ISO 27001 und Datenschutz: DSGVO und SOC 2 auf einem Kontrollsatz

Das Wichtigste in Kürze

• ISO 27001 führt zu einer Zertifizierung, die DSGVO zu Konformität ohne Zertifikat und SOC 2 zu einem Bericht. Es gibt keine „SOC-2-Zertifizierung" und wer den Begriff verwendet, verliert bei Auditoren und Prüfern an Glaubwürdigkeit.
• Anhang A der ISO 27001:2022 enthält 93 Controls in vier Themenbereichen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische. Die meisten Organisationen wählen 60 bis 80 davon in die Erklärung zur Anwendbarkeit.
• Ein zertifiziertes ISMS deckt Art. 32 DSGVO weitgehend ab, fünf Pflichten haben jedoch in der ISO 27001 keine Entsprechung: Rechtsgrundlage (Art. 6), Verzeichnis von Verarbeitungstätigkeiten (Art. 30), Betroffenenrechte (Art. 12 bis 23), Datenschutz-Folgenabschätzung (Art. 35) und Drittlandtransfers (Art. 44 ff.).
• SOC 2 kennt fünf "Trust Services Criteria". Nur eines, nämlich Security, ist verpflichtend und wird über die Common Criteria CC1 bis CC9 geprüft. Availability, Processing Integrity, Confidentiality und Privacy kommen nur in den Prüfungsumfang, wenn Sie sie explizit darinaufnehmen.
• Die Meldefristen sind unterschiedlich und der Unterschied wird im Ernstfall teuer: 72 Stunden an die Aufsichtsbehörde nach Art. 33 DSGVO, 24 Stunden Frühwarnung nach NIS2, keine gesetzliche Frist in ISO 27001 oder SOC 2.

Die drei Rahmenwerke im Überblick

ISO 27001 und Datenschutz gehören fachlich zusammen, sind allerdings nicht dasselbe. Dazwischen steht mit SOC 2 ein drittes Rahmenwerk, das immer häufiger im Kundeneinkauf auftaucht. ISO 27001, DSGVO und SOC 2 werden gern in einem Atemzug genannt, sind jedoch drei verschiedene Dinge: ein zertifizierbarer Standard, ein Gesetz und eine Prüfungsleistung. Diese Unterscheidung ist nicht akademisch – sie bestimmt, wer prüft, was Sie am Ende in der Hand halten und wie lange es gilt.

Dass Sie bei zwei der drei Rahmenwerke den Umfang selbst festlegen, ist der praktisch wichtigste Punkt in dieser Tabelle. Ein ISO-Zertifikat und ein SOC-2-Bericht sagen nur etwas über den Bereich aus, den Sie hineingeschrieben haben. Die DSGVO kennt diese Wahlfreiheit nicht.

Ein verbreiteter Irrtum: Viele Geschäftsführungen behandeln das ISO-27001-Zertifikat als Beleg gegenüber Kunden, Aufsichtsbehörden und Versicherern, dass der Datenschutz erledigt sei. Das trägt nicht. Art. 42 DSGVO sieht Zertifizierungsverfahren als Nachweisinstrument ausdrücklich vor, verlangt dafür aber eine Genehmigung durch die zuständige Aufsichtsbehörde oder den Europäischen Datenschutzausschuss. Kein ISO-Standard hat diese Genehmigung bislang erhalten. Ihr Zertifikat ist ein starkes Indiz für Art. 32, nicht mehr.

Wie eine Zertifizierung im Detail abläuft, von der Lückenanalyse bis zum Überwachungsaudit, behandeln wir gesondert im Leitfaden zur ISO 27001 Zertifizierung.

Wo sich ISO 27001, DSGVO und SOC 2 überschneiden

Die Überschneidung liegt fast vollständig im Bereich der technischen und organisatorischen Sicherheit. Art. 32 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen", nennt dafür aber nur vier Beispiele und lässt offen, was „geeignet" bedeutet. Anhang A der ISO 27001 und die Common Criteria von SOC 2 füllen diese Lücke, nur mit unterschiedlicher Systematik.

Die folgende Zuordnung ist der Kern eines gemeinsamen Kontrollsatzes. Sie eignet sich als Grundlage für Ihre eigene Mapping-Dokumentation.

