In het kort
- Een aanbesteding die om een SOC 2-rapport vraagt, wil een verslag van een auditor over je controls, en een ISO 27001-certificaat is een ander soort bewijs.
- Of ISO 27001 gelijkwaardig is, hangt af van de exacte eis en van de aanbestedende dienst, want er is geen vaste regel.
- Als aanbieder onderbouw je gelijkwaardigheid met scope, een verklaring van toepasbaarheid, een auditrapport en aanvullend bewijs, en stel je vragen voordat je inschrijft.
- Als inkoper benoem je eerst welk risico de eis dekt, en formuleer je de eis daarna met toetsbare criteria en "of gelijkwaardig".
Kort antwoord
Dat hangt af van de eis. Vraagt de aanbestedende dienst alleen om een "SOC 2-rapport", dan is een ISO 27001-certificaat niet vanzelf hetzelfde bewijs. Staat er ruimte voor "of gelijkwaardig" en beschrijft de eis welk risico gedekt moet zijn, dan kun je met ander bewijs laten zien dat je aan die eis voldoet. Hoe het verschil in bewijs in elkaar zit, lees je op de vergelijking van SOC 2 en ISO 27001. Dit artikel kijkt vooral naar de aanbestedingskant.
Waarom inkopers SOC 2 of ISO 27001 vragen
Een inkoper die een dienst afneemt van een leverancier die met klantgegevens of systemen werkt, wil weten hoe die leverancier risico's beheerst. Dat kan de inkoper zelf meestal niet controleren, dus vraagt hij om bewijs van een onafhankelijke partij. SOC 2 en ISO 27001 zijn twee bekende vormen van zulk bewijs.
Een beveiligingsbeleid zegt weinig zolang niemand heeft gekeken of de maatregelen werken. Een eis als "SOC 2" lijkt dat in één woord te regelen, maar zegt niet altijd precies wat de inkoper nodig heeft. Wie de eis wil begrijpen, begint met de vraag welk risico ze moet afdekken. Meer over wie SOC 2 nodig heeft, lees je op voor wie is SOC 2.
Het verschil in bewijs
Beide standaarden gaan over informatiebeveiliging, maar het bewijs is anders opgebouwd. Een ISO 27001-certificaat laat zien dat je managementsysteem voor informatiebeveiliging voldoet aan de norm. Een SOC 2-rapport is een verslag van een auditor over de beschrijving van je systeem en de werking van je controls (beheersmaatregelen), getoetst aan de Trust Services Criteria. Type 1 kijkt naar de opzet op één datum, Type 2 ook naar de werking over een periode. Zie SOC 2 Type 1 vs. Type 2.
| Aspect | ISO 27001 | SOC 2 |
|---|---|---|
| Wat je krijgt | Een certificaat voor een managementsysteem (ISMS) | Een rapport van een onafhankelijke auditor |
| Waar het over gaat | Hoe de organisatie informatiebeveiliging inricht en verbetert | De beschrijving van het systeem en de werking van de controls |
| Toetsingskader | De eisen van de norm, plus de maatregelen uit de bijlage | De Trust Services Criteria |
| Moment of periode | Het certificaat geldt voor een periode, met periodieke audits | Type 1: één datum. Type 2: een observatieperiode |
| Wie beoordeelt | Een externe certificatie-instelling | Een onafhankelijke auditor |
| Let op bij de check | Scope en verklaring van toepasbaarheid | Scope, periode en eventuele uitzonderingen |
Een certificaat zegt dat je systeem is ingericht volgens de norm. Een SOC 2-rapport beschrijft wat je dienst doet en laat zien hoe de controls werkten, met de bevindingen van de auditor erbij. Een inkoper die om SOC 2 vraagt, wil daarom meestal meer zicht op de werking dan een certificaat alleen geeft.
Let op: Een SOC 2-rapport is geen certificaat, en een ISO 27001-certificaat is geen SOC 2-rapport. Claim dus nooit het ene als het andere. Lees ook wat je wel en niet mag claimen.
Hoe werkt gelijkwaardigheid in aanbestedingen
Het Nederlandse aanbestedingsrecht vraagt aanbestedende diensten om ondernemers gelijk en niet-discriminerend te behandelen. PIANOo beschrijft de Aanbestedingswet 2012 als rustend op vier beginselen: non-discriminatie, gelijke behandeling, transparantie en proportionaliteit. Gelijkwaardigheid is een uitwerking van die beginselen voor de manier waarop eisen worden gesteld.
Volgens PIANOo werkt het zo:
- Verwijst een eis naar een norm of een vergelijkbare verwijzing, dan moeten de woorden "of gelijkwaardig" erbij staan.
- Een inschrijver mag met elk geschikt bewijs aantonen dat zijn oplossing gelijkwaardig is.
