ISO 27001 Controls Mapping zu SOC 2: Ein praxisorientierter Leitfaden

Die meisten ISO 27001 Annex A Controls haben ein SOC 2-Gegenstück, und die meisten SOC 2-Kriterien lassen sich einem Annex A Control zuordnen. Die Überschneidung ist am größten in den Bereichen Zugriffskontrolle, Protokollierung, Change Management, Lieferantenüberwachung und Incident Response. Dennoch ist die Zuordnung nicht eins zu eins. ISO 27001 erfordert ein Managementsystem (Abschnitte 4 bis 10), für das SOC 2 kein direktes Äquivalent kennt. SOC 2 seinerseits verlangt systemspezifische Kriterien und das Prüfungsurteil eines CPA, das eine ISO-Zertifizierung nicht ersetzen kann.

Dieser Leitfaden zeigt, wo die Controls übereinstimmen, wie eine Mapping-Matrix aufgebaut wird, welche Nachweise wiederverwendet werden können und wie der verbleibende Aufwand einzuschätzen ist. Er richtet sich an Compliance-Verantwortliche, IT-Manager und Security Leads in Unternehmen, die bereits eines der beiden Frameworks besitzen und das andere anstreben.

TL;DR

• Zugriffskontrolle, Protokollierung und Monitoring, Change Management, Lieferantenmanagement und Incident Response lassen sich am saubersten zwischen Annex A und den SOC 2 Common Criteria zuordnen.
• Die größte Lücke für Teams mit einem SOC 2-Bericht ist das ISMS selbst: Abschnitte 4 bis 10, der Risikobehandlungsprozess und das Statement of Applicability.
• Technische Nachweise wie Logs, Konfigurationen und Scan-Berichte sind häufig wiederverwendbar. Governance-Unterlagen wie Management-Reviews und die SoA werden separat bewertet.
• Eine ISO 27001-Zertifizierung ersetzt keine SOC 2-Prüfung, und ein SOC 2-Bericht ersetzt keine ISO-Zertifizierung.
• Erstellen Sie ein zentrales Control-Inventar, ordnen Sie es beiden Frameworks zu und schätzen Sie dann nur die Lücken.

Inhaltsverzeichnis

• Was genau gemappt wird
• Wo die Controls übereinstimmen
• Was sich nicht zuordnen lässt
• So wird die Mapping-Matrix aufgebaut
• Wiederverwendbare und nicht wiederverwendbare Nachweise
• Ersetzt ISO 27001 SOC 2 – oder umgekehrt?
• Aufwand zur Schließung der Lücken einschätzen
• Aufwand vor der Entscheidung abschätzen
• Unsere Einschätzung
• FAQ
• Quellen

Was genau gemappt wird

Beide Frameworks sind unterschiedlich aufgebaut, und das beeinflusst jede Mapping-Entscheidung.

ISO 27001 zertifiziert ein Informationssicherheits-Managementsystem. Es erfordert die Einhaltung der Abschnitte 4 bis 10, einschließlich interner Audits und Management-Reviews. Annex A dient als Referenzsammlung von Controls: ISO 27001:2022 enthält 93 Annex A Control-Empfehlungen, und Sie entscheiden im Rahmen der Risikobehandlung, welche davon anzuwenden sind. Das Ergebnis ist ein Zertifikat mit dreijähriger Laufzeit und Überwachungsaudits in den Zwischenjahren.

SOC 2 ist eine Attestierung der AICPA. Ein CPA-Unternehmen bewertet ein definiertes System anhand der Trust Services Criteria. Die AICPA beschreibt die Kriterien als ergebnisbasiert: Sie prüfen, ob ein System und seine Controls eine hinreichende Sicherheit bieten, dass die Ziele des Managements erreicht werden. Sicherheit (die Common Criteria) ist verpflichtend. Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz sind optionale Kategorien, die je nach Kundenerwartung ergänzt werden. Type 1 prüft das Design an einem bestimmten Stichtag. Type 2 prüft die Betriebswirksamkeit, in der Regel über einen Zeitraum von drei bis zwölf Monaten. Das Ergebnis ist ein Bericht, kein Zertifikat.

