.svg)
Das Wichtigste in Kürze
- Die AICPA hat Ende Oktober 2026 einen Entwurf neuer SOC 2 Trust Services Criteria veröffentlicht. Kommentare sind bis zum 15. Januar 2027 möglich; wird der Entwurf freigegeben, gilt er für Prüfungsaufträge, die am oder nach dem 31. Dezember 2027 beginnen.
- Für Prüfungsaufträge, die 2027 beginnen, bleiben in aller Regel die Trust Services Criteria von 2017 mit den 2022 überarbeiteten Points of Focus maßgeblich. Früher umsteigen kann nur, wer nach der finalen Freigabe die frühere Anwendung mit seiner Prüfungsgesellschaft vereinbart.
- Die fünf Kategorien Security, Availability, Processing Integrity, Confidentiality und Privacy bleiben. Darunter werden Kriterien zusammengeführt, gestrichen, ergänzt und neu formuliert; Kontrollmatrizen, die an Nummern wie CC6.1 hängen, müssen deshalb neu zugeordnet werden.
- Neue Points of Focus behandeln sieben KI-Themen: KI-Governance, Modellüberwachung, Prompt-Manipulation, Data Poisoning, Transparenz KI-generierter Ausgaben, Trainingsdatenmanagement und Risiken automatisierter Entscheidungen.
- Wer KI-Risiken bereits nach ISO 42001, ISO 27090 oder der EU-KI-Verordnung behandelt, kann diese Arbeit für SOC 2 wiederverwenden. Am Ende steht weiterhin ein SOC-2-Bericht einer CPA-Firma, keine Zertifizierung.
Die SOC 2 Trust Services Criteria sind der Maßstab, an dem eine CPA-Firma Ihre Kontrollen in einer SOC-2-Prüfung misst. Seit 2017 hat sich an den Kriterien selbst nichts geändert; 2022 hat die AICPA nur die erläuternden Points of Focus überarbeitet. Mit dem Entwurf für 2027 steht nun die erste grundlegende Überarbeitung der Kriterien seit 2017 zur Kommentierung.
Für Unternehmen im DACH-Raum, die ein ISMS nach ISO 27001 betreiben und einen SOC-2-Bericht brauchen, weil US-Kunden ihn verlangen, ist die entscheidende Frage nicht, was sich in den USA ändert. Entscheidend ist, welche bestehenden Kontrollen, Nachweise und KI-Maßnahmen weiter tragen. Was SOC 2 grundsätzlich prüft und wie ein Bericht aufgebaut ist, fasst unsere Übersicht zu SOC 2 als Rahmenwerk zusammen.
Was die AICPA für 2027 plant: Zeitplan und Ziele
Der Entwurf stammt vom Assurance Services Executive Committee (ASEC) der AICPA; Kommentare nimmt dessen SOC 2 Working Group bis zum 15. Januar 2027 entgegen. Veröffentlicht wurde er Ende Oktober 2026: Die Download-Seite der AICPA trägt das Datum 26. Oktober, die Pressemitteilung der AICPA den 28. Oktober 2026.
Die AICPA nennt zwei Ziele. SOC-2-Berichte sollen klarer und für ihre Leser besser nutzbar werden. Gleichzeitig sollen die Kriterien relevant bleiben, während KI, Automatisierung und andere neue Technologien die Risiken bei Dienstleistern verändern.
Ein verbreiteter Irrtum: Die neuen Kriterien gelten schon für die SOC-2-Prüfung 2027. Für Prüfungsaufträge, die im Jahr 2027 beginnen, bleiben in aller Regel die Trust Services Criteria von 2017 in der Fassung mit den 2022 überarbeiteten Points of Focus maßgeblich. Früher umsteigen können Sie erst, wenn die finale Fassung vorliegt und Sie die frühere Anwendung mit Ihrer Prüfungsgesellschaft vereinbaren.
Wichtig für Typ-2-Berichte: Die AICPA knüpft das Inkrafttreten an den Beginn des Prüfungsauftrags, nicht an das Ende des Berichtszeitraums. Wie Ihre Prüfungsgesellschaft einen Prüfungszeitraum behandelt, der über den 31. Dezember 2027 hinausreicht, sollten Sie deshalb früh klären.
