SOC-2-Readiness: Roadmap für den CISO

Problem in der Praxis

Viele Readiness-Vorhaben starten unter Zeitdruck, weil ein Kunde oder eine Ausschreibung kurzfristig einen Nachweis verlangt. Die Organisation kauft dann ein Tool oder beauftragt eine Prüfung, bevor klar ist, was eigentlich attestiert werden soll. Daraus entstehen wiederkehrende Muster.

Erstens wird die Lückenanalyse als Formalität behandelt. Es entsteht eine Liste fehlender Dokumente, aber keine ehrliche Bewertung, ob Kontrollen im Alltag tatsächlich wirken und Nachweise erzeugen.

Zweitens werden Kontrollen am Kriterienraster ausgerichtet statt am eigenen Betrieb. Es entstehen Kontrollen, die zur Prüfung passen, aber niemand betreibt sie konsistent.

Drittens fehlt Evidenzdisziplin. Kontrollen existieren auf dem Papier, doch über den Beobachtungszeitraum entstehen keine datierten, nachvollziehbaren Belege. Spätestens wenn die CPA-Firma Stichproben über Monate zieht, zeigt sich die Lücke.

CISO-Einordnung

Der CISO sollte Readiness als zusammenhängende Roadmap mit klaren Stufen verstehen, nicht als Sammlung paralleler Aufgaben. Hilfreich sind wenige Leitfragen, die jede Stufe tragen:

• Welches System und welche Services sollen gegenüber Kunden nachgewiesen werden, und welche der fünf Trust-Services-Kategorien sind relevant? Security ist immer Teil des Berichts; Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz werden nach Kundenanforderung und Risiko bewusst gewählt.
• Wo besteht ein realer Abstand zwischen heutiger Praxis und einer prüfbaren Kontrolle, nicht nur zwischen Praxis und Dokument?
• Welche Nachweise entstehen ohnehin im Betrieb, und welche müssen bewusst erzeugt werden?
• Wird zunächst nur die Gestaltung zu einem Stichtag (Type I) oder direkt die Wirksamkeit über einen Zeitraum (Type II) angestrebt?

Diese Fragen sind bewusst generisch. Sie ersetzen keinen Kriterienkatalog und keine Prüfungsmethodik, sondern beschreiben die Managementlogik, mit der ein CISO die Readiness steuerbar hält, statt sie an einen Dienstleister zu delegieren und auf ein gutes Ergebnis zu hoffen.

Umsetzungsperspektive

Die Roadmap lässt sich in fünf ineinandergreifende Stufen ordnen.

Lückenanalyse. Am Anfang steht ein ehrliches Gap-Assessment: der Abstand zwischen Ist-Zustand und den Erwartungen der Trust Services Criteria entlang der gewählten Kategorien. Wertvoll ist die Analyse nur, wenn sie zwischen fehlender Dokumentation und fehlender Wirksamkeit unterscheidet und jede Lücke mit einem Owner und einer Behandlungsoption verbindet.

Kontrollen gestalten. Aus den Lücken werden Kontrollen abgeleitet, die zum eigenen Betrieb passen und die ein Team konsistent ausführen kann. Die Common Criteria der Security-Kategorie sind an das COSO-Rahmenwerk für interne Kontrolle angelehnt; das hilft, Kontrollen entlang von Kontrollumfeld, Zugriff, Änderungen, Betrieb und Monitoring zu strukturieren, ohne den Kriterienwortlaut zu kopieren. Eine Kontrolle ist erst dann fertig gestaltet, wenn klar ist, wer sie ausführt, in welcher Taktung und welcher Nachweis dabei entsteht.

Evidenzdisziplin. Belastbare Evidenz ist datiert, nachvollziehbar und über den gesamten Zeitraum vorhanden: Konfigurationsstände, Freigaben, Zugriffsreviews, Change-Records, Monitoring- und Incident-Belege. Nachweise sollten als Nebenprodukt des Regelbetriebs entstehen und nicht kurz vor der Prüfung rekonstruiert werden.

Prüfgesellschaft wählen. Prüfung und Bericht stammen von einer unabhängigen CPA-Firma. Bei der Auswahl zählen Branchenerfahrung, Klarheit des Berichts, Prüfansatz und Termintreue. Wichtig ist die Trennung von Readiness-Unterstützung und Prüfung: Wer die Organisation bei Gestaltung und Behebung intensiv berät, sollte nicht zugleich das unabhängige Prüfurteil abgeben.

