Der amerikanische Berufsverband der Wirtschaftsprüfer AICPA hat am 28. Oktober 2026 einen Entwurf für überarbeitete Trust Services Criteria veröffentlicht. Diese Kriterien sind die Grundlage jedes SOC-2-Berichts. Der Entwurf ordnet die Kriterien neu und ergänzt Prüfpunkte zu künstlicher Intelligenz. Stellungnahmen sind bis zum 15. Januar 2027 möglich. Werden die Kriterien verabschiedet, gelten sie für Prüfungen, deren Zeitraum am oder nach dem 31. Dezember 2027 beginnt.
Was SOC 2 ist
Ein SOC-2-Bericht ist das Ergebnis einer Prüfung durch einen unabhängigen Wirtschaftsprüfer. Er bestätigt, wie ein Dienstleister die Sicherheit und Verfügbarkeit seiner Systeme sowie die Vertraulichkeit und Integrität der verarbeiteten Daten absichert. Beim Typ 1 wird die Ausgestaltung der Kontrollen zu einem Stichtag beurteilt, beim Typ 2 zusätzlich ihre Wirksamkeit über einen Zeitraum.
SOC 2 stammt aus den USA, ist aber längst auch in Europa gefragt. Vor allem Softwareanbieter und Cloud-Dienste, die an amerikanische Unternehmen verkaufen, werden in Ausschreibungen und Lieferantenbewertungen danach gefragt. Ein Zertifikat im Sinne der ISO-Normen gibt es nicht, sondern einen Bericht, den der Kunde unter Vertraulichkeit erhält.
Was sich ändern soll
Die bisherigen Kriterien stammen aus dem Jahr 2017, die erläuternden Prüfpunkte wurden 2022 überarbeitet. Der neue Entwurf behält die fünf bekannten Bereiche bei: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Innerhalb dieser Bereiche baut er aber deutlich um. Nach Angaben der AICPA werden sich überschneidende Kriterien zusammengeführt, einzelne Kriterien gestrichen, andere zur Klarstellung ergänzt und bestehende Formulierungen so umgeschrieben, dass ihr Zweck leichter zu erkennen ist. Ziel ist, dass SOC-2-Berichte für Leser verständlicher und besser nutzbar werden.
Wer heute einen SOC-2-Bericht hat, muss deshalb damit rechnen, dass sich die Zuordnung seiner Kontrollen zu den Kriterien ändert. Das betrifft vor allem die Dokumentation, nicht unbedingt die Maßnahmen selbst.
Neue Prüfpunkte zu KI
Neu sind Prüfpunkte zu künstlicher Intelligenz und anderen neuen Technologien. Der Entwurf nennt unter anderem:
- die Steuerung und Verantwortung für KI-Systeme im Unternehmen,
- die laufende Überwachung von Modellen,
- den Schutz vor manipulierten Eingaben,
- den Schutz vor vergifteten Trainingsdaten,
- die Nachvollziehbarkeit von Ergebnissen, die eine KI erzeugt hat,
- den Umgang mit Trainingsdaten,
- die Risiken automatisierter Entscheidungen.
Prüfpunkte sind keine zusätzlichen Pflichtkriterien. Sie helfen Unternehmen und Prüfern zu beurteilen, ob ein Kriterium erfüllt ist. Wer KI in seinem Produkt oder in internen Abläufen einsetzt, wird diese Themen aber künftig in der Prüfung erklären müssen.
Zeitplan
| Schritt | Datum |
|---|---|
| Veröffentlichung des Entwurfs | 28. Oktober 2026 |
| Ende der Kommentierungsfrist | 15. Januar 2027 |
| Geltung nach Verabschiedung | Prüfungen ab 31. Dezember 2027 |
Eine frühere Anwendung der neuen Kriterien ist nach dem Entwurf erlaubt. Bis zur Verabschiedung bleiben die Kriterien von 2017 mit den Prüfpunkten von 2022 maßgeblich. Ob sich Inhalte oder Termine nach der Kommentierung noch ändern, ist offen.
Bezug zu ISO 42001 und EU AI Act
Die neuen KI-Prüfpunkte decken sich in ihren Themen weitgehend mit dem, was ISO 42001 für ein Managementsystem für künstliche Intelligenz verlangt: Verantwortlichkeiten, Risikobewertung, Umgang mit Daten und Überwachung im Betrieb. Wer ein KI-Managementsystem nach ISO 42001 aufbaut oder sich auf die Pflichten des EU AI Act vorbereitet, schafft damit Nachweise, die auch für die SOC-2-Prüfung taugen. Umgekehrt ersetzt ein SOC-2-Bericht weder eine Zertifizierung nach ISO 42001 noch die Erfüllung gesetzlicher Pflichten.
Was das für Sie bedeutet
Für laufende SOC-2-Prüfungen ändert sich vorerst nichts. Wer seinen Prüfungszeitraum aber für 2028 plant, sollte die neuen Kriterien jetzt schon einbeziehen:
- Lesen Sie den Entwurf und vergleichen Sie ihn mit Ihrer bisherigen Zuordnung von Kontrollen zu Kriterien.
- Erfassen Sie, wo Sie KI einsetzen, in Ihrem Produkt ebenso wie in internen Abläufen, und wer dafür verantwortlich ist.
- Legen Sie fest, wie Sie Modelle überwachen und Trainingsdaten verwalten, und dokumentieren Sie es.
- Sprechen Sie mit Ihrem Prüfer früh darüber, ob eine vorzeitige Anwendung sinnvoll ist.
- Nutzen Sie die Kommentierungsfrist, wenn einzelne Punkte für Ihr Geschäftsmodell unklar sind.
Sightadel führt Sie in einem geführten Assessment Kontrolle für Kontrolle durch SOC 2, hält Aufgaben in Aktionsplänen fest und legt Nachweise im Nachweis-Archiv ab, auf das Ihr Prüfer lesend zugreifen kann. Mehr dazu auf der Seite zu SOC 2 und der Seite zu ISO 42001. Sie können die Plattform 14 Tage kostenlos testen.
Stand: 5. November 2026 · Keine Rechtsberatung. Maßgeblich sind Norm bzw. Gesetz in der geltenden Fassung.
