Jeder B2B-SaaS-Anbieter kennt den Moment: Ein Enterprise-Interessent will kaufen, dann übergibt das Procurement an das Third-Party-Risk-Management-Team. Es folgen ein Sicherheitsfragebogen (CAIQ, SIG oder ein hauseigenes Spreadsheet), die Forderung nach einer unterzeichneten Auftragsverarbeitungsvereinbarung und die entscheidende Zeile: «Bitte legen Sie Ihr ISO-27001-Zertifikat oder Ihren SOC-2-Bericht bei.» Wer hier nichts vorzuweisen hat, dessen Deal versandet wochenlang in der Beschaffung oder geht verloren.

«SOC 2 oder ISO 27001?» ist deshalb selten eine rein technische Frage. Es ist eine Vertriebsfrage: Welcher Nachweis öffnet bei Ihren konkreten Käufern am schnellsten die Tür? Dieser Beitrag liefert die Entscheidungslogik: was die beiden Standards unterscheidet, womit Sie zuerst starten, wann Sie beides brauchen, wie gross die inhaltliche Überlappung ist und warum ein Dual-Track-Readiness-Ansatz Doppelarbeit spart. Wir behandeln auch die ergänzenden Cloud-Standards ISO 27017 und ISO 27018.

ISO/IEC 27001 ist ein internationaler Standard für ein Informationssicherheits-Managementsystem (ISMS). Sie definieren Ihren Anwendungsbereich, führen eine Risikobeurteilung durch, wählen Massnahmen aus dem Annex A (ISO 27002) und betreiben einen kontinuierlichen Verbesserungszyklus. Das Ergebnis ist ein Zertifikat mit dreijährigem Gültigkeitszyklus, ausgestellt von einer akkreditierten Zertifizierungsstelle, mit jährlichen Überwachungsaudits. ISO 27001 ist in Europa, der Schweiz und im Nahen Osten der am breitesten anerkannte Nachweis.

SOC 2 ist kein Zertifikat, sondern ein Attestierungsbericht (Attestation) nach dem AICPA-Rahmenwerk der Trust Services Criteria (Security, Availability, Processing Integrity, Confidentiality, Privacy). Ausgestellt wird der Bericht von einer lizenzierten Wirtschaftsprüfungsgesellschaft (CPA-Firma), nicht von einer Zertifizierungsstelle. SOC 2 unterscheidet zwei Typen: Type I prüft das Design der Kontrollen zu einem Stichtag, Type II prüft die operative Wirksamkeit über einen Beobachtungszeitraum von typischerweise drei bis zwölf Monaten. SOC 2 ist vor allem bei US-amerikanischen Käufern der Erwartungsstandard.

Die richtige Reihenfolge ergibt sich nicht aus dem Standard, sondern aus Ihrer Käuferlandschaft. Verkaufen Sie überwiegend an US-Unternehmen, fragt deren TPRM-Prozess fast reflexartig nach einem SOC-2-Type-II-Bericht: Hier ist SOC 2 der schnellere Türöffner. Liegt Ihr Schwerpunkt auf Kunden in der Schweiz, der EU oder UK, im öffentlichen Sektor oder in regulierten Branchen, ist ISO 27001 der erwartete und international portierbare Nachweis.

Eine pragmatische Faustregel: Sammeln Sie die letzten zehn bis fünfzehn Sicherheitsfragebögen und Ausschreibungen, die Sie erhalten haben, und zählen Sie, welcher Nachweis explizit verlangt wurde. Die Mehrheit gewinnt und wird zu Track 1. Wer noch keine solche Historie hat, orientiert sich am primären Zielmarkt. Ein Schweizer SaaS-Anbieter mit europäischem Fokus und ersten US-Logos startet meist mit ISO 27001 und ergänzt SOC 2, sobald der US-Pipeline-Anteil es rechtfertigt.

Sobald Ihre Pipeline beide Welten umfasst, also europäische Konzerne und US-Enterprise-Logos, werden Sie früher oder später beide Nachweise führen. Manche Käufer akzeptieren einen Standard ausdrücklich als Äquivalent zum anderen, viele jedoch nicht: Ein US-Finanzdienstleister besteht oft auf SOC 2, eine deutsche Behörde oder ein Schweizer Spital auf ISO 27001. Wer beides hat, eliminiert eine ganze Kategorie von Einwänden aus dem Beschaffungsprozess.

Der gute Teil: Sie bauen das zweite nicht von Grund auf neu. Ein gut betriebenes ISO-27001-ISMS deckt den überwiegenden Teil der SOC-2-Security-Kriterien bereits ab, und umgekehrt liefern SOC-2-Kontrollen einen Grossteil der Annex-A-Massnahmen. Die Mehrarbeit für den zweiten Nachweis ist deutlich geringer als für den ersten. Genau hier setzt der Dual-Track-Ansatz an.