Neben den Trust Services Criteria nennt die AICPA auf ihrer Download-Seite auch einen Entwurf der Description Criteria, nach denen das Management die Systembeschreibung im SOC-2-Bericht erstellt. Zum Stand 29. Oktober 2026 stehen dort allerdings nur zwei Dateien zu den Trust Services Criteria bereit: eine Reinfassung und eine Fassung mit markierten Änderungen.
Was sich an den SOC 2 Trust Services Criteria ändert
Die fünf Kategorien bleiben: Security, Availability, Processing Integrity, Confidentiality und Privacy. Heute ist Security die einzige Pflichtkategorie; ihre Common Criteria gelten in jeder SOC-2-Prüfung. Die Kriterien von 2017 fassen sie in 33 Kriterien und neun Serien zusammen, von CC1 (Kontrollumfeld) bis CC9 (Risikominderung).
Geändert wird der Aufbau darunter. Laut AICPA sieht der Entwurf vier Arten von Eingriffen vor: Doppelte Inhalte werden zusammengeführt, entbehrliche Kriterien gestrichen, neue Kriterien dort ergänzt, wo es mehr Klarheit oder Gewicht braucht, und bestehende Formulierungen so überarbeitet, dass jedes Kriterium knapp und einheitlich verständlich ist. Die Kriterien selbst stellt die AICPA nach kostenloser Registrierung als Entwurf zum Download bereit.
Für Ihre Kontrollmatrix heißt das: Wenn Kriterien zusammengeführt, gestrichen und ergänzt werden, bleibt die Nummerierung nicht stabil. Eine Kontrolle, die heute unter CC6.1 läuft, kann künftig unter einer anderen Nummer stehen; unter der Nummer CC6.1 kann eine andere Anforderung stehen. Wer Kontrollen eins zu eins an Kriteriennummern gehängt hat, muss sie neu zuordnen.
Der Fehler, den viele Teams jetzt machen: Sie bauen die Kontrollmatrix sofort auf den Entwurf um. Der Text kann sich nach der Kommentierung noch ändern; für die nächste Prüfung gelten ohnehin die Kriterien von 2017. Sinnvoller ist eine zusätzliche Zuordnungsspalte, die Sie füllen, sobald die finale Fassung vorliegt. Wie sich Anhang A der ISO 27001 heute auf die Common Criteria abbilden lässt, zeigt unsere Zuordnung von ISO 27001, DSGVO und SOC 2; sie folgt der Nummerierung von 2017.
KI in SOC 2: Was die neuen Points of Focus bedeuten
Künstliche Intelligenz kommt über neue Points of Focus in die SOC-2-Prüfung. Die AICPA nennt als Beispiele KI-Governance, Modellüberwachung, Prompt-Manipulation, Data Poisoning, die Transparenz KI-generierter Ausgaben, Trainingsdatenmanagement und die Risiken automatisierter Entscheidungen. In ihrer Ankündigung erwähnt die AICPA KI ausdrücklich nur im Zusammenhang mit diesen Points of Focus.
Points of Focus beschreiben, worauf es bei einem Kriterium ankommt. Ein Pflichtkatalog sind sie nicht: Die Kriterien von 2017 halten fest, dass nicht für jeden Point of Focus einzeln bewertet werden muss, ob er erfüllt ist. Daraus folgt aber nicht, was viele Teams daraus schließen, nämlich dass KI in der SOC-2-Prüfung keine Rolle spielt. Points of Focus lenken die Fragen der Prüfer. Wenn ein System im Prüfungsumfang KI-Komponenten enthält, wird die CPA-Firma fragen, wie die betroffenen Kriterien für diese Komponenten erfüllt sind.
Prompt-Manipulation und Data Poisoning sind dabei keine neuen Themen für ein ISMS. Wie Sie Prompt Injection im Risikoregister bewerten und welche Controls aus Anhang A greifen, beschreibt unser Beitrag zu Prompt Injection im ISO-27001-ISMS. Die folgende Tabelle ordnet die sieben Themen den Regelwerken zu, in denen Sie sie wahrscheinlich schon behandeln. Die Prüferfragen sind unsere Einschätzung, keine Formulierungen der AICPA.