- Een aanbestedende dienst mag een inschrijving niet zonder meer afwijzen omdat die niet precies past bij de genoemde specificatie.
- Wie een specifieke certificerende instelling eist, moet ook een certificaat van een gelijkwaardige instelling accepteren.
- Bij keurmerken gelden extra voorwaarden. Een technisch dossier van de fabrikant telt bijvoorbeeld alleen als de inschrijver aantoont dat hij het keurmerk om redenen buiten zijn macht niet op tijd kon krijgen.
Gelijkwaardig betekent in de praktijk dat je aantoont dat je aan dezelfde inhoudelijke eisen voldoet, niet dat je bewijs op dezelfde manier is opgebouwd. De bewijslast ligt bij de inschrijver, die zijn onderbouwing bij het indienen moet leveren.
De PIANOo-regels gaan over technische specificaties, normen, certificaten en keurmerken. Of ze ook gelden voor een SOC 2-rapport, en of ISO 27001 daarmee gelijkwaardig is, hangt af van hoe de eis is geschreven en wat de aanbestedende dienst ermee wil bereiken. Dat beoordeel je per aanbesteding.
Goed om te weten: Dit is algemene informatie en geen juridisch advies. De peildatum is oktober 2026. Controleer de geldende tekst van de Aanbestedingswet 2012 op wetten.overheid.nl en de aanbestedingsstukken. Twijfel je, vraag het dan een jurist of aanbestedingsspecialist.
Een voorbeeld uit een recente aanbesteding
Hoe dit in de praktijk uitpakt, laat een openbaar document zien: de tweede nota van inlichtingen van 7 april 2026 bij de Europese aanbesteding Monitoringsonderzoek Maatschappelijke Diensttijd, gepubliceerd op TenderNed. Daarin vroeg het programma van eisen een SOC 2 Type 2-verklaring van de cloudaanbieder, voor de hele contractperiode en de volledige scope.
Een inschrijver vroeg of een combinatie van een ISO 27001-certificaat, periodieke penetratietesten door een geaccrediteerde partij en een mapping op de Cloud Controls Matrix van de CSA, met een recht op audit, als gelijkwaardig alternatief werd geaccepteerd. De aanbestedende dienst antwoordde onder meer dat een SOC 2-rapportage alleen nodig is wanneer meer dan gewone persoonsgegevens worden verwerkt, dat dit daar niet het geval was en dat een recente ISO 27001-certificering volstond. In een ander antwoord noemde de dienst voorwaarden waaronder het voorgestelde alternatief als gelijkwaardig gold, zoals naleving van de AVG, gescheiden klantomgevingen en serverhardening.
Dit is één voorbeeld en geen algemene regel. Een andere aanbestedende dienst kan anders oordelen. Het laat wel zien waar het om draait: de eis wordt gemeten aan het risico dat hij moet afdekken, in dit geval het soort persoonsgegevens, en een vraag in de nota van inlichtingen kan de eis verduidelijken of versoepelen.
Als aanbieder: stappen en afvinklijst
Heb je ISO 27001 en vraagt de aanbesteding om SOC 2? Loop dan deze lijst af voordat je inschrijft.
- Lees de eis letterlijk. Welke norm, welk rapport, welke scope en welke periode worden gevraagd? Noteer dat precies.
- Stel vragen tijdens de nota van inlichtingen. Vraag of gelijkwaardig bewijs wordt geaccepteerd, welke bewijsmiddelen gelden en welk risico de eis dekt. Let op de termijn waarbinnen je vragen mag stellen.
- Leg de scope vast. Welke systemen, diensten en locaties vallen onder je ISO-certificaat, en welke onder de dienst die wordt aanbesteed? Overlappen die niet, dan weegt het certificaat voor deze opdracht weinig.
- Controleer je verklaring van toepasbaarheid. Die laat zien welke maatregelen je hebt gekozen en waarom. Sluit ze aan op wat de inkoper wil weten.
- Verzamel aanvullend bewijs. Denk aan een auditrapport, beleidsdocumenten en een overzicht van uitgevoerde controls. Een koppeling tussen je maatregelen en de Trust Services Criteria kan helpen, mits je die kunt onderbouwen.
- Benoem verschillen eerlijk. Heb je geen SOC 2-rapport, zeg dat dan. Claim geen SOC 2 in je inschrijving.
Tip: Onderbouw per eis welk bewijs je aanlevert en waarom dat dezelfde inhoudelijke eis dekt. Een korte pagina per eis, met verwijzing naar het bewijsstuk, helpt de inkoper sneller te beoordelen.
