SOC 2, ISAE 3000 en ISAE 3402 versus ISO 27001
De juiste assurance-aanpak kiezen voor uw organisatie
Inleiding
Naarmate organisaties groeien en internationaal actief worden, wordt het aantonen van vertrouwen minstens zo belangrijk als het bouwen van veilige systemen. Vrijwel iedere organisatie krijgt vroeg of laat dezelfde vraag:
Hoe tonen we onze klanten aan dat onze beheersmaatregelen daadwerkelijk werken?
Voor veel organisaties begint die reis met ISO 27001: de internationale norm voor informatiebeveiliging die, indien gewenst, gecertificeerd kan worden.
Zodra organisaties internationaal opereren – en zeker wanneer zij actief zijn op de Amerikaanse markt – ontstaan echter vaak aanvullende eisen. Begrippen als SOC 2, ISAE 3000 en ISAE 3402 duiken steeds vaker op, waardoor regelmatig onduidelijkheid ontstaat over de verschillen tussen deze assurance-frameworks.
Tijdens een recent interview en webinar gingen Peter Geelen en Erik Spaans uitgebreid in op deze verschillen. Daarbij werd één ding duidelijk: deze standaarden zijn niet onderling uitwisselbaar. Ze dienen ieder een fundamenteel ander doel.
Onderaan dit artikel vindt u een link naar de opname van het webinar en de bijbehorende presentatie.
Van compliance naar assurance
Om het verschil tussen compliance en assurance goed te begrijpen, is het belangrijk eerst stil te staan bij het begrip assurance.
Zoals tijdens het webinar werd uitgelegd, draait assurance om het bieden van vertrouwen aan derden door middel van een onafhankelijke beoordeling. Het is niet voldoende om te stellen dat beheersmaatregelen aanwezig zijn; organisaties moeten kunnen aantonen dat deze maatregelen gedurende langere tijd effectief functioneren.
Daar begint ook het onderscheid.
ISO 27001 richt zich op het opzetten en continu verbeteren van beveiligingsprocessen – mensen, processen, fysieke beveiliging en technologie (PPPT) – binnen een Information Security Management System (ISMS). De focus ligt daarmee vooral op de interne organisatie.
Assurance-frameworks zoals SOC 2 en de ISAE-standaarden hebben juist een externe focus. Zij beoordelen hoe goed diensten in de praktijk functioneren voor klanten en geven daarover zekerheid aan derden.
ISO 27001: een gestructureerde basis voor informatiebeveiliging
Voor veel Europese organisaties vormt ISO 27001 nog altijd de basis van hun informatiebeveiliging.
De kracht van de norm ligt in de gestructureerde aanpak. ISO 27001 is gebaseerd op de bekende Plan-Do-Check-Act (PDCA)-cyclus en helpt organisaties bij het opzetten, implementeren, onderhouden en continu verbeteren van een Information Security Management System.
In plaats van losse beveiligingsmaatregelen te beoordelen, kijkt ISO 27001 naar de organisatie als geheel. Governance, medewerkers, processen, technologie en fysieke beveiliging worden samengebracht binnen één geïntegreerd managementsysteem.
Zoals tijdens het webinar werd toegelicht, bestaat de norm uit een reeks managementeisen (clauses), aangevuld met de uitgebreide beheersmaatregelen uit ISO 27002.
De huidige versie bevat 93 beheersmaatregelen, verdeeld over 15 functionele groepen (operational controls).
Wat ISO 27001 bijzonder maakt, is de nadruk op continue verbetering. Organisaties hoeven niet vanaf dag één perfect te zijn. De norm stimuleert juist een geleidelijke groei naar een hoger volwassenheidsniveau, waarbij processen en beheersmaatregelen voortdurend worden verbeterd.
Zoals Peter tijdens het webinar aangaf, maakt dit ISO 27001 tot een uitstekend startpunt: het creëert structuur, overzicht en een duidelijke routekaart voor verdere groei.