Die Überschneidung ist der eigentliche Hebel für Unternehmen im DACH-Raum. Wer ein KI-Managementsystem nach ISO 42001 betreibt, hat KI-Richtlinie, Rollen, Folgenabschätzungen und Datenmaßnahmen bereits dokumentiert. Wer die Bedrohungen aus ISO 27090 ins Risikoregister übernommen hat, kann Prompt-Manipulation und Data Poisoning mit bestehenden Risikobewertungen belegen.
Die Zuordnung der neun Angriffsarten zu Anhang A beschreibt unser Überblick zur KI-Sicherheitsnorm ISO 27090. ISO 27090 ist dabei ein Leitfaden ohne Zertifizierung; sie liefert Bedrohungen und Gegenmaßnahmen, keine eigene Prüfung.
Zwei der sieben Themen regelt die EU-KI-Verordnung gesetzlich: die Transparenz KI-generierter Inhalte nach Art. 50 und, ab dem 2. Dezember 2027, die Pflichten von Betreibern bei Hochrisiko-KI nach Art. 26. Diese Pflichten bestehen unabhängig von SOC 2. Wie sich Gesetz und Norm abgrenzen und für wen eine Zertifizierung lohnt, zeigt unser Vergleich von ISO 42001 und EU-KI-Verordnung.
Was Unternehmen mit ISO 27001 jetzt tun sollten
Umbauen müssen Sie jetzt nichts. Drei Schritte zahlen sich aber unabhängig von der finalen Fassung aus: Kontrollen nach ihrem Ergebnis beschreiben, die Zuordnung zu Kriteriennummern als eigene Ebene führen und KI-Komponenten inventarisieren.
Der wichtigste davon ist der erste. Beschreiben Sie jede Kontrolle so, dass sie ohne Nummer verständlich ist: "Zugriffsrechte auf Produktivsysteme werden quartalsweise von der jeweiligen Teamleitung überprüft; Abweichungen werden innerhalb von fünf Arbeitstagen korrigiert." Die Zuordnung zu Anhang A der ISO 27001 und zu den Common Criteria pflegen Sie getrennt davon. Ändern sich die Nummern, ändern Sie nur diese Zuordnung, nicht die Kontrolle und nicht die Nachweise.
Wie Sie die 93 Maßnahmen aus Anhang A auswählen und in der Erklärung zur Anwendbarkeit begründen, zeigt unser Beitrag zu den ISO 27001 Controls. Was darüber hinaus für Ihr Unternehmen zu tun ist, hängt von Ihrer Ausgangslage ab.
Wer noch abwägt, ob sich der erste Bericht überhaupt lohnt, findet die Argumente aus Vertriebssicht in unserem Beitrag zu den Vorteilen eines SOC-2-Berichts für wachsende Tech-Unternehmen.
Beispiel: eine Typ-2-Verlängerung über den Jahreswechsel 2027/2028
Ein fiktives SaaS-Unternehmen aus München mit 140 Mitarbeitenden ist seit 2024 nach ISO 27001 zertifiziert und legt US-Kunden jährlich einen SOC-2-Bericht vom Typ 2 vor. Der Berichtszeitraum läuft jeweils vom 1. Oktober bis zum 30. September. Die Zahlen sind beispielhaft.
Der nächste Zeitraum, Oktober 2027 bis September 2028, reicht über den 31. Dezember 2027. Ob dafür die alten oder die neuen Kriterien gelten, hängt davon ab, wann der Prüfungsauftrag als begonnen gilt, nicht vom Ende des Zeitraums. Das Unternehmen klärt das im Herbst 2027 mit seiner Prüfungsgesellschaft, bevor es den Auftrag unterschreibt.
Seine Kontrollmatrix umfasst rund 120 Kontrollen, jede nach Ergebnis beschrieben und getrennt Anhang A und den Common Criteria zugeordnet. Kommen die neuen Kriterien zur Anwendung, ändert das Team nur die Zuordnungsspalte. Die Nachweise aus dem laufenden Betrieb, etwa Zugriffsüberprüfungen und Änderungstickets, bleiben dieselben. Das Unternehmen hat außerdem einen Support-Assistenten auf Basis eines gehosteten Sprachmodells im Einsatz; die Risikobewertung dazu stammt aus dem ISMS und wird für die KI-Points-of-Focus wiederverwendet.
