In het kort
- Een SOC 2-certificaat bestaat niet: SOC 2 levert een rapport op van een onafhankelijke auditor.
- Dat rapport bevat het oordeel van de auditor, een beschrijving van het systeem en de testresultaten, en de lezer moet het zelf beoordelen.
- Termen als "SOC 2-gecertificeerd" en "SOC 2-compliant" zeggen weinig en kunnen misleidend zijn, omdat er geen officiële status bestaat.
- Noem bij elke claim het type, de periode of datum, de scope en de criteria, en laat een inkoper het rapport zelf zien.
Kort antwoord
Nee, een SOC 2-certificaat bestaat niet. Het eindproduct van een SOC 2-onderzoek is een rapport van een onafhankelijke auditor. Dat rapport bevat het oordeel van de auditor over de beheersmaatregelen van een organisatie, over een bepaalde periode of een bepaald moment en binnen een bepaalde scope. Wat je daarover mag zeggen, hangt af van wat er in dat rapport staat. Dit artikel is de verdieping op de korte uitleg bij wat is SOC 2.
Waarom je geen SOC 2-certificaat krijgt
Een certificaat is het resultaat van een certificering. Daarbij toetst een onafhankelijke instantie of een organisatie aan een vaste norm voldoet, waarna het document die conclusie samenvat. SOC 2 is anders opgezet. Het is een onderzoek volgens het raamwerk van het AICPA, de Amerikaanse beroepsorganisatie van accountants, en de uitkomst is een rapport met de bevindingen van de auditor. Voor Nederlandse IT-auditors is dat professioneel gezien een assurance-rapport onder ISAE 3000, zo schrijft NOREA in haar handreiking voor SOC 2 en SOC 3 van december 2021.
Het verschil zit in wat de lezer krijgt. Een certificaat zegt meestal alleen dat er aan de norm is voldaan. Een rapport laat zien welke maatregelen er zijn, hoe ze zijn getest en wat daaruit kwam, zodat een klant zelf kan beoordelen of ze passen bij zijn risico's.
Een rapport heeft bovendien een periode of peildatum. Het zegt niets over wat er daarna gebeurt, tenzij er een nieuw rapport komt. Voor de vergelijking met ISO 27001, dat wel met certificaten werkt, zie SOC 2 versus ISO 27001.
Dat geldt ook voor andere rapportagestandaarden. 2-Control, de initiatiefnemer van deze site, legt in een blog over ISAE 3402 uit dat ISAE 3402 een rapportagestandaard is en geen certificaat.
Rapport, verklaring, certificaat: de woorden
Dit zijn de belangrijkste termen:
- Rapport: het document van de auditor, met het oordeel en de onderliggende informatie. Het AICPA noemt SOC-rapporten assurance reports.
- Verklaring: in de praktijk gebruiken mensen dit woord vaak voor hetzelfde document. Het gaat dan om de conclusie van de auditor, niet om een certificaat.
- Attestation: de Engelse term voor een opdracht waarin een accountant een schriftelijke conclusie geeft over informatie van een ander. Een SOC 2-onderzoek hoort bij die categorie.
- Certificaat: een document waarin staat dat een organisatie aan een vaste norm voldoet, meestal uitgegeven na een certificering.
- Certificering: het proces dat tot dat certificaat leidt. Bij SOC 2 is daar geen sprake van. NOREA, de beroepsorganisatie van IT-auditors, spreekt in haar handreiking over SOC 2- en SOC 3-rapporten en niet over certificaten.
- Compliant: Engels voor "voldoet aan". Voor SOC 2 bestaat geen officiële status die je kunt behalen, dus "SOC 2-compliant" is geen erkende titel.
Meer termen vind je in de begrippenlijst.
SOC 3: de publieke variant
SOC 3 gebruikt dezelfde vijf categorieën als SOC 2, maar met minder detail. Het AICPA noemt SOC 3-rapporten general use reports en zegt dat ze vrij verspreid mogen worden. Daardoor kun je een SOC 3 op je website zetten of meesturen met een offerte, zonder het volledige SOC 2-rapport vrij te geven.
Een SOC 3 is dus een publieke samenvatting, geen certificaat en geen vervanging van het SOC 2-rapport. Ook de zin "wij zijn SOC 3-gecertificeerd" maakt dezelfde fout. 2-Control, de initiatiefnemer van deze site, wijst in een blog over SOC 3 op die verwarring. Voor de verschillen tussen de drie varianten zie SOC 1, SOC 2 en SOC 3.
Wat zit er in een SOC 2-rapport
Een SOC 2-rapport beschrijft de opzet van de beheersmaatregelen en, bij een Type 2-onderzoek, of ze over een periode effectief werkten. Let bij het lezen op deze onderdelen:
- Het oordeel van de auditor: de conclusie van de accountant over de beschrijving en de maatregelen.