Lesen Sie diese Tabelle nicht als Gleichung. Dieselbe Maßnahme kann in drei Rahmenwerken zählen, der geforderte Nachweis unterscheidet sich aber im Detail. Für Anhang A genügt oft die dokumentierte Existenz einer Regelung samt Stichprobe. SOC 2 Typ II verlangt Nachweise über den gesamten Prüfungszeitraum, also lückenlose Belege statt einer Momentaufnahme. Wer sein Nachweismanagement nur auf die ISO auslegt, stellt beim ersten SOC-2-Bericht fest, dass die Historie fehlt.

Welche der 93 Controls für Sie relevant sind und wie Sie die Auswahl in der Erklärung zur Anwendbarkeit begründen, behandeln wir in der Übersicht über alle 93 Controls aus Anhang A.

Wo die ISO 27001 die DSGVO nicht abdeckt

Fünf zentrale DSGVO-Pflichten haben in der ISO 27001 keine Entsprechung. Ein zertifiziertes ISMS bringt Sie hier keinen Schritt weiter und genau an diesen Stellen entstehen die Befunde, wenn eine Aufsichtsbehörde nachfragt.

Die Rechtsgrundlage nach Art. 6, bei besonderen Kategorien nach Art. 9, ist eine rein juristische Bewertung. Ein Control, das prüft, ob Sie ein berechtigtes Interesse korrekt abgewogen haben, existiert nicht. Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 verlangt eine prozessorientierte Sicht auf Zwecke, Kategorien und Empfänger, während die ISO 27001 nur das Inventar der Informationswerte kennt, gegliedert nach Systemen und Assets. Beide Verzeichnisse beschreiben dieselben Daten aus zwei Perspektiven und wer sie getrennt pflegt, pflegt sie doppelt.

Die Betroffenenrechte nach Art. 12 bis 23 sind der operativ aufwendigste Bereich. Ein Auskunftsersuchen nach Art. 15 müssen Sie binnen eines Monats beantworten, bei Komplexität verlängerbar um zwei Monate. Das erfordert Identitätsprüfung, systemübergreifende Recherche und Dokumentation. Die Datenschutz-Folgenabschätzung nach Art. 35 überlappt methodisch mit der Risikobeurteilung nach Kapitel 6.1.2, bewertet aber das Risiko für die Rechte und Freiheiten natürlicher Personen statt des Risikos für die Organisation. Und Drittlandtransfers nach Art. 44 ff. verlangen Standardvertragsklauseln, ein Transfer Impact Assessment und die Prüfung von Angemessenheitsbeschlüssen.

Diese fünf Bausteine bilden den Kern eines Datenschutzmanagementsystems. Sie lassen sich an ein bestehendes ISMS andocken, müssen aber eigenständig aufgebaut werden. Wie das automatisiert aussieht, zeigt die Übersicht zur DSGVO-Automatisierung.

Die Meldefristen sind nicht dieselben

Hier gehen die Rahmenwerke am deutlichsten auseinander. Art. 33 DSGVO verpflichtet Sie, eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde zu melden, sofern ein Risiko für die betroffenen Personen besteht. Die ISO 27001 verlangt in A.5.24 bis A.5.28 einen Vorfallmanagementprozess, setzt aber keine gesetzliche Frist. SOC 2 prüft über CC7.3 bis CC7.5, ob Ihr Prozess funktioniert, schreibt aber ebenfalls keine Frist gegenüber Dritten vor. NIS2 fordert von betroffenen Einrichtungen eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht binnen eines Monats.

Der Fehler, den die meisten Teams hier machen: Sie bauen einen Vorfallprozess nach ISO-Logik, der auf technische Behebung optimiert ist und hängen die Meldepflicht als nachgelagerten Schritt an. Im echten Vorfall zählt die Uhr aber ab dem Moment, in dem irgendjemand im Unternehmen Kenntnis erlangt, nicht ab dem Moment, in dem das Security-Team eskaliert. Ein integrierter Prozess bewertet beim ersten Ticket parallel, ob personenbezogene Daten betroffen sind. Wie sich das für mehrere Meldepflichten gleichzeitig aufsetzen lässt, zeigen wir am Beispiel von NIS2 und ISO 27001 und ihren Überschneidungen.

Was SOC 2 zusätzlich verlangt

SOC 2 ist der Punkt, an dem europäische Teams am häufigsten falsche Annahmen treffen, weil der Standard aus einer anderen Prüfungstradition kommt. Er wird von der AICPA herausgegeben, von einer Wirtschaftsprüfungsgesellschaft durchgeführt und endet nicht mit einem Zertifikat, sondern mit einem Bericht.