Type I zu Type II. Ein Type-I-Bericht beurteilt die Eignung der Kontrollgestaltung zu einem Stichtag und eignet sich als schneller erster Vertrauensbeleg. Marktüblich gefordert ist meist der Type-II-Bericht, der zusätzlich die betriebliche Wirksamkeit über einen Zeitraum von typischerweise sechs bis zwölf Monaten beurteilt. Sind die Kontrollen bereits stabil, kann Type I übersprungen werden.

Typische Fehler

1. Die Lückenanalyse listet fehlende Dokumente, bewertet aber nicht die tatsächliche Wirksamkeit der Kontrollen.
2. Kontrollen werden am Kriterienraster ausgerichtet statt am eigenen Betrieb und deshalb nicht konsistent gelebt.
3. Evidenz wird kurz vor der Prüfung erzeugt; über Monate verteilte Stichproben lassen sich so nicht bedienen.
4. Die Prüfgesellschaft wird beauftragt, bevor Scope, Kategorien und Kontrollen stehen.
5. Der Type-II-Zeitraum startet, bevor die Kontrollen im Regelbetrieb belastbar Nachweise erzeugen.

Risiken und Trade-offs

Ein zu breiter Scope erhöht Aufwand und Angriffsfläche für Abweichungen, ein zu enger erfüllt die Kundenerwartungen nicht. Diese Balance muss der CISO bewusst entscheiden, nicht der Prüfgesellschaft überlassen.

Bei der Kontrollgestaltung besteht die Versuchung, Kontrollen so eng zu definieren, dass nichts schiefgehen kann. Das mindert Abweichungen (exceptions), schwächt aber die Aussagekraft und kann kritischen Kunden auffallen. Glaubwürdiger sind aussagekräftige Kontrollen mit transparenter Behandlung einzelner Abweichungen.

Beim Schritt von Type I zu Type II gilt der Trade-off Geschwindigkeit gegen Aussagekraft: Type I ist schnell verfügbar, sagt aber nichts über Wirksamkeit über Zeit. Ein längerer Beobachtungszeitraum erhöht die Aussagekraft, verlangt aber länger durchgehaltene Disziplin. Zu enge Einbindung der prüfenden CPA-Firma in die Vorbereitung entwertet schließlich die Unabhängigkeit der Attestierung.

Entscheidungspunkte

• Welches System, welche Services und welche Kategorien über Security hinaus bilden den Scope?
• Wird Type I als schneller Zwischenschritt genutzt oder direkt Type II angestrebt, und wie lang wird der Beobachtungszeitraum gewählt?
• Welche Evidenz entsteht automatisiert im Betrieb, und welche muss organisatorisch sichergestellt werden?
• Nach welchen Kriterien wird die Prüfgesellschaft ausgewählt, und wie wird ihre Unabhängigkeit gewahrt?
• Wie wird eine zeitliche Lücke zwischen Type-I-Stichtag und Beginn des Type-II-Zeitraums vermieden?

Praktische Empfehlungen

1. Beginnen Sie mit Scope und Kategorienauswahl, danach mit einer ehrlichen Lückenanalyse, die Wirksamkeit und nicht nur Dokumente bewertet.
2. Gestalten Sie Kontrollen so, dass ein Team sie konsistent betreibt; definieren Sie zu jeder Kontrolle Owner, Taktung und Nachweis.
3. Verankern Sie Evidenz als Nebenprodukt laufender Prozesse, damit datierte Nachweise über den gesamten Zeitraum vorliegen.
4. Trennen Sie Readiness-Unterstützung und Prüfung und wählen Sie die CPA-Firma nach Erfahrung, Berichtsklarheit und Termintreue.
5. Behandeln Sie Type I als Zwischenschritt mit klarem Ablaufdatum und starten Sie den Type-II-Zeitraum erst bei stabilem Kontrollbetrieb.
6. Planen Sie die jährliche Wiederholung ohne Nachweislücke von Beginn an mit.

Relevante Normreferenzen

• AICPA, TSP Section 100, Trust Services Criteria: maßgebliche Originalpublikation für Kategorien, Kriterien und Points of Focus. Der jeweils aktuelle Versionsstand ist dort verbindlich nachzulesen.
• AICPA-Attestierungsstandards (SSAE): Rahmen für Durchführung und Berichterstattung der Prüfung durch die CPA-Firma; konkrete Standardbezeichnung und Fassung sind in der AICPA-Originalquelle zu prüfen.
• COSO Internal Control - Integrated Framework: konzeptioneller Bezugsrahmen, an den die Common Criteria angelehnt sind; nur als allgemeiner Verweis.
• ISO/IEC 27001: verwandter, aber andersartiger Vertrauensnachweis (zur Abgrenzung und möglichen Doppelnutzung).