Kurz gesagt: ISO fragt, ob Sie Informationssicherheit als gesteuertes, risikobasiertes System betreiben. SOC 2 fragt, ob ein bestimmter Dienst über Controls verfügt, die funktioniert haben. Da die Fragestellung unterschiedlich ist, kann ein und dasselbe Control beide Anforderungen erfüllen, während die zugehörige Dokumentation dies nicht tut.

Wo die Controls übereinstimmen

Die folgende Tabelle zeigt typische Zuordnungen zwischen den SOC 2 Common Criteria und ISO 27001:2022. Sie dient als Orientierungshilfe, die auf der üblichen parallelen Lektüre beider Strukturen basiert – nicht als offizielles Crosswalk-Dokument. Ihre eigene Zuordnung hängt von Ihrem Scope, Ihrer Risikobewertung und den tatsächlich eingesetzten Controls ab.

Für die autoritative zellenweise Version verwenden Sie das von der AICPA veröffentlichte Mapping der 2017 Trust Services Criteria zu ISO 27001. Es handelt sich um eine Tabellenkalkulation, die Sie gegen Ihr eigenes Inventar filtern können. Beachten Sie, dass sie auf Basis der früheren ISO 27001-Kontrollnummerierung erstellt wurde, sodass Sie Referenzen auf die Annex A-Struktur von 2022 übertragen müssen. Unser Leitfaden zu den Annex A Controls erklärt erläutert, wie die Controls in der 2022er Version gruppiert sind.

Warum Aussagen wie „80 % Überschneidung" mit Vorsicht zu genießen sind

Häufig werden Zahlen wie 80 % oder sogar 100 % Überschneidung zwischen SOC 2-Controls und Annex A genannt. Betrachten Sie diese als Richtwerte. Die tatsächliche Überschneidung hängt von drei Faktoren ab:

1. Welche SOC 2-Kategorien im Scope liegen. Ein reiner Security-Bericht überschneidet sich anders als einer, der Datenschutz und Verarbeitungsintegrität einschließt.
2. Ihr Statement of Applicability. Annex A ist ein Hilfsmittel, keine verbindliche Liste. Welche Controls umzusetzen sind, ergibt sich aus Ihrer eigenen Risikobewertung – daher können zwei Unternehmen unterschiedliche Überschneidungen mit demselben SOC 2-Bericht aufweisen.
3. Systemscope gegenüber Organisationsscope. SOC 2 deckt ein definiertes System ab. ISO zertifiziert den von Ihnen deklarierten ISMS-Scope. Controls können nur dann einmalig für beide geprüft werden, wenn die Scopes übereinstimmen.

Ein Control, das auf dem Papier gemappt ist, muss dennoch über den gesamten ISO-Scope hinweg wirksam sein. Wenn Ihr SOC 2 eine Produktionsplattform abdeckt und Ihr ISMS-Scope das gesamte Unternehmen umfasst, decken die SOC 2-Nachweise nur einen Teil dessen ab, was ein ISO-Auditor prüfen wird.

Was sich nicht zuordnen lässt

Die nicht zugeordneten Bereiche sind dort, wo der Aufwand liegt – identifizieren Sie sie frühzeitig.

Auf ISO-Seite ohne direktes SOC 2-Äquivalent

• Abschnitte 4 bis 10. Kontext der Organisation, interessierte Parteien, ISMS-Scope, Richtlinie, Ziele, Kompetenz, dokumentierte Information, internes Audit, Management-Review und kontinuierliche Verbesserung. Dies ist die primäre Lücke für Organisationen mit SOC 2, die ISO 27001 anstreben.
• Das Statement of Applicability. ISO verlangt, dass Sie notwendige Controls dokumentieren, deren Auswahl begründen und Ausschlüsse von Annex A-Controls rechtfertigen. Unser Leitfaden zum Statement of Applicability zeigt, wie Sie eines erstellen, das ein Auditor akzeptiert.
• Ein formeller Risikobehandlungsplan mit Risikoeigentümern, die das Restrisiko genehmigen.
• Management-Review-Protokolle gemäß Abschnitt 9.3 sowie ein dokumentiertes internes Auditprogramm.