Die fünf Trust Services Criteria sind Security, Availability, Processing Integrity, Confidentiality und Privacy. Nur Security ist verpflichtend und wird über die Common Criteria CC1 bis CC9 geprüft. Die übrigen vier kommen ausschließlich dann in den Prüfungsumfang, wenn Sie sie ausdrücklich aufnehmen. In der Praxis wählen SaaS-Anbieter meist Security plus Availability und Confidentiality, weil genau danach im Kundeneinkauf gefragt wird. Das Privacy-Kriterium wird in Europa selten gewählt, weil die DSGVO diese Fragen ohnehin und strenger regelt.

Der zweite Unterschied ist die Zeitachse. Ein Bericht nach Typ I beschreibt, ob die Kontrollen zu einem Stichtag angemessen gestaltet waren. Ein Bericht nach Typ II prüft zusätzlich, ob sie über einen Zeitraum hinweg wirksam funktioniert haben, üblicherweise drei bis zwölf Monate. Kunden im Enterprise-Segment fragen fast immer nach Typ II, häufig mit einem Zeitraum von zwölf Monaten.

Und noch eine Fehlannahme, die regelmäßig teuer wird: Weil ein SOC-2-Bericht kein Ablaufdatum hat, gehen Teams davon aus, er sei zeitlich unbegrenzt verwendbar. Praktisch erwarten Kunden einen Bericht, dessen Prüfungszeitraum lückenlos an den vorherigen anschließt. Für die Zeit zwischen Ende des Prüfungszeitraums und dem heutigen Datum verlangen sie ein sogenanntes Bridge Letter. Wer den Rhythmus einmal reißen lässt, erklärt die Lücke in jedem Deal neu.

Für den Aufbau bedeutet das: Ihr Nachweismanagement muss von Anfang an auf Zeitreihen ausgelegt sein, nicht auf Stichtage. Was Kertos für dieses Rahmenwerk abdeckt, steht auf der Seite zu SOC 2 Compliance.

Ein Kontrollsatz für drei Rahmenwerke

Die Integration steht auf drei Bausteinen: einem gemeinsamen Kontrollsatz, einem zentralen Nachweisspeicher und einem zusammengelegten Prüfkalender. Alle drei können Sie unabhängig voneinander einführen und jeder einzelne senkt den Aufwand sofort.

Der gemeinsame Kontrollsatz ist die Grundlage. Statt drei Maßnahmenkataloge zu pflegen, definieren Sie eine Maßnahme und dokumentieren, welche Anforderungen sie erfüllt. Ihre Verschlüsselungsrichtlinie erfüllt A.8.24, CC6.7 und Art. 32 Abs. 1 lit. a in einem. Rahmenwerksspezifische Ergänzungen kommen dort obendrauf, wo es keine Überschneidung gibt. Praktisch heißt das: Sie führen eine Policy-Verwaltung, nicht drei.

Der zentrale Nachweisspeicher stellt sicher, dass ein einmal erhobener Nachweis für alle Zwecke zählt. Damit das funktioniert, brauchen Nachweise konsistente Metadaten: Erhebungsdatum, Verantwortlicher, Gültigkeitsdauer und die Anforderungen, auf die sie sich beziehen. Das Gültigkeitsdatum ist der Punkt, an dem selbstgebaute Ablagen scheitern, weil SOC 2 Typ II lückenlose Historie verlangt. Bei Nachweisen, die selbst personenbezogene Daten enthalten, etwa Screenshots aus einem HR-System, gilt zusätzlich die Datenminimierung nach Art. 5 Abs. 1 lit. c.

Der zusammengelegte Prüfkalender gibt den Fachbereichen Zeit zurück. Wenn Ihr internes Audit nach Kapitel 9.2 und Ihre Datenschutzprüfung im selben Termin stattfinden, wird der Prozessverantwortliche einmal befragt statt zweimal. Das ist weniger eine Effizienzfrage als eine Frage der Datenqualität: beim zweiten Interview zum gleichen Thema antworten Menschen kürzer.

Ein Beispiel aus der Praxis

Nehmen Sie ein SaaS-Unternehmen mit 45 Mitarbeitenden, das die DSGVO seit Jahren mit einem externen Datenschutzbeauftragten abdeckt, die ISO 27001 anstrebt, weil der Einkauf im DACH-Raum danach fragt,und einen SOC-2-Bericht braucht, weil zwei US-Kunden ihn fordern. In der Erklärung zur Anwendbarkeit landen 74 der 93 Controls. Das Verzeichnis von Verarbeitungstätigkeiten enthält 38 Einträge, darunter 12 Auftragsverarbeiter, von denen 3 in den USA sitzen und ein Transfer Impact Assessment brauchen.

