Glossarbegriff
SOC 2 Type 2
Auch: Service Organization Control 2, SOC 2 Type II
Prüfbericht eines US-Wirtschaftsprüfers nach AICPA-Standard SSAE 18, der die Wirksamkeit der Kontrollen eines Dienstleisters über einen Zeitraum (typischerweise 6-12 Monate) bestätigt. Bezieht sich auf Trust Service Criteria.
SOC 2 unterscheidet Typ 1 (Design-Prüfung zu einem Stichtag) und Typ 2 (Wirksamkeitsprüfung über einen Zeitraum). Trust Service Criteria: Security (Pflicht), Availability, Processing Integrity, Confidentiality, Privacy.
Geltungsdauer faktisch 12 Monate, danach Folge-Prüfung. Bericht ist nicht öffentlich, sondern unter NDA verfügbar. Standard im US-Cloud-Markt, im EU-Bankenmarkt zusätzlich oft C5 Typ 2 verlangt.
In der Praxis
Praxis bei Vendor-Auswahl: SOC 2 Type 2 ist die Mindestmesslatte für SaaS-Anbieter. Fehlt der Bericht, fliegt der Anbieter in der Eignungsprüfung unter DORA Art. 28 in 80 Prozent der Fälle raus.
Verwandte Begriffe
ISO 27001
Internationaler Standard für Informationssicherheits-Management-Systeme. Aktuelle Fassung ISO/IEC 27001:2022. Zertifizierbar durch akkreditierte Stellen. Kernrahmen für ISMS-Aufbau, Risikobehandlung und kontinuierliche Verbesserung.
BSI C5
Prüfkatalog des BSI für Cloud-Dienste, der eine Mindest-Sicherheitsbasis und Transparenzpflichten definiert. Wird über ein C5-Testat durch unabhängige Wirtschaftsprüfer nachgewiesen. De-facto-Standard für Cloud-Beschaffung im deutschen Markt.
SASE
Gartner-Architekturkategorie, die Netzwerk- (SD-WAN) und Security-Funktionen (SWG, CASB, ZTNA, FWaaS, RBI) in einer Cloud-Plattform zusammenfasst. Pendant aus SSE (Security Service Edge) ohne SD-WAN-Anteil.
SBOM
Maschinenlesbares Inventar aller Komponenten einer Software inkl. Versionen, Lizenzen und Abhängigkeiten. Formate: SPDX, CycloneDX, SWID. Pflicht in regulierten Bereichen, in den USA durch Executive Order 14028 vorgegeben.
Schrems II
EuGH-Urteil vom 16. Juli 2020, das den EU-US Privacy Shield für ungueltig erklärte und Standardvertragsklauseln (SCC) nur unter Zusatzgarantien zuliess. Folge: Datenübermittlungen in die USA brauchen Transfer Impact Assessment (TIA) plus zusätzliche Schutzmaßnahmen.
Sovereign Cloud
Cloud-Angebot, in dem nicht nur Daten, sondern auch Operations, Personal, Schlüssel und Jurisdiktion innerhalb einer definierten Souveränitäts-Zone (typisch EU oder Mitgliedstaat) liegen. Die Tiefe der Sovereignty variiert pro Anbieter.
SSE
Subset von SASE ohne SD-WAN-Anteil. Bündelt SWG, CASB, ZTNA und (zunehmend) DLP/RBI in einer Cloud-Plattform. Gartner Magic Quadrant existiert eigenständig.
SSPM
Software-Kategorie zur Prüfung von SaaS-Konfigurationen (Microsoft 365, Salesforce, Google Workspace, Slack, GitHub). Findet überprivilegierte Apps, schwache Sharing-Settings, MFA-Lücken, externe Datenflüsse.