Auf SOC 2-Seite ohne direktes ISO-Äquivalent

• Systembeschreibung und Service Commitments. SOC 2 erfordert eine Beschreibung des Systems, seiner Grenzen und der gegenüber Kunden eingegangenen Verpflichtungen.
• Complementary User Entity Controls und Subservice Organization Carve-outs. Diese beschreiben, was Ihre Kunden und Lieferanten tun müssen, damit Ihre Controls wirksam sind.
• Betriebswirksamkeit über einen Zeitraum. Ein Type 2-Bericht erhebt Nachweise über mehrere Monate. ISO-Überwachungsaudits sampeln ebenfalls, aber in einem anderen Rhythmus.
• Das CPA-Prüfungsurteil selbst. SOC 2 resultiert in einem Attestierungsbericht eines CPA-Unternehmens, nicht in einem Zertifikat.

So wird die Mapping-Matrix aufgebaut

Eine dauerhaft nützliche Matrix ist einfach gehalten. Die folgende Vorgehensweise hat sich bewährt.

1. Ein zentrales Control-Inventar erstellen. Listen Sie alle tatsächlich betriebenen Controls auf: MFA-Durchsetzung, vierteljährliche Zugriffsreviews, Backup-Wiederherstellungen, Lieferantenreviews usw. Benennen Sie für jeden Eintrag einen Verantwortlichen.
2. Jeden Control beiden Frameworks zuordnen. Verwenden Sie das AICPA-Workbook als Ausgangspunkt, wie es der GRACE-Crosswalk-Ansatz vorsieht. Fügen Sie Spalten für den Annex A-Verweis und das SOC 2-Kriterium hinzu.
3. Die Nachweisquelle angeben. Benennen Sie das System, aus dem der Nachweis stammt: der Identity-Provider-Export, das Ticketsystem, der Cloud-Konfigurationsscan.
4. Lücken markieren. Kennzeichnen Sie jede ISO-Anforderung ohne SOC 2-Gegenstück und jeden Annex A-Control in Ihrer SoA, der durch nichts in Ihrem Inventar abgedeckt ist.
5. Status erfassen. Verwenden Sie einfache Zustände: in Betrieb, konzipiert aber nicht nachgewiesen, fehlend.
6. Eine gezielte Gap-Analyse ausschließlich für die identifizierten Lücken durchführen. Unser Leitfaden zur ISO 27001 Gap-Analyse beschreibt die Methodik Schritt für Schritt.

Halten Sie die Matrix als lebendes Dokument. Sie sollte aktualisiert werden, wenn sich Ihr Scope, Ihre Tools oder Ihre SoA ändern.

Ein kurzes Praxisbeispiel

Nehmen wir Zugriffsreviews. Sie führen vierteljährlich ein Review der Produktionszugänge in Ihrem Identity Provider durch, und ein Reviewer zeichnet dies in einem Ticket ab.

• SOC 2: unterstützt CC6.1 bis CC6.3 (Bereitstellung, Änderung und Entzug von Zugriffsrechten).
• ISO 27001:2022: unterstützt 5.18 (Zugriffsrechte) und 5.15 (Zugriffskontrolle).
• Nachweise: Der vierteljährliche Export und das abgezeichnete Ticket dienen beiden Auditoren.
• Zusatz für ISO: Das Review muss auf ein Risiko in Ihrem Risikoregister und eine Zeile in Ihrer SoA zurückführbar sein.

Ein Control, ein Nachweiskörper, zwei Sätze von Referenzen. Wiederholen Sie das für jede Zeile, und Sie haben die Matrix.

Wiederverwendbare und nicht wiederverwendbare Nachweise

Technische Nachweise lassen sich gut übertragen. Logs, Konfigurationsbaselines, Schwachstellenscan-Berichte, Backup-Testergebnisse, Zugriffsreview-Exporte und Change-Tickets können in der Regel beiden Audits dienen. Das entspricht dem Ansatz des „einmal testen, viele erfüllen"-Modells: Geteilte Controls können für beide Prüfungen auditiert werden, sofern beide Prüfungen gemeinsam geplant werden.

Governance-Nachweise lassen sich nicht übertragen. SoA, ISMS-Scope-Erklärung, Risikobehandlungsplan, Management-Review gemäß Abschnitt 9.3 und interne Auditberichte sind spezifisch für ISO 27001 und werden separat bewertet. Ebenso gehören die SOC 2-Systembeschreibung und die Management Assertion ausschließlich zur SOC 2-Prüfung.