ISAE en SOC 2: aantonen dat uw dienstverlening werkt
Waar ISO 27001 vooral naar binnen kijkt, richten assurance-frameworks zich juist naar buiten.
ISO 27001 beoordeelt interne processen en het managementsysteem. ISAE en SOC 2 beoordelen juist de externe dienstverlening aan klanten.
Frameworks zoals SOC 2, ISAE 3000 en ISAE 3402 vinden hun oorsprong in de accountancywereld.
Hun primaire doel is zekerheid verschaffen over de manier waarop dienstverlening plaatsvindt, vaak in relatie tot financiële of operationele processen.
Zoals tijdens de presentatie werd uitgelegd, vormt ISAE 3000 het algemene assurance-framework voor niet-financiële onderwerpen. ISAE 3402 bouwt hierop voort en richt zich specifiek op serviceorganisaties die processen uitvoeren die van invloed zijn op de financiële verslaglegging van hun klanten.
SOC 2 is de Amerikaanse tegenhanger en wordt beheerd door het American Institute of Certified Public Accountants (AICPA). Het framework is specifiek ontwikkeld voor de Amerikaanse markt en richt zich op de bekende Trust Services Criteria:
- Security
- Availability
- Processing Integrity
- Confidentiality
- Privacy
Het fundamentele verschil met ISO 27001 zit in de invalshoek.
ISO 27001 stelt de vraag:
“Functioneert uw managementsysteem effectief?”
SOC 2 en ISAE stellen juist de vraag:
“Leveren uw diensten daadwerkelijk wat uw klanten mogen verwachten?”
Zoals ook in de presentatie werd geïllustreerd, draait assurance niet uitsluitend om interne beheersmaatregelen. Het gaat om het aantonen – door middel van een onafhankelijke auditor – dat uw dienstverlening daadwerkelijk voldoet aan de verwachtingen van uw klanten.
De praktijk van audits: verbeteren versus constateren
Een van de belangrijkste – en vaak minst bekende – verschillen zit in de manier waarop audits worden uitgevoerd.
ISO 27001 werkt met een gestructureerde certificeringscyclus van drie jaar:
- een initiële certificeringsaudit;
- jaarlijkse surveillance-audits;
- gevolgd door een hercertificeringsaudit.
Binnen ISO 27001 staat continue verbetering centraal. Wanneer tekortkomingen worden vastgesteld, wordt verwacht dat deze worden opgelost en dat de organisatie haar processen blijft verbeteren.
Bij assurance-frameworks ligt dat fundamenteel anders.
Hier beoordeelt de auditor een vooraf vastgestelde periode uit het verleden, meestal tussen drie en twaalf maanden. Het doel is niet om verbeteringen af te dwingen, maar om objectief vast te leggen wat er gedurende die periode daadwerkelijk heeft plaatsgevonden.
Zoals Peter het treffend samenvatte:
ISO 27001 kijkt vooruit. SOC 2 en ISAE kijken terug.
Dat heeft belangrijke praktische gevolgen.
Assurance-audits vereisen veel uitgebreidere bewijsvoering. Iedere conclusie moet worden onderbouwd met aantoonbare documentatie. Tegelijkertijd bestaat er geen formeel verbetermechanisme; het assurance-rapport beschrijft uitsluitend de feitelijke situatie gedurende de onderzochte periode.
Daarnaast worden assurance-audits vrijwel altijd uitgevoerd over de volledige afgesproken scope.
Scope en focus: intern versus klantgericht
Een ander belangrijk verschil betreft de omvang van de beoordeling.
ISO 27001 omvat doorgaans de gehele organisatie of alle processen binnen de gekozen scope. Daarbij wordt gekeken hoe informatiebeveiliging organisatiebreed is ingericht.
SOC 2 en ISAE kennen juist een veel beperktere scope.
De beoordeling richt zich meestal uitsluitend op specifieke diensten die voor klanten relevant zijn. Daardoor is de scope smaller, maar gaat de audit veel dieper in op de processen die direct van invloed zijn op de dienstverlening.
