Wat is SOC 2?
SOC 2 (System and Organization Controls 2) is een assurancerapport van een onafhankelijke auditor waarin staat of een dienstverlener zijn beheersmaatregelen voor beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy goed heeft ingericht en, bij Type II, of die maatregelen gedurende een periode ook echt werkten. Het raamwerk komt van het Amerikaanse AICPA, de beroepsorganisatie van accountants, en gebruikt de Trust Services Criteria als toetsingsnorm. Voor OT-organisaties is SOC 2 vooral een middel om leveranciers te beoordelen die clouddiensten, toegang op afstand of beheer van IT- en OT-systemen leveren.
SOC 2 is geen certificaat maar een rapport: u krijgt de beschrijving van het systeem, de geteste maatregelen, de testresultaten en het oordeel van de auditor.
🧠 Hoe is SOC 2 opgebouwd?
Een SOC 2-onderzoek beoordeelt maatregelen aan de hand van de Trust Services Criteria (TSC). De huidige versie is die van 2017; in 2022 heeft het AICPA de toelichtende points of focus herzien, maar de criteria zelf niet gewijzigd. De TSC kennen vijf categorieën:
| Categorie | Verplicht? | Waar gaat het over? | Voorbeeld in OT-context |
|---|---|---|---|
| Security (common criteria) | Altijd | Bescherming tegen ongeautoriseerde toegang en misbruik | MFA en Least Privilege voor remote sessies naar PLC’s |
| Availability | Optioneel | Beschikbaarheid volgens afspraak of SLA | Herstel van een gehoste Historian of SCADA-server |
| Processing Integrity | Optioneel | Volledige, juiste en tijdige verwerking | Correcte doorgifte van productie- en kwaliteitsdata |
| Confidentiality | Optioneel | Bescherming van vertrouwelijke informatie | Receptuur, tekeningen en procesparameters |
| Privacy | Optioneel | Omgang met persoonsgegevens | Gebruikersgegevens in een cloud-CMMS |
De verplichte common criteria zijn verdeeld in negen reeksen. CC1 t/m CC5 volgen de vijf componenten en zeventien principes van het COSO-raamwerk voor interne beheersing uit 2013: beheersomgeving, communicatie, risicobeoordeling, monitoring en beheersactiviteiten. Daarna volgen CC6 (logische en fysieke toegang), CC7 (systeembeheer, inclusief detectie en incidentafhandeling), CC8 (wijzigingsbeheer) en CC9 (risicobeperking, waaronder leveranciersrisico’s). De organisatie kiest zelf welke optionele categorieën zij in scope neemt.
🔄 Wat is het verschil tussen Type I en Type II?
| Kenmerk | SOC 2 Type I | SOC 2 Type II |
|---|---|---|
| Toetst | Opzet en bestaan van maatregelen | Opzet, bestaan én werking |
| Tijdsbeeld | Eén peildatum | Een periode, in de praktijk meestal 6 of 12 maanden |
| Testwerk | Beschrijving en inspectie | Steekproeven over de hele periode |
| Waarde voor afnemer | Beperkt; laat zien dat het plan klopt | Hoog; laat zien dat het ook in de praktijk werkt |
| Typisch gebruik | Eerste rapport van een nieuwe dienst | Jaarlijkse verantwoording aan klanten |
Een Type II-rapport loopt altijd achter op de actualiteit. Leveranciers geven daarom vaak een bridge letter af: een verklaring van het management dat er tussen het einde van de rapportageperiode en vandaag geen wezenlijke wijzigingen zijn geweest. Die brief is geen auditorverklaring.
🔁 Hoe verhoudt SOC 2 zich tot andere normen?
| Raamwerk | Soort | Relatie met SOC 2 |
|---|---|---|
| SOC 1 / ISAE 3402 | Assurancerapport | Gericht op financiële verslaggeving, met control objectives die de dienstverlener zelf formuleert; SOC 2 toetst tegen vaste criteria |
| SOC 3 | Assurancerapport | Openbare samenvatting van een SOC 2-onderzoek, zonder testdetails |
| ISO 27001 | Certificering | Managementsysteem met certificaat; veel overlap met de maatregelen uit ISO 27002 |
| IEC 62443-2-4 | Eisen aan dienstverleners | OT-specifiek (integratie en onderhoud van automatiseringssystemen); SOC 2 vervangt dit niet |
| NIS2 / Cyberbeveiligingswet | Wetgeving | Vraagt om beveiliging van de toeleveringsketen; een SOC 2-rapport is bruikbaar bewijs bij leveranciersbeoordeling |
In de Verenigde Staten mogen alleen gelicentieerde CPA-kantoren een SOC 2-rapport afgeven, onder de attestatiestandaard AT-C 205. Nederlandse IT-auditors (RE) en accountants (RA) hebben die Amerikaanse licentie niet en werken onder de internationale assurancestandaard ISAE 3000. NOREA, de beroepsvereniging van IT-auditors, publiceerde in 2016 een handreiking voor een SOC 2-gelijkwaardig rapport onder ISAE 3000, met de Trust Services Criteria als normenkader en een opbouw die lijkt op ISAE 3402. Inhoudelijk toetst zo’n rapport hetzelfde, maar formeel is het geen AICPA SOC 2-rapport.