Zwei praktische Hinweise:

• Daten und Zeiträume weichen ab. Ein Type 2-Fenster endet möglicherweise im Juni, während Ihr ISO-Überwachungsaudit im November stattfindet. Nachweise müssen für den jeweiligen Prüfungszeitraum aktuell sein.
• Stichproben unterscheiden sich. Auditoren beider Frameworks wählen ihre eigenen Stichproben. Eine konsolidierte Nachweiserhebung hilft, aber Audit-Rhythmen und Berichtsstrukturen bleiben unterschiedlich.

Ersetzt ISO 27001 SOC 2 – oder umgekehrt?

Nein, in beide Richtungen. Eine ISO 27001-Zertifizierung erfüllt SOC 2 nicht automatisch, da sich Prüfungsziele und Kriterien unterscheiden und SOC 2 eine Prüfung durch ein CPA-Unternehmen erfordert. Umgekehrt zertifiziert ein SOC 2-Bericht Ihr ISMS nicht.

Fachleute beschreiben die beiden Frameworks in der Regel als komplementär statt austauschbar: SOC 2 bietet detaillierte, kundenorientierte Sicherheit über ein Service-System, während ISO 27001 breiteres Risikomanagement und Managementsystem-Kompetenz nachweist.

Die praktische Frage ist, was Ihre Kunden verlangen. US-amerikanische Enterprise-Kunden fordern häufig SOC 2. Internationale und regulierte Käufer verlangen oft ISO 27001. Startups, die an nordamerikanische Käufer verkaufen, beginnen oft mit SOC 2, während international tätige oder regulierte Finanzdienstleister eher ISO 27001 oder beide Frameworks bevorzugen. Für einen umfassenderen Entscheidungsrahmen lesen Sie ISO 27001 vs. SOC 2: Was brauchen Sie?

Aufwand zur Schließung der Lücken einschätzen

Die meisten Teams, die bereits einen SOC 2-Bericht besitzen, haben einen Großteil dessen aufgebaut, was ISO 27001 erfordert. Der verbleibende Aufwand fällt in vorhersehbare Kategorien:

Kalkulieren Sie die ISMS-Abschnitte als neue Arbeit ein, auch wenn Ihr technischer Stack bereits ausgereift ist. Eine integrierte Gap-Bewertung kann eine einzige Roadmap liefern, und eine Readiness-Prüfung vor dem formellen Audit ist die investierte Zeit wert.

Für SaaS-Unternehmen sieht das Bild in der Regel gleich aus: starke technische Controls, schwache Governance. Unser Leitfaden ISO 27001 für SaaS- und Tech-Unternehmen beschreibt, wie das in der Praxis aussieht, und der Artikel zum Implementierungs-Zeitplan zeigt, wie lange die einzelnen Phasen typischerweise dauern.

Finanzunternehmen und Startups

Finanzunternehmen sehen sich häufig gleichzeitig mit Kunden-Due-Diligence, Aufsichtsbehörden und internationalen Geschäftspartnern konfrontiert. Das spricht dafür, beide Frameworks zu halten und den ISO-Scope auf die relevanten Geschäftsbereiche auszurichten. Lesen Sie dazu unseren Audit-Vorbereitungsleitfaden für Finanzunternehmen.

Startups sollten mit dem Framework beginnen, das der nächste Großkunde verlangt, und die Controls so konzipieren, dass das zweite Framework eine Erweiterung ist, kein Neustart. Wenn das Control-Inventar von Anfang an aufgebaut wird, ist die Mapping-Matrix später mit minimalem Aufwand zu erstellen.

Aufwand vor der Entscheidung abschätzen

Wenn die Lücken bekannt sind, stellt sich die Frage nach Kosten und Zeit. Unser ISO 27001-Kostenrechner liefert eine Echtzeit-Schätzung auf Basis von Unternehmensgröße, Branche und Sicherheitsreife – mit editierbaren Annahmen und ohne Registrierung für die erste Berechnung. Wenn Sie zunächst einen Überblick über Ihren aktuellen Stand wünschen, absolvieren Sie den kostenlosen 2-Minuten-Check oder führen Sie die umfangreichere Readiness-Bewertung durch, die den Reifegrad über alle vier Annex A-Control-Themen hinweg bewertet. Sie können Schätzungen speichern und vergleichen – zum Beispiel eine für ISO allein und eine für ein kombiniertes SOC 2- und ISO-Programm. Die Methodikseite erläutert, wie die Zahlen ermittelt werden.