Deze klantgerichte benadering verklaart waarom veel organisaties niet uit zichzelf kiezen voor SOC 2 of ISAE. In de praktijk zijn deze rapportages vaak een expliciete eis van internationale klanten, met name in de Verenigde Staten.
Transparantie en rapportage
Een van de meest opvallende verschillen zit in de manier waarop resultaten worden gedeeld.
Bij ISO 27001 ontvangt een organisatie een certificaat dat bevestigt dat aan de norm wordt voldaan. Hoewel het certificaat openbaar mag worden gemaakt, blijven de gedetailleerde auditbevindingen doorgaans vertrouwelijk.
Bij assurance-frameworks werkt dit precies andersom.
Hier vormt het assurance-rapport zelf het belangrijkste eindproduct. Dit rapport wordt gedeeld met klanten en bevat uitgebreide informatie over systemen, beheersmaatregelen, uitgevoerde testen en de resultaten daarvan.
Zoals tijdens het webinar werd benadrukt, zorgt deze transparantie voor veel vertrouwen bij klanten, maar maakt zij tegelijkertijd ook eventuele tekortkomingen zichtbaar.
Kosten en inspanning: een strategische afweging
De verschillen in aanpak leiden vanzelfsprekend ook tot verschillen in kosten en inspanning.
ISO 27001 volgt een voorspelbare certificeringscyclus en is daardoor voor de meeste organisaties goed beheersbaar.
SOC 2 en ISAE vereisen daarentegen jaarlijks een volledige assurance-audit, inclusief uitgebreide bewijsverzameling en documentatie.
In de praktijk betekent dit vaak aanzienlijk hogere kosten.
Zoals Peter tijdens het webinar aangaf, moet hiervoor een duidelijke zakelijke aanleiding bestaan. Meestal komt die vanuit klanten die dergelijke assurance-rapportages expliciet eisen.
Wanneer kiest u voor welke standaard?
Uiteindelijk is de keuze tussen deze standaarden geen puur technische beslissing, maar vooral een strategische.
Organisaties die voornamelijk actief zijn in Europa of eerst een solide basis voor informatiebeveiliging willen opbouwen, starten doorgaans met ISO 27001.
Deze norm biedt structuur, flexibiliteit en een duidelijk groeipad.
SOC 2 en ISAE worden daarentegen meestal ingevoerd omdat klanten daarom vragen.
Bedrijven die internationale klanten bedienen – en met name organisaties die zaken doen in de Verenigde Staten – zullen merken dat deze assurance-frameworks vaak geen keuze meer zijn, maar een vereiste.
Zoals Peter het samenvatte:
ISO 27001 is meestal een interne keuze. SOC 2 en ISAE zijn vaak een expliciete eis van uw klanten.
Omdat de frameworks verschillende doelen dienen, kunnen zij uitstekend naast elkaar bestaan.
Sterker nog: een goed ingericht ISO 27001-managementsysteem vormt vaak de ideale basis voor een succesvolle implementatie van SOC 2 of ISAE.
Conclusie: ISO 27001 is vaak pas het begin
Een van de belangrijkste inzichten uit het webinar is dat ISO 27001, hoe krachtig de norm ook is, voor veel organisaties niet het eindstation vormt.
Zodra uw organisatie internationaal groeit of klanten bedient die aanvullende assurance verlangen, wordt de vraag niet óf u een SOC 2- of ISAE-rapport nodig heeft, maar wanneer.
Een goede voorbereiding begint daarom vandaag.
Referenties
PECB Webinar
Video-opname
ISO/IEC 27001 vs SOC 2 vs ISAE 3000 – Choosing the Right Assurance Path for Your Organization (YouTube)
Presentatie
https://pecb.com/wp-content/uploads/2026/04/PECB-Webinar-ISO-27001-vs-SOC2-vs-ISAE3000-V2.pdf
Meer interessante PECB-webinars vindt u via: