In het kort
- Een SOC 2-rapport is geen bewijs dat je voldoet aan NIS2, DORA of de AVG.
- Het kan wel bewijs leveren voor onderdelen van je leveranciersketen, zoals toegangsbeheer en monitoring.
- De Cyberbeveiligingswet, de Nederlandse NIS2-wet, is sinds 15 augustus 2026 in werking en noemt de beveiliging van de leveranciersketen uitdrukkelijk.
- Gebruik het rapport als startpunt van je leveranciersbeoordeling en stel er gerichte vragen bij.
Kort antwoord
Nee, een SOC 2-rapport is geen bewijs van wettelijke naleving. Het beschrijft of de beheersmaatregelen (controls) van een dienstverlener werkten, binnen een afgesproken toepassingsgebied (scope) en over een bepaalde periode. Dat is bruikbaar bewijs (evidence) voor een deel van wat NIS2, DORA en de AVG vragen. Voor wie SOC 2 precies nuttig is, lees je op de pagina over voor wie SOC 2 is.
Wat vragen NIS2, DORA en de AVG op hoofdlijnen
NIS2 en de Cyberbeveiligingswet
NIS2 is een Europese richtlijn over cyberbeveiliging. Nederland heeft die omgezet in de Cyberbeveiligingswet (Cbw). De wet richt zich op essentiële en belangrijke entiteiten in sectoren als energie, vervoer, financiën, gezondheidszorg en digitale infrastructuur. Organisaties moeten zelf nagaan of ze eronder vallen, met een overzicht van de NCTV als hulpmiddel.
De kern van de wet is een zorgplicht: je neemt passende en evenredige maatregelen om je netwerk- en informatiesystemen te beveiligen. Die maatregelen moeten ook de beveiliging van je leveranciersketen omvatten. Je moet daarbij de zwakke punten van directe leveranciers meewegen. Het bestuur moet de maatregelen goedkeuren.
Significante incidenten meld je in drie stappen: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag uiterlijk een maand na de melding.
Goed om te weten: De wet is vastgesteld op 8 juli 2026 (Stb. 2026, 187) en volgens het inwerkingtredingsbesluit (Stb. 2026, 189) in werking getreden op 15 augustus 2026. 2-Control, de initiatiefnemer van deze site, schrijft in een blog wat dit betekent voor organisaties en hun leveranciers.
DORA
DORA, de verordening over digitale operationele weerbaarheid van de financiële sector, geldt sinds 17 januari 2025. Volgens ESMA gaat het om ongeveer twintig typen financiële entiteiten. De verordening behandelt onder meer ICT-risicobeheer, het beheer van ICT-derdenrisico met belangrijke contractuele bepalingen, testen van de digitale weerbaarheid en het melden van grote ICT-incidenten. Ook is er een toezichtkader voor kritieke ICT-dienstverleners die de Europese toezichthouders aanwijzen.
Voor een leverancier van een financiële instelling betekent dit vooral dat de klant contractuele eisen aan hem stelt. Of en hoe DORA en de Cbw bij een financiële entiteit samenlopen, is een juridische vraag.
AVG
De AVG geldt sinds mei 2018 en gaat over persoonsgegevens. Voor leveranciers die persoonsgegevens verwerken, is vooral relevant dat de verwerking op basis van een contract gebeurt, meestal een verwerkersovereenkomst. Een subverwerker schakel je alleen in met vooraf gegeven schriftelijke toestemming van je klant. Bij een datalek moet de verantwoordelijke in beginsel binnen 72 uur melden bij de toezichthouder, tenzij het onwaarschijnlijk is dat het lek een risico oplevert. Een verwerker moet de verantwoordelijke zonder onredelijke vertraging informeren. Over de samenhang tussen AVG en NIS2 schrijft 2-Control in dit blog.
Let op: Dit is algemene informatie, geen juridisch advies. Wat voor jou geldt onder de Cbw, DORA of de AVG hangt af van je sector, je rol en je contracten. Peildatum: oktober 2026.
Wat een SOC 2-rapport wel aantoont
Een SOC 2-rapport is een assurancerapport van een onafhankelijke auditor. Het toetst de controls van een dienstverlener aan de Trust Services Criteria: security, availability, processing integrity, confidentiality en privacy. Volgens de NOREA-handreiking is het rapport bestemd voor onder meer het management van de dienstverlener en van haar klanten, voor auditors en voor toezichthouders.
In de praktijk laat een rapport zien:
- welke controls er zijn voor onder meer toegang, wijzigingen en monitoring, binnen de scope die is vastgelegd;
- of een auditor die controls heeft getoetst, en welke afwijkingen (exceptions) hij heeft gevonden;
- welke maatregelen de dienstverlener aan jou als klant overlaat. Dat zijn de complementary user entity controls (CUEC's), de maatregelen die jij zelf moet inrichten.