Unsere Einschätzung

Wir beobachten immer wieder denselben Fehler: Teams behandeln das Mapping als reine Tabellenkalkulationsübung und stellen dann fest, dass die Tabelle nur technische Controls abdeckt. Das Mapping ist die einfachen 20 Prozent der Arbeit. Der schwierigere Teil besteht darin zu akzeptieren, dass das ISMS ein Managementsystem ist – mit Verantwortlichen, Reviews und Aufzeichnungen – und dass kein Crosswalk diese für Sie erzeugt.

Unser Rat: Mappen Sie früh, denn das reduziert den beängstigenden Teil des Projekts auf eine definierte Liste. Schätzen Sie diese Liste dann ehrlich ein – mit Annahmen, die Sie bearbeiten und hinterfragen können. Eine Zahl, die nicht nachvollziehbar ist, lässt sich weder gegenüber dem CFO noch gegenüber dem Auditor vertreten. Deshalb haben wir den Rechner auf Basis versionierter, transparenter Annahmen aufgebaut und empfehlen den Vergleich von Szenarien vor der Budgetentscheidung.

— Martin

FAQ

Kann ich einen einzigen Control-Satz für ISO 27001 und SOC 2 verwenden?

In den meisten Fällen ja. Erstellen Sie ein zentrales Inventar der betriebenen Controls und referenzieren Sie jeden Eintrag auf den zugehörigen Annex A-Control und das SOC 2-Kriterium. Sie benötigen dennoch separate Governance-Unterlagen für ISO sowie eine separate Systembeschreibung für SOC 2.

Ist das Mapping von ISO 27001 zu SOC 2 offiziell?

Die AICPA veröffentlicht ein Mapping der 2017 Trust Services Criteria zu ISO 27001 als herunterladbare Tabelle. Verwenden Sie es als Ausgangspunkt und passen Sie es an Ihren Scope und die Kontrollnummerierung von 2022 an. Ihre Auditoren entscheiden, inwieweit sie Ihr eigenes Mapping akzeptieren.

Wie viel Mehraufwand bedeutet ISO 27001, wenn ich bereits einen SOC 2-Bericht habe?

Die technischen Controls sind größtenteils vorhanden, sodass die neue Arbeit das ISMS betrifft: Abschnitte 4 bis 10, das Statement of Applicability, der Risikobehandlungsplan, ein internes Audit und ein Management-Review. Annex A-Controls außerhalb Ihres SOC 2-Systemscopes müssen möglicherweise ebenfalls bearbeitet werden. Schätzen Sie diese Lücken mit einer Gap-Analyse, bevor Sie einen Termin planen.

Bedeutet eine ISO 27001-Zertifizierung, dass ich SOC 2 überspringen kann?

Nein. SOC 2 ist ein Attestierungsbericht, der von einem CPA-Unternehmen ausgestellt wird, und Kunden, die ihn anfordern, erwarten genau diesen Bericht. Manche Käufer akzeptieren eines der beiden Frameworks – prüfen Sie daher die Anforderungen Ihrer wichtigsten Kunden, bevor Sie eine Entscheidung treffen.

Quellen

• AICPA: Mapping 2017 Trust Services Criteria to ISO 27001
• ISO/IEC JTC 1/SC 27/WG 1: Auditing practices note on the SoA
• EY: SOC and ISO integrated attestation
• BARR Advisory: ISO 27001 vs SOC 2, how to obtain both
• GRACE crosswalk report, SOC 2 to ISO 27001
• Atlant Security: ISO 27001 vs SOC 2 comparison guide
• Schellman: Your questions about ISO 27001 answered

Empfohlen

• ISO 27001 vs. SOC 2: Was brauchen Sie?
• ISO 27001 Annex A Controls erklärt
• ISO 27001 Statement of Applicability: Ein vollständiger Leitfaden
• ISO 27001 Gap-Analyse: Eine Schritt-für-Schritt-Anleitung