- De verklaring van het management: de schriftelijke bewering van de organisatie over haar systeem en maatregelen.
- De systeembeschrijving: welke dienst, infrastructuur, processen en gegevens onder het rapport vallen, en wat er buiten de scope valt.
- De criteria: welke Trust Services Criteria zijn getoetst.
- De controls en de tests: per maatregel wat de auditor heeft gedaan en wat de uitkomst was.
- De afwijkingen (exceptions): de punten waarop een maatregel niet, of niet volledig, werkte, met de reactie van de organisatie.
- De complementary user entity controls (CUEC's): maatregelen die jij als klant zelf moet nemen om de dienst veilig te gebruiken.
Om de werking te toetsen, verzamelt de auditor bewijsstukken en trekt hij steekproeven uit de registraties van de periode. Een uitleg over hoe je zo'n rapport leest, vind je bij SOC 2-rapport lezen.
Goed om te weten: een SOC 2-rapport is in beginsel vertrouwelijk, en een SOC 3 is bedoeld om openbaar te maken. Een leverancier die alleen een SOC 3 deelt, geeft je dus minder detail dan een inkoper vaak nodig heeft.
Wat mag je claimen
Een goede claim is precies: je noemt wat je hebt, over welke periode, voor welke scope en tegen welke criteria. Een misleidende claim suggereert meer dan het rapport zegt. Vervang de tekst tussen haakjes door je eigen gegevens.
| Formulering | Oordeel | Waarom |
|---|---|---|
| "Wij zijn SOC 2-gecertificeerd." | Misleidend | SOC 2 kent geen certificaat. Er is een rapport van een auditor. |
| "Wij zijn SOC 2-compliant." | Misleidend | Er bestaat geen officiële status. De zin zegt niet wat er is getoetst. |
| "Ons systeem is door een onafhankelijke auditor goedgekeurd." | Misleidend | Een rapport beschrijft wat is getoetst en wat de uitkomst was. Het is geen algemeen kwaliteitslabel. |
| "Wij hebben een SOC 2-rapport." | Onvolledig | Type, periode, scope en criteria ontbreken. |
| "Wij laten een SOC 2-onderzoek uitvoeren." | Goed, mits waar | Je zegt niet dat het rapport er al is. |
| "Ons SOC 2 Type 2-rapport van [auditor] beslaat [begin- en einddatum], met als scope [systemen] en als criteria [criteria]." | Goed | Alle kernelementen staan erin. |
| "Ons SOC 3-rapport van [auditor] over [periode] is publiek beschikbaar." | Goed, mits het echt een SOC 3 is | Een SOC 3 is een publieke samenvatting en geen certificaat. |
Goed om te weten: NOREA schrijft in haar handreiking voor SOC 2 en SOC 3 (december 2021) dat een SOC 2-rapport alleen bestemd is voor gespecificeerde gebruikers. Volgens die handreiking zijn generieke kwaliteitsuitingen, bijvoorbeeld dat het systeem van interne beheersing is onderworpen aan een audit en goedgekeurd door een onafhankelijke auditor, niet toegestaan. Claims zoals "een SOC-certificaat is verkregen" noemt de handreiking niet correct en misleidend. Wat wel kan, is op je website uitleggen wat de aard van het rapport is, voor wie het beschikbaar is en hoe het kan worden aangevraagd. Een SOC 3 is bedoeld voor onbeperkte verspreiding en mag wel op een website staan.
Een goede claim noemt vier dingen:
- Type: Type 1 of Type 2. Het verschil lees je bij Type 1 versus Type 2.
- Periode of datum: bij Type 2 de observatieperiode, bij Type 1 de peildatum.
- Scope: welke systemen, diensten en locaties in het onderzoek zitten.
- Criteria: welke Trust Services Criteria zijn getoetst. Security hoort bij elk SOC 2-onderzoek, de andere criteria kies je zelf.
Let op: dit is algemene informatie en geen juridisch advies. Of een uitspraak misleidend is, hangt af van de context en van de regels die voor jouw organisatie gelden. Laat teksten die je publiceert nakijken door een juridisch adviseur. Peildatum van deze tekst: oktober 2026.
Wat controleert een inkoper
Een inkoper die een SOC 2-claim beoordeelt, vraagt om het rapport zelf. Een logo, een badge of een eigen samenvatting is geen rapport. Controleer in elk geval deze punten:
- Type en periode: is het Type 1 of Type 2, en welke periode of peildatum geldt? Is die recent genoeg voor het contract?
- Scope: welke systemen, diensten en locaties zijn opgenomen? Staan subservice-organisaties, zoals cloudproviders, erin, of vallen die erbuiten?
- Criteria: welke Trust Services Criteria zijn getoetst? Dekken die wat jij nodig hebt, zoals vertrouwelijkheid of privacy?