Beide Standards adressieren dieselben Sicherheitsfundamente: Zugriffskontrolle und Identitätsmanagement, Verschlüsselung von Daten in Transit und at Rest, Change Management, Logging und Monitoring, Vulnerability Management, Incident-Response-Prozesse, Lieferanten- und Sub-Processor-Steuerung, Business Continuity sowie HR-Sicherheit und Awareness. Wer diese Kontrollen einmal sauber definiert, dokumentiert und mit Evidenz hinterlegt, bedient damit ISO 27001 und die SOC-2-Security-Kriterien zugleich.

Die Unterschiede liegen im Mechanismus, nicht im Inhalt: ISO 27001 verlangt zusätzlich die ISMS-Governance-Elemente (Kontext, Führung, Risikobehandlungsplan, interne Audits, Management Review). SOC 2 verlangt einen detaillierten Beschrieb des Systems und einen Beobachtungszeitraum mit kontinuierlicher Evidenzsammlung für Type II. Ein einziger, gut strukturierter Kontrollkatalog, der auf beide Frameworks gemappt ist, ist die Grundlage dafür, dass eine Massnahme einmal umgesetzt und zweimal nachgewiesen wird.

Statt zwei sequenzielle Projekte zu fahren, lohnt sich ein gemeinsamer Readiness-Track mit einem konsolidierten Kontrollkatalog. Konkret: eine Gap-Analyse, die beide Zielbilder zugleich bewertet, eine Mapping-Tabelle, die jede Massnahme den ISO-27001-Annex-A-Controls und den SOC-2-Trust-Services-Criteria zuordnet, sowie ein einziges Evidenz-Repository, aus dem beide Prüfungen bedient werden. So sammeln Sie Logs, Richtlinien und Tickets nur einmal.

Die Reihenfolge bleibt dabei flexibel: Sie können ISO 27001 zuerst zertifizieren und den SOC-2-Beobachtungszeitraum parallel laufen lassen, oder mit einem SOC-2-Type-I-Bericht früh ein Vertriebssignal setzen und die ISO-Zertifizierung anschliessen. Wichtig ist, dass beide Pfade von Beginn an aus demselben Kontrollrahmen gespeist werden. Das verkürzt das zweite Projekt erheblich und hält Ihre Antworten in jedem Fragebogen konsistent.

Eine Unterscheidung, die in Beschaffungsgesprächen entscheidend ist: SIDD stellt weder das ISO-27001-Zertifikat noch den SOC-2-Bericht selbst aus. Das ISO-27001-Zertifikat wird ausschliesslich von einer akkreditierten Zertifizierungsstelle erteilt. Der SOC-2-Bericht wird ausschliesslich von einer lizenzierten CPA- beziehungsweise Wirtschaftsprüfungsgesellschaft attestiert. SIDD ist Ihr unabhängiger Berater auf dem Weg dorthin.

Konkret liefert SIDD die ISO-27001-/ISMS-Beratung: Scope-Definition, Risikobeurteilung, Massnahmenauswahl, Dokumentation und Begleitung bis zum externen Zertifizierungsaudit. Für SOC 2 liefert SIDD die SOC-2-Readiness: Gap-Analyse, Mapping auf die Trust Services Criteria, Aufbau und Vorbereitung von Kontrollen und Evidenz sowie Koordination der Attestierung mit der CPA-Firma. Den Bericht selbst stellt SIDD nicht aus, das übernimmt die lizenzierte Prüfgesellschaft. Diese saubere Rollentrennung kommunizieren wir gegenüber Ihren Käufern transparent.

Als SaaS-Anbieter lohnt sich der Blick auf zwei ergänzende Standards. ISO/IEC 27017 ist ein Leitfaden für Informationssicherheits-Massnahmen speziell für Cloud-Dienste und adressiert die geteilte Verantwortung zwischen Anbieter und Kunde. ISO/IEC 27018 ergänzt den Schutz personenbezogener Daten (PII) in Public-Cloud-Umgebungen. Beide bauen auf ISO 27001 auf und lassen sich als Erweiterung der Zertifizierung führen. In Sicherheitsfragebögen signalisieren sie Cloud-Reife und beantworten Fragen zu Datenresidenz und Auftragsverarbeitung gleich mit.

SIDD begleitet B2B-SaaS-Anbieter über den gesamten Vendor-Security-Review hinweg: ISO-27001-/ISMS-Beratung inklusive der Cloud-Erweiterungen 27017/27018, SOC-2-Readiness als koordinierter Dual-Track, die rechtliche Auftragsverarbeitungs- und Sub-Processor-Ebene über unsere Datenschutzberatung, Penetrationstests für aktuelle Testberichte sowie einen vCISO, der Ihr Trust Center aufbaut und die Fragebögen beantwortet. So wird Sicherheit zum Vertriebsbeschleuniger statt zum Kostenfaktor. Eine erste Standortbestimmung («SOC 2 oder ISO 27001 zuerst?») besprechen wir per Kontaktformular, eine vollständige Begleitung beantragen Sie über unser Offerte-Formular.