Beim Mapping zeigt sich das typische Bild. Der Großteil der Sicherheitsmaßnahmen zählt für alle drei Rahmenwerke und die verbleibende Arbeit verteilt sich auf drei klar abgrenzbare Blöcke: die fünf datenschutzspezifischen Pflichten, die Zeitreihen-Nachweise für SOC 2 Typ II und die Managementsystem-Kapitel 4 bis 10 für die ISO. Der Aufwand verlagert sich damit von „alles dreimal" zu „einmal Sicherheit, plus drei Ergänzungen". Ein interner Owner mit 50 Prozent Kapazität kann diese Struktur führen, sobald das Mapping steht. Vergleichbare Projektverläufe finden Sie in unseren Erfolgsgeschichten.

Roadmap und Reihenfolge

Alle drei Rahmenwerke gleichzeitig zu starten, scheitert regelmäßig an der Änderungsmenge. Die Reihenfolge, die sich in der Praxis bewährt hat, beginnt beim Managementsystem und hängt die marktgetriebenen Anforderungen daran auf.

1. ISO 27001 zuerst (4 bis 9 Monate bis zum Zertifikat, Owner: ISMS-Verantwortliche). Der Standard liefert Struktur, Risikomethode und Kontrollkatalog. Wer hier beginnt, hat die Grundlage für alles Weitere, weil Anhang A den größten Teil der SOC-2-Common-Criteria mit abdeckt.
2. DSGVO-Lücken schließen (parallel ab Monat 2, Owner: Datenschutzbeauftragte). Die fünf nicht gedeckten Pflichten aufbauen und mit dem ISMS verknüpfen, insbesondere das Verzeichnis von Verarbeitungstätigkeiten gegen das Asset-Inventar.
3. SOC 2 Typ I (nach dem ISO-Zertifikat, Owner: Compliance). Ein Typ-I-Bericht bestätigt die Gestaltung zum Stichtag und ist die günstigste Möglichkeit, die Lücken vor dem Typ-II-Zeitraum zu finden.
4. SOC 2 Typ II (Prüfungszeitraum 3 bis 12 Monate im Anschluss, Owner: Compliance). Ab hier läuft das Nachweismanagement dauerhaft, nicht mehr projektweise.

Ein Hinweis zur Aktualität: die Übergangsfrist von der ISO 27001:2013 auf die Fassung von 2022 endete am 31. Oktober 2025. Zertifikate nach der alten Fassung sind seither nicht mehr gültig. Wenn Ihr Mapping noch auf den 114 Controls der Fassung von 2013 beruht, arbeiten Sie gegen eine überholte Struktur.

Was den Aufwand treibt

Belastbare Zahlen zu den Gesamtkosten hängen so stark am Einzelfall, dass Pauschalangaben in die Irre führen. Nützlicher ist, die Treiber zu kennen, weil Sie an ihnen tatsächlich etwas ändern können.

Der Treiber mit dem größten Hebel ist der dritte. Auditgebühren sind weitgehend fix, der interne Aufwand für das Sammeln von Nachweisen ist es nicht. Genau hier entscheidet sich, ob Compliance ein Projekt mit Ende bleibt oder zu einem Dauerzustand wird, der Kapazität bindet.

Wie Kertos die drei Rahmenwerke auf einer Plattform verbindet

Kertos führt ISO 27001, DSGVO und SOC 2 in einem Kontrollsatz. Sie hinterlegen eine Maßnahme einmal und sehen, welche Anforderungen aus Anhang A, welche Common Criteria und welche DSGVO-Artikel sie erfüllt. Nachweise werden über Integrationen automatisch aus Ihren Systemen erhoben, mit einem Ablaufdatum versehen und allen Rahmenwerken zugeordnet. Damit entsteht die Zeitreihe, die ein SOC-2-Bericht nach Typ II verlangt, als Nebenprodukt des laufenden Betriebs statt als eigenes Projekt.

Die einzelnen Bausteine liegen in derselben Umgebung: das ISMS mit Erklärung zur Anwendbarkeit und Kontrollen, das Datenschutzmanagement mit Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeitungsverträgen und Betroffenenanfragen, sowie das Risikomanagement, das Sicherheitsrisiken und Risiken für betroffene Personen in einer Methodik führt.

