ISO 27001 of SOC 2: welke certificering heeft jouw SaaS nodig?
Vroeg of laat vraagt een grote klant ernaar: 'Zijn jullie ISO 27001-gecertificeerd, of hebben jullie een SOC 2-rapport?' Voor veel SaaS-founders is dat het moment waarop security ineens een salesonderwerp wordt. Dit artikel legt uit wat beide inhouden, wanneer je welke kiest en hoe je het traject klein houdt.
SOC 2 is geen certificaat maar een assurance-rapport, opgesteld door een auditor volgens Amerikaanse standaarden. Het beschrijft je beheersmaatregelen rond criteria zoals security en beschikbaarheid. Een Type I-rapport beoordeelt de opzet op één moment; een Type II toetst of de maatregelen over een langere periode daadwerkelijk hebben gewerkt. Enterprise-klanten vragen vrijwel altijd om Type II.
Wanneer kies je welke?
De vuistregel volgt je klanten. Verkoop je vooral aan Europese bedrijven en overheden, dan is ISO 27001 de standaard die inkopers herkennen en vaak letterlijk als eis in aanbestedingen zetten. Richt je je op de Amerikaanse markt, dan verwachten klanten een SOC 2-rapport en zegt ISO 27001 ze vaak weinig.
Bedien je beide markten, begin dan met de markt waar je grootste deals zitten. De overlap in onderliggende maatregelen is groot: toegangsbeheer, encryptie, logging, incidentproces en leveranciersmanagement heb je voor beide nodig. De tweede toevoegen is daardoor aanzienlijk minder werk dan de eerste opzetten.
Een derde route bestaat ook: nog even niets doen. Zolang klanten er niet om vragen en je deals niet stranden op security, kan het rationeel zijn om te wachten. Maar zodra de eerste enterprise-prospect ernaar vraagt, ben je te laat begonnen; het traject duurt maanden en de deal wacht daar zelden op.
Het traject in stappen
Stap 1 is een gap-analyse: waar sta je nu ten opzichte van de norm? Stap 2 is de inrichting: beleid schrijven, risicoanalyse uitvoeren, maatregelen implementeren en verantwoordelijkheden beleggen. Stap 3 is bewijs verzamelen: laten zien dat het systeem draait, van toegangsreviews tot incidentlogboek.
Stap 4 is de audit zelf. Bij ISO 27001 bestaat die uit twee fases: eerst een documentatiebeoordeling, daarna de implementatie-audit. Bij SOC 2 Type II komt daar de observatieperiode bij: de maanden waarover de auditor toetst of je maatregelen werkten.
Als vuistregel: reken voor een klein SaaS-team op zes tot twaalf maanden van start tot certificaat of rapport, afhankelijk van hoeveel er al staat en hoeveel tijd het team er structureel in steekt. Het is een vuistregel, geen garantie; een team dat al netjes werkt kan sneller, een team dat alles nog moet opbouwen doet er langer over.
Hoe je het klein houdt
De grootste kostenpost is niet de auditor maar je eigen tijd. Drie manieren om die te beperken. Ten eerste: kies een krappe maar eerlijke scope, bijvoorbeeld alleen het productieplatform en de teams die eraan werken, niet het hele bedrijf. Ten tweede: gebruik compliance-automatiseringstools die bewijs automatisch verzamelen uit je cloudomgeving, in plaats van screenshots en spreadsheets. Ten derde: schrijf beleid dat past bij je omvang. Een tienkoppig team heeft geen beleidsdocument van veertig pagina's nodig; auditors prikken door opgeblazen papier heen.
Wat auditors echt controleren: of je doet wat je zelf hebt opgeschreven. Ze toetsen of toegangsrechten worden ingetrokken bij vertrek, of incidenten volgens je eigen proces zijn afgehandeld, of backups getest zijn en of het management aantoonbaar betrokken is. Een pragmatisch systeem dat aantoonbaar draait, scoort beter dan een indrukwekkend systeem dat alleen op papier bestaat.
Veelgestelde vragen
Wat is het verschil tussen ISO 27001 en SOC 2?
ISO 27001 is een certificeerbare internationale norm voor je informatiebeveiligingsmanagementsysteem, dominant in Europa. SOC 2 is een assurance-rapport volgens Amerikaanse standaarden waarin een auditor je beheersmaatregelen beschrijft en toetst, dominant in de VS. De onderliggende maatregelen overlappen sterk; het verschil zit vooral in vorm en doelgroep.
Hoe lang duurt een ISO 27001-traject voor een SaaS-startup?
Als vuistregel: zes tot twaalf maanden van start tot certificaat, afhankelijk van je uitgangspositie, de scope en hoeveel tijd het team er structureel aan besteedt. Teams die hun security al goed op orde hebben en bewijs automatiseren, zitten aan de onderkant van die bandbreedte.
Heb ik als Nederlandse SaaS SOC 2 nodig?
Alleen als je klanten erom vragen, en dat zijn in de praktijk vooral Amerikaanse enterprises. Voor Europese klanten en aanbestedingen is ISO 27001 meestal de gevraagde standaard. Verkoop je serieus aan beide markten, begin dan met de standaard van je grootste dealflow en voeg de tweede later toe; de overlap maakt dat relatief efficiënt.