- Auditor: wie heeft het onderzoek uitgevoerd? Gaat het om een onafhankelijke accountant die SOC-onderzoeken uitvoert?
- Oordeel: wat is de conclusie van de auditor, en staan er voorbehouden in?
- Afwijkingen: welke exceptions zijn er, en hoe heeft de leverancier daarop gereageerd?
- CUEC's: welke maatregelen moet jij zelf nemen om de dienst veilig te gebruiken?
Wie alleen een verklaring van de leverancier krijgt, heeft het rapport nog niet gezien. Hulp bij het lezen van al die onderdelen vind je bij SOC 2-rapport lezen.
Praktische tips voor marketing en sales
- Leg een vaste claimtekst vast. Schrijf één formulering met type, periode, scope en criteria, en laat sales en marketing die gebruiken.
- Vermijd "gecertificeerd" en "compliant". Schrijf liever "wij hebben een SOC 2 Type 2-rapport over [periode]" dan "wij zijn gecertificeerd".
- Maak onderscheid tussen bezig en klaar. Een lopend onderzoek is iets anders dan een afgerond rapport, en dat moet in elke tekst zichtbaar zijn.
- Stuur het rapport, geen belofte. Een inkoper wil het document zien, of een SOC 3 als die er is. Een logo zonder rapport is geen onderbouwing.
- Gebruik het SOC-logo alleen als je er recht op hebt. Volgens de NOREA-handreiking (december 2021) mag het AICPA-logo worden gebruikt bij een rapport van een bij het AICPA aangesloten CPA op basis van de AICPA-standaarden. Een rapport onder ISAE 3000 van een Nederlandse IT-auditor voldoet daar niet aan, en NOREA heeft geen eigen logo. Lees ook de actuele logorichtlijnen van het AICPA.
Tip: Stuur bij een offerte het rapport of de SOC 3 mee, niet je eigen samenvatting. Een samenvatting die jij schrijft, is geen rapport en laat een inkoper niets controleren.
Veelgestelde vragen
Heeft een SOC 2-rapport een vervaldatum?
Een SOC 2-rapport gaat over een periode of een peildatum. Het laat zien wat er in die periode is getoetst, niet wat er daarna gebeurt. Vraag daarom altijd het meest recente rapport op en controleer de periode.
Mag ik "SOC 2-compliant" op mijn website zetten?
Er bestaat geen officiële status "SOC 2-compliant", dus de term zegt een bezoeker weinig en kan misleidend zijn. Volgens de NOREA-handreiking horen auditors hun opdrachtgever er bovendien op te wijzen dat generieke kwaliteitsclaims en claims over een "SOC-certificaat" niet kloppen. Beschrijf liever welk rapport je hebt, over welke periode, voor welke scope en tegen welke criteria. Twijfel je over een formulering, laat die dan nakijken door een juridisch adviseur.
Is een SOC 3 een soort certificaat?
Nee. Een SOC 3 is een publieke, minder gedetailleerde variant van een SOC 2-onderzoek, geen certificaat. Een inkoper die diep wil kijken, vraagt om het volledige SOC 2-rapport.
Wat doe ik als een leverancier alleen een logo toont?
Vraag dan het volledige rapport op, of de SOC 3 als de leverancier die publiceert. Een logo zegt niet welke periode, scope of criteria zijn getoetst. Vraag ook wie de auditor is en of die onafhankelijk is.
Bronnen
- AICPA: System and Organization Controls, de SOC-dienstenpagina: gebruikt voor de omschrijving van SOC als dienstenreeks en de stelling dat SOC-diensten grondig beoordeeld moeten worden.
- AICPA: SOC 2-pagina: gebruikt voor de term "assurance reports" en de publicatietitel met de vijf categorieën.
- AICPA: SOC 3-pagina: gebruikt voor SOC 3 als general use report dat vrij verspreid mag worden, met minder detail dan SOC 2.
- AICPA: richtlijnen voor het SOC-logo voor serviceorganisaties: gebruikt voor wie het logo mag gebruiken en voor het feit dat de gebruiksrichtlijnen aparte documenten zijn.
- NOREA, Handreiking voor SOC 2 en SOC 3 op basis van ISAE 3000 (december 2021): gebruikt voor de positie van Nederlandse IT-auditors, de regels over marketing en communicatie, en het gebruik van het AICPA-logo.
- Kiwa: nieuwsartikel over IT-assurancerapportage: gebruikt voor het verschil tussen rapportage bij SOC 2 en certificering.
- 2-Control: blog over SOC 3: ter inspiratie, niet gekopieerd; gebruikt voor de waarschuwing dat SOC 3 geen certificaat of vervolgstap is.
- 2-Control: blog over ISAE 3402: ter inspiratie, niet gekopieerd; gebruikt voor de stelling dat een rapportagestandaard geen certificaat is.