🏭 Waarom is SOC 2 relevant voor OT-omgevingen?
Bij OT-convergentie verschuift steeds meer naar externe partijen: cloudplatforms voor IIoT en analyse, onderhoud op afstand door machinebouwers, gehoste historians en beheer van firewalls of SIEM door een MSSP. Elke partij met toegang tot uw netwerk is een mogelijk aanvalspad, zoals beschreven bij supply chain-risico’s.
Een SOC 2-rapport helpt u die partijen te beoordelen op onder meer:
- Toegangsbeheer - hoe accounts van technici worden aangemaakt, beoordeeld en ingetrokken, en of toegangscontrole op basis van rollen werkt
- Monitoring en Logging - of afwijkend gedrag op de beheeromgeving wordt gedetecteerd en opgevolgd
- Change Management - of wijzigingen aan de dienst getest, goedgekeurd en vastgelegd worden
- Backup en herstel - of back-ups worden getest en hersteldoelen worden gehaald, zie ook Disaster Recovery
- Patchmanagement en kwetsbaarheidsbeheer - hoe snel kwetsbaarheden in de eigen infrastructuur worden opgelost
- Incident Management - hoe incidenten worden afgehandeld en klanten worden geïnformeerd
Let wel: de scope van een SOC 2-rapport is het systeem van de dienstverlener, niet uw fabriek. Een cloudleverancier met een schoon SOC 2-rapport zegt niets over de beveiliging van de edge-gateway in uw productiehal of over de laptop van de servicemonteur die bij u op locatie werkt. Voor die OT-specifieke kant is IEC 62443-2-4 beter passend, binnen het bredere kader van IEC 62443. Dat weegt het zwaarst bij leveranciers van vitale processen.
Ook de invulling van dezelfde maatregel verschilt. Een SOC 2-rapport van een SaaS-leverancier beschrijft wijzigingsbeheer meestal als een DevOps-proces met code reviews en geautomatiseerde tests, en logging op applicatie- en systeemniveau. In OT lopen wijzigingen via FAT, SAT en versiebeheer van PLC-programma’s, en is logging op netwerk- en controllerniveau nodig. Neemt u een OT-dienst af, zoals SCADA-as-a-Service, een gehoste historian of een platform voor toegang op afstand, vraag dan na of juist dat platform in de systeembeschrijving staat. Alleen dan zegt het rapport iets over de risico’s voor uw productie.
🔧 Hoe beoordeelt u het SOC 2-rapport van een leverancier?
Een SOC 2-rapport telt al snel tientallen pagina’s. Lees het gericht, net zoals een auditor dat zou doen, in deze volgorde:
- Oordeel van de auditor - een goedkeurend oordeel (unqualified) is het doel. Een oordeel met beperking (qualified), een afkeurend oordeel of een oordeelonthouding vraagt om een gesprek met de leverancier.
- Scope en systeembeschrijving - controleer of de dienst die u afneemt, de locaties en de relevante TSC-categorieën erin zitten. Ontbreekt Availability terwijl u op de dienst draait, dan is dat een gat.
- Periode - kijk of het een Type II is en hoe oud de periode is. Vraag bij een rapport ouder dan een paar maanden om een bridge letter.
- Subdienstverleners - bij de carve-out-methode zijn bijvoorbeeld het datacenter of de hyperscaler niet getest. Vraag dan ook hun rapporten op en controleer welke complementary subservice organization controls (CSOC’s) de dienstverlener van hen verwacht.
- Uitzonderingen - lees de afwijkingen in de testresultaten en de reactie van het management. Eén gemiste toegangsreview weegt anders dan structureel ontbrekende logging.
- Complementary User Entity Controls (CUEC’s) - maatregelen die ú moet uitvoeren, zoals tijdig accounts van vertrokken medewerkers intrekken. Zonder die maatregelen geldt de zekerheid van het rapport niet volledig voor uw organisatie.
Leg de uitkomst vast in uw leveranciersrisicobeheer en koppel eventuele tekortkomingen aan contractafspraken of extra maatregelen, zoals sessie-opname voor remote toegang.