Die onderdelen overlappen met wat NIS2 en DORA vragen: toegangsbeheer, incidentbeheer, monitoring en leveranciersbeheer. Het is wel een overlap in inhoud, geen juridische gelijkwaardigheid. Een controle die werkt, is nog geen wettelijke naleving. Of het rapport een Type 1 of een Type 2 is en hoe lang de observatieperiode duurt, lees je in de vergelijking van Type 1 en Type 2.
Wat het niet aantoont
De onderstaande tabel zet de overlap naast de gaten. "Deels" betekent dat er overlap is, niet dat je aan de wettelijke eis voldoet.
| Onderwerp | Dekt SOC 2 dit? | Wat heb je er nog bij nodig? |
|---|---|---|
| Wettelijke status en naleving van de Cbw | Nee, een SOC 2-rapport heeft geen wettelijke status | Een eigen analyse of je onder de Cbw valt, de registratie en de bestuurlijke goedkeuring van je maatregelen |
| Meldproces naar CSIRT en toezichthouder (24 uur, 72 uur, eindverslag) | Nee, alleen indirect via incidentbeheer | Een meldprocedure, een contactpersoon en afspraken over wie wanneer meldt |
| Toegangsbeheer | Deels, mits het in scope is en is getest | Bewijs dat de controls ook gelden voor jouw eigen omgeving |
| Incidentbeheer en monitoring | Deels, mits het in scope is | Eigen playbooks, logging en alerting die je zelf kunt aantonen |
| Leveranciersbeheer | Deels: het rapport van je leverancier toont zijn controls, niet jouw beoordeling | Een eigen leveranciersbeoordeling, contractuele eisen en een weging van risico's per leverancier |
| DORA-specifieke eisen (register van ICT-afspraken, testprogramma, meldingen) | Nee | DORA-documentatie en een eigen testprogramma |
| AVG-privacy (verwerkingsregister, datalekprocedure, verwerkersovereenkomst) | Alleen als de Privacy-categorie in scope is, en ook dan geen AVG-toets | Een verwerkersovereenkomst, een datalekprocedure met de 72-uurstermijn en een verwerkingsregister |
Let op: Een Privacy-categorie in een SOC 2-rapport is niet hetzelfde als AVG-naleving. Volgens de NOREA-handreiking geeft een SOC 2-onderzoek geen zekerheid over AVG-compliance, maar over de beheersing van de ingerichte privacymaatregelen. Aspecten als een functionaris voor gegevensbescherming, een DPIA en privacy by design worden niet gedekt door de Privacy-criteria alleen. Zie ook de veelgestelde vragen en de uitleg over de vijf criteria.
SOC 2 gebruiken als bewijs in de keten
Een SOC 2-rapport werkt het best als onderdeel van een bredere leveranciersbeoordeling. Het laat zien wat een leverancier op een bepaald moment en over een bepaalde periode beheerst. Het laat niet zien wat er bij jou gebeurt. Hieronder staat wat dat betekent aan beide kanten van de keten.
Voor aanbieders
Als je SaaS of IT-dienstverlening levert, kan je SOC 2-rapport voorkomen dat je elke vragenlijst opnieuw beantwoordt. Zorg dat de scope past bij de dienst die je klant afneemt en dat de periode actueel is. Benoem ook welke onderdelen je uitbesteedt en of die binnen of buiten de scope vallen. Daar gaat dit artikel over. Wees eerlijk over de exceptions en laat zien welke verbeteringen je hebt doorgevoerd.
Voor inkopers
Als inkoper gebruik je het rapport als input, niet als eindoordeel. Stel dat je een SaaS-leverancier overweegt voor de administratie van je klanten. Dan kijk je naar de scope (klopt die met het systeem dat je afneemt?), naar de observatieperiode, de exceptions en de CUEC's. Een rapport met goede resultaten helpt weinig als de scope je dienst niet dekt. Hoe je een rapport leest, lees je hier.
Combineren met andere kaders
SOC 2 is niet het enige bewijsinstrument. Twee alternatieven die vaak naast elkaar worden gebruikt:
- Een ISO 27001-certificaat. Dat is een certificering met een eigen toetsingsmodel. Hoe het zich verhoudt tot SOC 2, lees je op de vergelijkingspagina.
- Een ISAE 3000-rapport. Daarbij ligt het normenkader vooraf vast. Een afnemer moet dan begrijpen welk kader is gebruikt en wat daarin is getoetst.
Een normenkader dat dichter bij je wettelijke vragen ligt, kan nuttig zijn, maar je afnemers moeten het kader wel kunnen lezen en beoordelen. Kies op basis van wat je afnemers vragen en wat je daadwerkelijk laat toetsen.
Praktische vragen om aan je leverancier te stellen
Gebruik deze lijst bij je leveranciersbeoordeling. Een vraag die vaag beantwoord wordt, is ook informatie.