Betrieben wird die Plattform in der EU und jedes Kundenprojekt wird von zertifizierten Expertinnen und Experten begleitet, die das Mapping mit Ihnen aufsetzen statt es Ihnen als Aufgabe zu übergeben. Kommen weitere Rahmenwerke dazu, etwa NIS2, TISAX, ISO 27701 oder der EU AI Act, legen Sie sie gegen den bestehenden Kontrollsatz. Einen Überblick über alle unterstützten Rahmenwerke gibt die Seite Compliance Frameworks.

Was Kundinnen und Kunden an dieser Bündelung besonders schätzen, ist, dass Datenschutz und Informationssicherheit nicht mehr in getrennten Werkzeugen leben.

Häufige Fragen

Ersetzt eine ISO 27001 Zertifizierung die DSGVO-Compliance?

Nein. Eine ISO 27001 Zertifizierung belegt weitgehend die Anforderungen aus Art. 32 DSGVO zur Sicherheit der Verarbeitung, deckt aber zentrale Pflichten nicht ab, darunter die Rechtsgrundlage nach Art. 6, das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 und die Betroffenenrechte nach Art. 12 bis 23. Als förmlicher Nachweis nach Art. 42 DSGVO ist bislang kein ISO-Standard genehmigt.

Was ist der Unterschied zwischen ISO 27001 und SOC 2?

ISO 27001 ist ein internationaler Standard, nach dem eine akkreditierte Zertifizierungsstelle Ihr Managementsystem prüft und ein drei Jahre gültiges Zertifikat ausstellt. SOC 2 ist eine Prüfungsleistung nach den Trust Services Criteria der AICPA, die eine Wirtschaftsprüfungsgesellschaft durchführt und die mit einem Bericht endet, nicht mit einem Zertifikat. ISO 27001 ist in Europa der Marktstandard, SOC 2 vor allem im US-Geschäft und im SaaS-Einkauf.

Gibt es eine SOC-2-Zertifizierung?

Nein. Eine SOC-2-Prüfung führt zu einem SOC-2-Bericht, entweder nach Typ I für einen Stichtag oder nach Typ II für einen Zeitraum von üblicherweise drei bis zwölf Monaten. Der Begriff „SOC-2-Zertifizierung" ist verbreitet, aber fachlich falsch und Prüfer bewerten seine Verwendung als Hinweis auf fehlende Erfahrung.

Brauche ich ISO 27001 und SOC 2 gleichzeitig?

Das hängt an Ihrem Vertrieb, nicht an der Technik. Fragt Ihr Einkaufsprozess im DACH-Raum nach einem Zertifikat, brauchen Sie ISO 27001. Verkaufen Sie an US-Unternehmen oder an Konzerne mit US-Muttergesellschaft, wird meist ein SOC-2-Bericht nach Typ II verlangt. Weil sich die Sicherheitsanforderungen weitgehend überschneiden, ist das zweite Rahmenwerk nach dem ersten deutlich weniger Arbeit als ein Neustart.

Welche ISO 27001 Controls sind für den Datenschutz relevant?

Besonders unmittelbar relevant sind A.5.34 zu Privatsphäre und dem Schutz personenbezogener Daten, A.8.24 zur Kryptografie, A.8.11 zur Datenmaskierung, A.8.10 zur Löschung von Informationen, A.8.12 zur Verhinderung von Datenlecks sowie A.5.15 und A.8.5 zu Zugriffssteuerung und Authentifizierung. In der Praxis leisten auch viele organisatorische Controls einen Beitrag, etwa das Vorfallmanagement in A.5.24 bis A.5.28.

Drei Rahmenwerke, ein Programm

Die Frage ist nicht, ob Sie ISO 27001, DSGVO und SOC 2 zusammenführen, sondern wann. Solange die drei getrennt laufen, dokumentieren Sie dieselben Maßnahmen dreimal und riskieren, dass die Darstellungen auseinanderlaufen. Der Aufwand für das Mapping fällt einmal an, in zwei bis vier Wochen. Der Aufwand für die Dreifachpflege fällt jedes Jahr an und er wächst mit jedem weiteren Rahmenwerk, das der Markt von Ihnen verlangt.

Vereinbaren Sie eine Demo und wir gehen Ihr bestehendes Mapping gemeinsam durch, inklusive der Frage, welche Ihrer heutigen Nachweise sich für alle drei Rahmenwerke anrechnen lassen.

‍

‍