Als inkoper: formuleer de eis goed
Een inkoper moet een eis toetsbaar maken, en niet zwaarder dan nodig. De Gids Proportionaliteit van PIANOo helpt daarbij: eisen moeten aansluiten bij de aard en omvang van de opdracht. De gids is verplicht bij Europese en nationale aanbestedingen en bij meervoudig onderhandse procedures. Wie van de verplichte onderdelen afwijkt, motiveert dat in de aanbestedingsstukken. Controleer op PIANOo welke versie nu geldt.
Praktisch betekent dat:
- Benoem het risico. Schrijf op welk risico de eis moet afdekken, bijvoorbeeld dat je wilt weten hoe de leverancier klantgegevens beschermt. Dan kun je beoordelen of een ander bewijs dat risico ook dekt.
- Kies de vorm van bewijs bewust. Wil je een oordeel van een auditor over de werking van controls, dan past een SOC 2-rapport. Wil je zekerheid over een managementsysteem, dan past een certificaat. Benoem het verschil in de eis, zodat de aanbieder weet wat je bedoelt.
- Formuleer met criteria. Bijvoorbeeld: "Een SOC 2 Type 2-rapport over de beveiligingscriteria, of gelijkwaardig bewijs van een onafhankelijke beoordeling van vergelijkbare beveiligingsmaatregelen, met een scope die de aanbestede dienst omvat." Zo is vooraf duidelijk waar de aanbieder aan moet voldoen.
- Zet "of gelijkwaardig" erbij. Noem je een norm of certificaat, dan horen die woorden volgens PIANOo erbij.
- Vraag naar de scope. Welke systemen en diensten vallen binnen het rapport of certificaat, en welke niet?
- Kijk naar de uitzonderingen. In een SOC 2-rapport kunnen de exceptions (afwijkingen) meer zeggen dan het oordeel alleen. Lees hoe je dat beoordeelt op SOC 2-rapport lezen.
Valkuilen
- Gelijkwaardig is niet hetzelfde als gelijk. Een ISO 27001-certificaat is niet automatisch een SOC 2-rapport, en andersom ook niet. Beoordeel per eis wat er gevraagd wordt.
- Te smal of verouderd bewijs. Een rapport over een andere scope, of een certificaat dat niet alle relevante onderdelen van de dienst dekt, helpt weinig. Controleer ook of het bewijs nog actueel is.
- Overclaimen. Noem jezelf niet "SOC 2-compliant" omdat je ISO 27001 hebt. Die claim kun je met een ISO-certificaat niet onderbouwen.
- Eisen of inschrijvingen zonder onderbouwing. "Vergelijkbare beveiliging" zonder toetsbare criteria leidt achteraf tot discussie, en alleen claimen dat je gelijkwaardig bent levert weinig op. Lever de onderbouwing mee.
Veelgestelde vragen
Is een ISO 27001-certificaat altijd gelijkwaardig aan een SOC 2-rapport?
Nee. Dat hangt af van de eis, de formulering en de aanbestedende dienst. Vraag bij twijfel tijdens de nota van inlichtingen of gelijkwaardig bewijs wordt geaccepteerd.
Moet ik een SOC 2-rapport laten maken als ik al ISO 27001 heb?
Niet automatisch. Kijk eerst of de eis gelijkwaardig bewijs toestaat. Als dat niet kan, is een SOC 2-rapport een keuze die past bij je markt en je klanten, en het vraagt tijd en een onafhankelijke auditor.
Wat vraag ik als aanbieder tijdens een aanbesteding?
Vraag welk risico de eis dekt, welke bewijsmiddelen worden geaccepteerd en of gelijkwaardig bewijs is toegestaan. Vraag ook welke scope het bewijs moet hebben.
Hoe formuleer ik een SOC 2-eis die niet te zwaar is?
Benoem het risico en vraag om een rapport van een onafhankelijke auditor over de relevante criteria. Voeg "of gelijkwaardig" toe met de criteria waaraan het alternatief moet voldoen. Zo blijft de eis toetsbaar en niet zwaarder dan het risico vraagt.
Bronnen
- Aanbestedingswet 2012 op wetten.overheid.nl: de officiële wettekst.
- TenderNed: 2e nota van inlichtingen, Europese aanbesteding Monitoringsonderzoek Maatschappelijke Diensttijd (7 april 2026): het voorbeeld over SOC 2 Type 2 en ISO 27001 in een aanbesteding. Het document is een pdf.
- Aanbestedingswet 2012 op PIANOo: de vier beginselen en de rol van de Gids Proportionaliteit.
- Gids Proportionaliteit op PIANOo: de versie (3e herziening, januari 2022) en de strekking van de gids.
- Verwijzing naar technische specificaties op PIANOo: de regels over "of gelijkwaardig", gelijkwaardige certificaten en keurmerken, en de bewijslast van de inschrijver.