Compliance-Praxis

Third-Party-Risk-Management: SOC 2 und ISO 27001 im Lieferantennachweis

Redaktion · 13. Oktober 2026 · 9 Min. Lesezeit

Ein ISO-27001-Zertifikat und ein SOC-2-Bericht sehen im Lieferantenordner gleich aus: ein PDF mit Siegel, ausgestellt von einem Dritten. Sie belegen aber Unterschiedliches, und der Unterschied entscheidet darüber, ob Sie Ihre eigene Nachweispflicht erfüllt haben.

Ausgangslage: Zwei Dokumente, zwei Logiken

Das ISO-27001-Zertifikat ist das Ergebnis einer Zertifizierung. Eine akkreditierte Stelle prüft, ob ein Managementsystem für Informationssicherheit die Anforderungen der Norm erfüllt, und stellt daraufhin ein Zertifikat mit drei Jahren Laufzeit aus. Geprüft wird das System, nicht jede einzelne Transaktion darin.

Der SOC-2-Bericht ist keine Zertifizierung, sondern eine Bescheinigung nach den Attestierungsstandards des US-amerikanischen Berufsstands. Eine Wirtschaftsprüfungsgesellschaft beurteilt Kontrollen eines Dienstleisters anhand der Trust Services Criteria und legt ihr Urteil in einem Bericht nieder, der typischerweise mehrere Dutzend Seiten umfasst. Ein Siegel, das man an die Wand hängt, entsteht dabei nicht.

Daraus folgt der praktisch wichtigste Unterschied, und er liegt in der Zeit.

Wer ist betroffen?

Jede Einrichtung, die nach Artikel 21 Absatz 2 Buchstabe d der NIS-2-Richtlinie die Sicherheit ihrer Lieferkette steuern muss, und jedes Finanzunternehmen, das nach den Artikeln 28 bis 30 DORA seine IKT-Drittdienstleister vertraglich und laufend überwacht. In beiden Fällen ist der Lieferantennachweis kein Selbstzweck. Er muss eine Frage beantworten, die Sie selbst gegenüber Ihrer Aufsicht beantworten müssen.

Wie hoch ist die Priorität?

Hoch, weil der Fehler leise ist. Ein Nachweis liegt vor, die Checkliste ist abgehakt, der Ordner sieht vollständig aus. Dass der Geltungsbereich des Zertifikats nur das Rechenzentrum in Dublin umfasst und nicht die Anwendung, die Sie einkaufen, steht auf Seite zwei und fällt erst auf, wenn jemand nachschlägt. In der Regel ist das die Aufsicht.

Warum ist das wichtig? Die drei Unterschiede, auf die es ankommt

Erstens: Stichtag gegen Zeitraum

Ein ISO-27001-Zertifikat bestätigt, dass das Managementsystem zum Zeitpunkt des Audits die Normanforderungen erfüllte. Die Laufzeit von drei Jahren ist eine Gültigkeitsaussage, keine Prüfaussage über diese drei Jahre. Zwischen den Überwachungsaudits liegen jeweils zwölf Monate, und diese Audits prüfen in Stichproben, nicht erneut vollständig.

Ein SOC-2-Bericht vom Typ 1 beurteilt die Eignung der Kontrollen zu einem Stichtag, ein Bericht vom Typ 2 zusätzlich ihre Wirksamkeit über einen Beobachtungszeitraum. Nur der Typ 2 beantwortet die Frage, ob die Kontrollen auch gelaufen sind. Wer einen Typ-1-Bericht entgegennimmt und ihn wie einen Wirksamkeitsnachweis behandelt, hat sich über das Deckblatt getäuscht.

Zweitens: Wer den Geltungsbereich festlegt

In beiden Verfahren bestimmt der Anbieter selbst, worüber geprüft wird. Das ist kein Mangel, sondern Konstruktionsprinzip, und genau deshalb ist der Geltungsbereich das Erste, was Sie lesen müssen.

Drittens: Was der Prüfer tatsächlich schreibt

Das ISO-Zertifikat ist eine Seite. Mehr Information als Geltungsbereich, Normfassung, Laufzeit und ausstellende Stelle enthält es nicht. Wer tiefer will, muss den Auditbericht anfordern, und den gibt kaum ein Anbieter heraus.

Der SOC-2-Bericht ist das Gegenteil: Er legt die geprüften Kontrollen, die Prüfhandlungen und deren Ergebnisse offen. Genau dort steht auch, was nicht funktioniert hat. Diese Abweichungen sind der eigentliche Wert des Dokuments, und sie werden regelmäßig überlesen.