- Welke Trust Services Criteria zijn in scope, en valt de Privacy-categorie daaronder?
- Is het rapport een Type 1 of een Type 2, en hoe lang is de observatieperiode?
- Welke systemen en locaties vallen binnen de scope, en welke niet?
- Welke subserviceorganisaties gebruiken jullie, en vallen die binnen of buiten het rapport?
- Welke exceptions zijn er, en welke verbeteringen zijn daarvoor afgesproken?
- Welke CUEC's moeten wij zelf inrichten?
- Binnen welke termijn melden jullie een incident aan ons, en via welk kanaal?
- Binnen welke termijn melden jullie een datalek met persoonsgegevens?
- Welke subverwerkers gebruiken jullie, en informeren jullie ons voordat er wijzigingen zijn?
- Hoe beoordelen jullie de risico's van jullie eigen leveranciers?
- Wat gebeurt er met onze gegevens bij beëindiging: teruggeven of wissen?
- Hoe is het bestuur van jullie organisatie betrokken bij cyberbeveiliging en privacy?
Tip: Neem deze vragen op in je inkoopformulier of in de verwerkersovereenkomst, dan hoef je ze niet elke keer opnieuw te stellen.
Veelgestelde vragen
Is een SOC 2-rapport voldoende voor NIS2?
Nee. Een SOC 2-rapport kan bewijs leveren voor onderdelen van de zorgplicht, zoals toegangsbeheer en leveranciersbeheer. De meldplicht, de registratie en de bestuurlijke goedkeuring moet je zelf inrichten.
Valt mijn SaaS-bedrijf onder de Cbw?
Dat hangt af van je sector, je omvang en de dienst die je levert. De overheid zegt dat organisaties zelf moeten nagaan of ze onder de wet vallen, met een overzicht van de NCTV als hulpmiddel. Twijfel je, laat het dan juridisch beoordelen.
Moet mijn leverancier aan DORA voldoen?
DORA richt zich in de eerste plaats op financiële entiteiten. Als je ICT-dienstverlener bent aan zo'n instelling, zie je dat terug in de contracten die zij met jou afsluiten. Is je dienst door de Europese toezichthouders als kritiek aangewezen, dan valt die onder een apart toezichtkader.
Is een SOC 2-rapport hetzelfde als AVG-compliance?
Nee. De Privacy-categorie overlapt deels met de AVG, maar de auditor geeft volgens de NOREA-handreiking zekerheid over de beheersing van de ingerichte privacymaatregelen en niet over AVG-compliance. Een SOC 2-rapport is dus geen bewijs van AVG-naleving, al kunnen de maatregelen die het toetst die naleving wel ondersteunen.
Bronnen
- Stb. 2026, 187: Cyberbeveiligingswet: de titel en datum van de wet, en de bepalingen over risicomaatregelen, de leveranciersketen en de meldplicht.
- Stb. 2026, 189: inwerkingtredingsbesluit Cyberbeveiligingswet: de inwerkingtredingsdatum van 15 augustus 2026.
- NOREA, Handreiking voor SOC 2 en SOC 3 op basis van ISAE 3000 (december 2021): voor wie het rapport is bestemd, en wat de Privacy-categorie wel en niet dekt ten opzichte van de AVG.
- NCSC: meldplicht Cyberbeveiligingswet: de termijnen van 24 uur, 72 uur en een maand.
- NCSC: Cyberbeveiligingswet (NIS2): de inwerkingtreding, de zorgplicht, het bestuur en de registratie.
- Rijksoverheid: nieuwsbericht van 15 april 2026: dat organisaties zelf moeten nagaan of ze onder de wet vallen, en het NCTV-overzicht.
- Europese Commissie: NIS2-richtlijn: de omzettingsdeadline van 17 oktober 2024 en de sectoren.
- ESMA: Digital Operational Resilience Act (DORA): de data van inwerkingtreding en toepassing, en de thema's van de verordening.
- EUR-Lex: Algemene verordening gegevensbescherming (EU) 2016/679: de officiële tekst, onder meer artikel 28 (verwerker en subverwerker) en artikel 33 (melding van datalekken).
- EUR-Lex: NIS2-richtlijn (EU) 2022/2555: de officiële tekst van de richtlijn.
- EUR-Lex: DORA-verordening (EU) 2022/2554: de officiële tekst van de verordening.
- AICPA: System and Organization Controls: SOC 2 als assurancerapport, en de users en user entities.
- AICPA: 2017 Trust Services Criteria: de vijf criteria-onderwerpen.
- 2-Control: De Cyberbeveiligingswet (NIS2) is een feit: een praktijkblog van 2-Control, de initiatiefnemer van deze site, over de Cbw en leveranciers.
- 2-Control: AVG na 6 jaar en de komst van NIS2: een praktijkblog van 2-Control over de overlap tussen AVG en NIS2.