Je klant vraagt om SOC 2, maar je hebt het niet
SOC 2 is een Amerikaans auditrapport over je beveiligingsmaatregelen, opgesteld door een externe accountant. Heb je het niet, dan is de deal niet automatisch voorbij. Vraag wat de klant echt nodig heeft, laat met een goed onderbouwde vragenlijst, beleid en testresultaten zien wat je wel geregeld hebt, en geef een eerlijk plan als SOC 2 of ISO 27001 later wel nodig is.
Vooral klanten met een Amerikaanse moeder of Amerikaanse inkoopprocessen vragen om een SOC 2-rapport. Voor een Nederlandse of Belgische SaaS-leverancier is dat vaak geen standaard. Wat kun je doen als je er geen hebt?
Wat SOC 2 is
SOC 2 is een rapport volgens de regels van de Amerikaanse beroepsorganisatie van accountants, de AICPA. Een externe accountant beoordeelt je maatregelen op basis van de Trust Services Criteria: beveiliging, en naar keuze ook beschikbaarheid, integriteit van verwerking, vertrouwelijkheid en privacy. Het is geen certificaat, maar een rapport dat je onder voorwaarden met klanten deelt.
Type I en Type II
| Type I | Type II | |
|---|---|---|
| Wat het zegt | De maatregelen zijn goed ontworpen, op één moment | De maatregelen werkten ook echt, over een periode |
| Periode | Eén datum | Een observatieperiode, vaak 3 tot 12 maanden |
| Wat klanten meestal willen | Een begin | Het rapport waar de meeste inkopers om vragen |
Waarom je klant erom vraagt
Vaak staat SOC 2 standaard in de inkoopchecklist, soms met “of gelijkwaardig” erbij. De klant wil eigenlijk weten of een onafhankelijke partij naar je maatregelen heeft gekeken. Dat is de vraag achter de vraag.
Wat je wel kunt doen
- Vraag wat gelijkwaardig is. Accepteert de klant ISO 27001, een ISAE 3000- of ISAE 3402-rapport, of een ingevulde standaardlijst zoals de SIG of CAIQ? In Europa is ISO 27001 vaak gangbaarder.
- Laat zien wat je hebt. Beleid, procedures, een recente pentest, logging, back-ups en incidentafhandeling. Met bewijs, niet alleen met woorden.
- Gebruik de rapporten van je cloudleverancier, maar eerlijk. Grote cloudleveranciers hebben vaak een eigen SOC 2-rapport. Dat dekt hun deel, niet jouw applicatie, je toegangsbeheer of je ontwikkelproces.
- Beantwoord de securityvragen extra sterk. Een vragenlijst met een bron bij elk antwoord komt het dichtst bij wat een auditor zou doen.
- Geef een plan als het echt nodig is. Moet SOC 2 of ISO 27001 er komen, noem dan een realistische planning in plaats van een belofte.
Wat je beter niet schrijft
- “Wij zijn SOC 2-compliant” zonder rapport. Dat suggereert een audit die er niet is.
- “Onze hosting is SOC 2-gecertificeerd, dus wij ook.” De verantwoordelijkheid voor je eigen deel blijft bij jou.
- Een datum voor een SOC 2-rapport die je niet waar kunt maken.
Hoe Holdvero helpt
Holdvero levert geen SOC 2-audit en geen certificering. Wel vullen we de securityvragenlijst van je klant in op basis van je eigen documentatie, met een bron bij elk antwoord en eerlijke open punten. Zo laat je zien wat je wel geregeld hebt. Tot 150 vragen: Questionnaire Rescue, €695. Lees ook vragenlijst invullen zonder ISO 27001.
Veelgestelde vragen
Is SOC 2 een certificaat?
Nee. Het is een rapport van een externe accountant. Je kunt het onder voorwaarden, vaak met een NDA, met klanten delen.
Is ISO 27001 hetzelfde als SOC 2?
Nee. ISO 27001 is een internationale norm met een certificaat voor je managementsysteem. SOC 2 is een Amerikaans rapport over je maatregelen. Veel klanten accepteren het een als alternatief voor het ander, maar vraag het altijd na.
Hoe lang duurt een SOC 2 Type II?
Er hoort een observatieperiode bij, vaak 3 tot 12 maanden, plus voorbereiding vooraf. Het is dus geen oplossing voor een deal die deze maand moet sluiten.
Kan ik de deal toch winnen zonder SOC 2?
Soms wel, als de klant een gelijkwaardig alternatief accepteert en je antwoorden goed onderbouwd zijn. Vraag het vroeg na, voordat je veel tijd in de rest van de vragenlijst steekt.
Hulp bij de securityvragenlijst zonder SOC 2?
Je hoort binnen 1 werkdag wat het kost en wanneer je hem terugkrijgt. Je betaalt pas na akkoord op de prijs.
Vraag een vaste prijs aan