Die Qualitätsfrage, die der Berufsstand selbst gestellt hat

Im Mai 2026 hat das Peer Review Board des AICPA seine Prüfer der Prüfer in einem Reviewer Alert ausdrücklich auf Risiken in SOC-2-Mandaten hingewiesen. Benannt werden Mandate, die nicht auf die Besonderheiten des jeweiligen Dienstleisters zugeschnitten sind und deshalb zu Berichten führen, die einander in Risikobeurteilung, Stichprobenumfang und Prüfhandlungen gleichen. Als Reaktion sollen Peer Reviewer bei Auffälligkeiten nicht mehr eine Akte prüfen, sondern mehrere Mandate verschiedener Partner vergleichen.

Für den Einkauf heißt das nicht, dass SOC-2-Berichte wertlos wären. Es heißt, dass der Bericht so viel wert ist wie das Mandat dahinter, und dass sich das am Dokument ablesen lässt. Ein Bericht, der je Kontrolle denselben Textbaustein als Prüfhandlung nennt, ist ein Warnzeichen. Einer, der Stichprobenumfänge nennt und Ausnahmen beschreibt, ist ein gutes.

Was muss konkret getan werden?

• Vor der inhaltlichen Lektüre Geltungsbereich und Zeitbezug feststellen und beides in die eigene Lieferantenakte übernehmen, nicht nur das PDF ablegen.
• Bei SOC 2 klären, ob Typ 1 oder Typ 2 vorliegt und welche Trust-Services-Kategorien gewählt wurden. Nur Security ist verpflichtend, Availability und Confidentiality sind es nicht.
• Bei ISO 27001 prüfen, ob der Geltungsbereich den eingekauften Dienst wirklich umfasst, und ob das Zertifikat von einer akkreditierten Stelle stammt.
• Abschnitt IV des SOC-2-Berichts auf Ausnahmen durchgehen und jede Ausnahme gegen die eigene Risikobeurteilung halten.
• Die Lücke zwischen Ende des Beobachtungszeitraums und heute schließen, in der Regel durch ein Bridge Letter des Anbieters.
• Wiedervorlage setzen. Ein Nachweis ohne Ablaufdatum in der Akte ist ein Nachweis, der niemandem auffällt, wenn er veraltet.

Welche Nachweise welche Frage beantworten

BAM-Mapping: Der Nachweis ist ein Objekt, kein Anhang

Im Brain-Media Audit Model ist ein Lieferantennachweis ein eigenes Objekt mit Quelle, Geltungsbereich, Gültigkeitszeitraum und Verweis auf die Anforderung, die er bedient. Dadurch lässt sich maschinell beantworten, was in der Aufsichtsprüfung gefragt wird: Für welche meiner Dienstleister liegt zum Stichtag ein wirksamer Nachweis vor, und für welche nicht. Wer Zertifikate als PDF im Vertragsordner führt, kann diese Frage nur händisch beantworten, und das dauert länger als die Frist.

Dieselben Nachweisobjekte bedienen Artikel 21 NIS-2 und die Artikel 28 bis 30 DORA, ohne doppelt gepflegt zu werden. Das ist der Punkt, an dem sich die Modellierung auszahlt.

Unsere Empfehlung

Verlangen Sie nicht pauschal ein bestimmtes Dokument, sondern formulieren Sie die Frage, die der Nachweis beantworten soll. Für die Lieferkettenpflicht nach NIS-2 brauchen Sie eine Aussage über den tatsächlichen Betrieb der Kontrollen in einem benannten Zeitraum. Das leistet ein SOC-2-Bericht vom Typ 2 besser als ein Zertifikat. Für die Frage, ob der Anbieter Informationssicherheit überhaupt systematisch steuert, leistet das Zertifikat mehr.

In der Praxis ist die beste Kombination daher kein Entweder-oder: Zertifikat für die Systemfrage, Type-2-Bericht für die Wirksamkeitsfrage, Bridge Letter für die Lücke. Und ein Prüfraster, das für alle Lieferanten dasselbe fragt, damit die Antworten vergleichbar bleiben.

Wie sich dieses Raster in eine prüffeste Dokumentation übersetzt, steht ausführlich im Supply Chain Security Audit. Den Marktüberblick zu den Werkzeugen, die solche Nachweise verwalten, liefert der Compliance-Software-Report DACH 2026.

Häufige Fragen