke vragenlijst opnieuw te beginnen. Met een vaste werkwijze kost een nieuwe lijst vooral tijd voor de vragen die echt nieuw zijn.
- Zet een antwoordbibliotheek op. Verzamel per onderwerp de antwoorden die je al hebt gegeven, zoals over toegang, incidenten, wijzigingen, back-ups en leveranciers. Zo vul je een nieuwe vragenlijst aan in plaats van die opnieuw te schrijven.
- Kies één bron van waarheid. Bewaar elk antwoord op één plek, met een eigenaar per onderwerp en een datum van de laatste controle. Antwoorden die op meerdere plekken staan, lopen na een wijziging al snel uiteen.
- Verwijs naar het rapport. Waar het rapport een onderwerp dekt, noem je de controle en de sectie waarin de klant die terugvindt. Dat maakt je antwoord controleerbaar, en je hoeft niet opnieuw uit te leggen wat al in het rapport staat.
- Deel het rapport onder NDA. Een SOC 2-rapport is bestemd voor gespecificeerde gebruikers en niet voor een breed publiek, dus regel de geheimhouding voordat je het verstuurt. Houd bij welke partij het rapport heeft ontvangen en wanneer.
- Beantwoord de restvragen op maat. Alles wat het rapport niet dekt, beantwoord je met eigen tekst, bij voorkeur met een verwijzing naar het contract of de verwerkersovereenkomst waar dat past.
- Plan voor een rapport dat bijna te oud is. Bepaal vooraf wanneer het rapport voor jouw klanten te oud wordt en wat je dan doet: een nieuwe rapportperiode starten of een bridge letter laten opstellen.
Tip: Laat de antwoordbibliotheek nalezen door de eigenaar van het rapport, zodat wat je schrijft ook overeenkomt met wat het rapport zegt.
Tips voor afnemers
Als je zelf een SOC 2-rapport van een leverancier krijgt, kun je hun vragenlijst inkorten. Begin met de scope en de periode, zodat je weet welke onderwerpen het rapport dekt. Stel daarna alleen de vragen die buiten die scope vallen, en verwijs voor de rest naar de betreffende secties van het rapport. Hoe je het rapport zelf beoordeelt, lees je op hoe je een SOC 2-rapport beoordeelt.
Veelgestelde vragen
Kan een SOC 2-rapport een CAIQ of SIG vervangen?
Nee. De CAIQ en de SIG vul je zelf in, en het rapport kan je antwoorden onderbouwen, maar het vervangt het invullen niet. Vraag de klant daarom welke lijst hij precies wil, voordat je begint.
Is een SOC 2-rapport een certificaat?
Nee. Het is een assurance-rapport van een onafhankelijke auditor, met een beschrijving van wat is getoetst en wat er is gevonden. Het is daarmee geen certificaat. Wat je er wel en niet over mag zeggen, lees je in Is er een SOC 2-certificaat?.
Wat doe ik als de klant een afwijking in het rapport ziet?
Een afwijking, ook wel exception genoemd, betekent dat een control in de geteste periode niet of niet altijd werkte. Beschrijf wat er gebeurde, welke maatregel je hebt genomen en hoe je dat aantoont. Zo laat je zien dat je de afwijking serieus neemt.
Wanneer heb ik een bridge letter nodig?
Als er een gat zit tussen het einde van de periode van het rapport en het moment waarop de klant zekerheid wil. Het management stelt de brief op en ondertekent hem, niet de auditor. Bij een te groot gat is een nieuwe audit de logische stap.
Bronnen
- CSA: STAR Level 1 Security Questionnaire (CAIQ v4.1): doel van de CAIQ, gebruik door aanbieders en afnemers en de ja/nee-vragen.
- CSA: Wat is de CAIQ?: de CAIQ als zelfevaluatie, de relatie met de Cloud Controls Matrix en de spreadsheetvorm.
- Shared Assessments: What is the SIG?: doel van de SIG, de gebruikers, de toegangsvoorwaarden, de jaarlijkse update en de SIG Lite.
- NOREA, Handreiking voor SOC 2 en SOC 3 op basis van ISAE 3000 (december 2021): voor wie een SOC 2-rapport is bestemd.
- AICPA: System and Organization Controls (SOC) suite of services: SOC-rapporten als assurance-rapporten van CPA's, en het doel om gebruikers te helpen bij het beoordelen van uitbesteding.
- AICPA: 2017 Trust Services Criteria with Revised Points of Focus (2022): de vijf categorieën en de herziening van de points of focus in 2022.