Wie Kertos ISO 27001 und SOC 2 mit einem Kontrollsatz abbildet
Mit Kertos pflegen Sie jede Kontrolle einmal und ordnen sie allen Rahmenwerken zu, für die Sie einen Nachweis brauchen, etwa ISO 27001, SOC 2, ISO 42001 und die DSGVO. Wer bereits nach ISO 27001 zertifiziert ist, baut SOC 2 damit auf bestehenden Kontrollen und Nachweisen auf, statt ein zweites Programm zu starten. Die Zuordnung zu Anhang A und zu den Common Criteria ist eine eigene Ebene über derselben Kontrolle und denselben Nachweisen. Ändert die AICPA die Nummerierung, betrifft das diese Ebene, nicht Ihre Kontrollbeschreibungen.
Nachweise erhebt die Plattform über mehr als 100 Integrationen automatisch, sodass ein Typ-2-Bericht auf einer lückenlosen Historie aufbaut statt auf Momentaufnahmen. KI-Systeme inventarisieren Sie auf derselben Plattform; ihre Risiken, einschließlich der Bedrohungen aus ISO 27090, stehen im selben Risikoregister wie Ihre übrigen Informationssicherheitsrisiken.
Den SOC-2-Bericht selbst erstellt eine unabhängige CPA-Firma. Die zertifizierten Experten von Kertos bereiten Sie auf diese Prüfung vor und helfen bei der Frage, welche KI-Komponenten im Prüfungsumfang liegen und wie Sie sie belegen. Wenn Sie sehen möchten, wie Ihr bestehendes ISO-27001-ISMS SOC 2 mit abdeckt, buchen Sie eine Demo.
Häufig gestellte Fragen
Gibt es eine SOC-2-Zertifizierung?
Nein. Eine SOC-2-Prüfung endet mit einem Bericht, den eine lizenzierte, unabhängige CPA-Firma nach den Attestation Standards der AICPA erstellt: als Typ 1 zu einem Stichtag oder als Typ 2 über einen Zeitraum. Ein Zertifikat mit fester Gültigkeitsdauer wie bei ISO 27001 gibt es nicht, deshalb fragen Kunden in der Regel nach dem aktuellen Bericht.
Ab wann gelten die neuen SOC-2-Kriterien?
Gibt die AICPA den Entwurf frei, gelten die SOC 2 Trust Services Criteria 2027 für Prüfungsaufträge, die am oder nach dem 31. Dezember 2027 beginnen; eine frühere Anwendung ist erlaubt. Kommentare zum Entwurf nimmt die AICPA bis zum 15. Januar 2027 entgegen. Einen Termin für die finale Fassung hat sie nicht genannt.
Muss ich mein SOC-2-Programm jetzt umstellen?
Nein. Für Prüfungsaufträge, die 2027 beginnen, gelten in aller Regel weiter die Kriterien von 2017; der Entwurf kann sich nach der Kommentierung noch ändern. Sinnvoll ist jetzt, Kontrollen nach ihrem Ergebnis zu beschreiben, die Zuordnung zu Kriteriennummern als eigene Ebene zu führen und KI-Komponenten zu inventarisieren.
Was ist der Unterschied zwischen SOC 2 und ISO 27001?
ISO 27001 ist eine internationale Norm für ein Informationssicherheits-Managementsystem und führt zu einer Zertifizierung durch eine akkreditierte Zertifizierungsstelle, gültig drei Jahre mit jährlichen Überwachungsaudits. SOC 2 ist ein US-Prüfungsstandard der AICPA und führt zu einem Bericht einer CPA-Firma über die Kontrollen zu den gewählten Kategorien der Trust Services Criteria. Viele Kontrollen überschneiden sich, deshalb lassen sich beide mit einem gemeinsamen Kontrollsatz abdecken.
Welche KI-Anforderungen enthält SOC 2?
Der Entwurf für 2027 ergänzt Points of Focus zu KI-Governance, Modellüberwachung, Prompt-Manipulation, Data Poisoning, Transparenz KI-generierter Ausgaben, Trainingsdatenmanagement und den Risiken automatisierter Entscheidungen. Points of Focus schreiben keine bestimmte Kontrolle vor, sie lenken aber die Fragen der Prüfer. Wer KI-Risiken bereits nach ISO 42001, ISO 27090 oder der EU-KI-Verordnung behandelt, kann diese Maßnahmen als Nachweis heranziehen.