🇳🇱 Hoe zet u SOC 2 in onder de Nederlandse en Europese regels?
De Cyberbeveiligingswet (van kracht sinds 15 augustus 2026) neemt de zorgplicht uit NIS2 over, inclusief beveiliging van de toeleveringsketen. Essentiële en belangrijke entiteiten moeten de risico’s van hun directe leveranciers kennen en beheersen. SOC 2 is daarbij geen wettelijke eis, maar wel een praktisch en gangbaar bewijsstuk, vooral voor Amerikaanse cloud- en SaaS-leveranciers. Europese leveranciers bieden vaker een ISO 27001-certificaat of een ISAE 3000-rapport aan. Voor producten met digitale elementen komt daar vanaf 11 december 2027 de Cyber Resilience Act bij; die regelt de productbeveiliging, terwijl SOC 2 over de dienstverlening gaat.
Een realistische inkoopeis voor een OT-cloudleverancier is daarom: een SOC 2 Type II-rapport (of ISAE 3000-equivalent) met Security en Availability in scope, niet ouder dan twaalf maanden, aangevuld met een vragenlijst over OT-specifieke onderwerpen.
❓ Veelgestelde vragen
Is SOC 2 een certificering?
Nee, SOC 2 is een assurancerapport en geen certificaat. De auditor geeft een oordeel over de beschreven beheersmaatregelen, en de afnemer leest zelf de scope, de testresultaten en de uitzonderingen. Daarin verschilt SOC 2 van ISO 27001, waarbij een certificatie-instelling een certificaat afgeeft.
Hoe lang is een SOC 2-rapport geldig?
Een SOC 2-rapport heeft geen formele geldigheidsduur, maar afnemers accepteren het meestal tot ongeveer twaalf maanden na het einde van de rapportageperiode. Daarom laten leveranciers jaarlijks een nieuw SOC 2 Type II-onderzoek uitvoeren. Voor de tussenliggende maanden geven zij vaak een bridge letter af.
Welke Trust Services Criteria zijn verplicht in SOC 2?
Alleen de categorie Security, de zogenoemde common criteria, is in elk SOC 2-onderzoek verplicht. Availability, Processing Integrity, Confidentiality en Privacy kiest de dienstverlener zelf, op basis van de dienst en de verwachtingen van klanten. Controleer daarom altijd welke categorieën in het SOC 2-rapport zitten.
Wat is het verschil tussen SOC 2 en SOC 3?
Een SOC 2-rapport bevat de systeembeschrijving, de geteste maatregelen en de testresultaten, en is alleen bedoeld voor klanten en hun auditors. SOC 3 is een korte, openbare versie van hetzelfde onderzoek zonder die details. Voor een serieuze leveranciersbeoordeling heeft u het SOC 2-rapport nodig.
Kan een Nederlandse organisatie een SOC 2-rapport laten opstellen?
Ja, een Nederlandse organisatie kan een SOC 2-gelijkwaardig rapport laten opstellen onder de assurancestandaard ISAE 3000, volgens de handreiking die NOREA in 2016 publiceerde. Dat rapport gebruikt dezelfde Trust Services Criteria als SOC 2. Wie een AICPA-rapport met de naam SOC 2 nodig heeft, schakelt een Amerikaans CPA-kantoor of een netwerkkantoor met Amerikaanse licentie in.
Is SOC 2 voldoende om een OT-leverancier te beoordelen?
Nee, SOC 2 is zelden voldoende voor een OT-leverancier, omdat het raamwerk niet specifiek voor industriële automatisering is ontworpen. SOC 2 dekt de IT-beheersing van de dienstverlener, maar niet zaken als veilige engineeringwerkstations, wijzigingen aan PLC-programma’s of afspraken over onderhoudsvensters. Combineer SOC 2 daarom met de eisen van IEC 62443-2-4 en eigen afspraken over remote toegang.
📌 Samengevat
SOC 2 is een AICPA-assurancerapport over de beheersmaatregelen van een dienstverlener, getoetst aan de Trust Services Criteria. Security is altijd in scope; de andere vier categorieën zijn optioneel. Type II toont aan dat maatregelen over een periode werkten. Voor OT is het een nuttig bewijsstuk bij cloud- en beheerleveranciers, mits u scope, subdienstverleners, uitzonderingen en uw eigen CUEC’s controleert.
SOC 2 laat zien hoe goed een leverancier zijn eigen omgeving beheerst, maar de OT-specifieke risico’s bij u op locatie dekt het niet; combineer het daarom met IEC 62443-2-4 en eigen afspraken.