Der Auftraggeber verlangt SOC 2. Sie haben den Bericht nicht.
Die Frage des AuftraggebersBitte legen Sie einen aktuellen SOC 2 Type 2-Bericht für den angebotenen Service vor. Dies ist eine zwingende Anforderung.
Beantworten Sie zuerst die Nachweisfrage: Der verlangte Bericht ist nicht verfügbar. Roadmap, Bericht des Hosting-Anbieters oder anderes Prüfungsdokument sind nicht automatisch Ersatz. Klären Sie zulässige Ausnahmen im autorisierten Verfahren, bevor Sie das Angebot als zulässig behandeln.
Eine Antwort zum Anpassen
Wir können den verlangten SOC 2 Type 2-Bericht für [Rechtsträger und angebotener Service] zum [Antwortdatum] nicht bereitstellen. Diese Nachweisanforderung erfüllen wir daher derzeit nicht in der geforderten Form. Verfügbar sind [genaues Dokument, ausstellende Organisation, Umfang und Datum; weglassen, falls nichts vorliegt]. Diese Unterlagen bieten wir zur Bewertung an, nicht als gleichwertigen SOC-2-Bericht. [Nur wenn geprüft und freigegeben: Unser Prüfungsauftrag umfasst [Umfang] mit [aktueller Meilenstein]. Geplantes Berichtsdatum ist [freigegebene Schätzung], vorbehaltlich Abschluss und Ausstellung; ein Bericht wurde noch nicht ausgestellt.] Bitte bestätigen Sie über [zugelassener Klärungskanal], ob das Verfahren die Berücksichtigung von [genau bezeichnete alternative Nachweise oder Ausnahme] erlaubt und welche Genehmigungs- und Abgabebedingungen gelten. Bis eine autorisierte Änderung oder Ausnahme schriftlich bestätigt ist, führen wir die Anforderung weiterhin als nicht erfüllt.
Ersetzen Sie alle Angaben in eckigen Klammern durch belegte Fakten. Entfernen Sie optionale Sätze, die Sie nicht belegen können. Reichen Sie diese Formulierung nicht unverändert ein.
Was die Antwort belastbar macht
Benennen Sie die SOC-2-Nachweislücke genau, unterscheiden Sie Prüfungsplan und ausgestellten Bericht und klären Sie zulässige Alternativen vor einer Zusage.
Die Lücke über das Kürzel hinaus bestimmen
Prüfen Sie Berichtstyp, Rechtsträger, Service, Prüfungskategorien, Zeitraum und zulässiges Alter. Auch ein vorhandener Bericht kann ungeeignet sein, weil der angebotene Service ausgeschlossen oder der Zeitraum falsch ist. Die AICPA-Checkliste verlangt Prüfung von Systemabdeckung, Berichtszeitraum, Prüfungsurteil, Ausnahmen und ausgeschlossenen Unterdienstleistern. Behandeln Sie diese Punkte getrennt, nicht als logoabhängiges Ja/Nein.
Einen Projektmeilenstein nicht zur Prüfungsbestätigung machen
Ein Auftragsschreiben belegt einen Auftrag, kein ausgestelltes Prüfungsergebnis. Eine Bereitschaftsbewertung beschreibt Vorbereitung. Beides belegt keine operative Wirksamkeit im verlangten Zeitraum. Bei laufender Prüfung nennen Sie tatsächlichen Meilenstein und Verantwortlichen; versprechen Sie kein positives Urteil oder vom Prüfer unbestätigtes Lieferdatum. Halten Sie spekulative künftige Nachweise aus der aktuellen Erfüllungsspalte heraus.
Prüfungsnachweis und zugrunde liegende Kontrollen trennen
Ein fehlender Prüfungsnachweis sagt allein nicht, welche Kontrollen fehlen. Erläutern Sie nur belegbare Kontrollen. Umgekehrt begründen Kontrollen oder ISO-Zertifikat nicht die Existenz des geforderten SOC-2-Berichts. Der Bericht eines Hosting-Anbieters kann dessen Prüfung stützen; durch Beifügen wird er nicht zum Bericht Ihrer Serviceorganisation. Der Auftraggeber entscheidet gemäß Verfahren, was akzeptabel ist.
Vier Nachweiszustände. Vier unterschiedliche Antworten.
Nutzen Sie diese Einordnung vor dem Entwurf. Sie verhindert, dass jede schwierige Prüfungsfrage dieselbe vage Antwort „in Arbeit“ erhält.
- Kein Bericht ausgestellt
- Legen Sie das Fehlen offen. Suchen Sie nur verfahrensrechtlich zugelassene Alternativen; setzen Sie Vorbereitung nicht mit Prüfungsbestätigung gleich.
- Bericht vorhanden, falscher Umfang
- Benennen Sie Abweichung bei Rechtsträger, Service oder Kategorie. Erläutern Sie den ungedeckten Teil, statt einen ungeeigneten Bericht beizufügen.
- Berichtszeitraum ungeeignet
- Nennen Sie Daten und aktuelle verfügbare Nachweise. Eine zeitliche Aktualisierung ersetzt keine Prüfung.
- Verlangter Bericht verfügbar
- Prüfen Sie Weitergaberechte, Umfang und relevante Ausnahmen vor Erfüllungsbestätigung und Herausgabe der richtigen Version.
Die erforderlichen Nachweise
Anforderung und Ausnahmeweg des Auftraggebers
Bewahren Sie genaue Klausel, Dokumentversion, zwingende oder bewertete Einordnung, Fragenfrist und zugelassenen Abgabekanal auf. Beschaffen Sie veröffentlichte Klarstellungen oder autorisierte schriftliche Entscheidungen zu alternativen Nachweisen. Informelle Zusicherungen dürfen veröffentlichte Anweisungen nicht still ersetzen; der Angebotsverantwortliche klärt Befugnis und Einbindung der Entscheidung.
Ein belastbares Verzeichnis der Sicherheitsnachweise
Listen Sie ausgestellte Berichte, Umfang, Rechtsträger, Zeitraum, Freigabebeschränkungen und Verantwortliche. Nennen Sie zu jeder Alternative die beantwortbare Kontrollfrage und nicht belegte Punkte. Entfernen Sie vertrauliche Berichtsinhalte aus öffentlichen Unterlagen und vereinbaren Sie sicheren Austausch. Fordern Sie ein kontrolliertes Prüfungspaket an, nicht wahllos sämtliche internen Richtlinien.
Eine begrenzte, freigegebene Prüfungsstatusaussage
Beschaffen Sie gegebenenfalls den Umfang des unterzeichneten Auftrags, bestätigte erledigte Arbeiten und einen sicherheitsseitig freigegebenen Status. Kennzeichnen Sie Schätzungen ausdrücklich bedingt. Deckt ein vorhandener Bericht den Zeitraum nicht vollständig ab, suchen Sie aktuelle relevante Nachweise und prüfen die Anweisungen; ein Management-Update darf keine Prüfung eines neuen Zeitraums vortäuschen.
Die freizugebende Entscheidung
- Verantwortliche
- Sicherheits- oder Prüfungsverantwortlicher validiert Nachweise; der Angebotsverantwortliche steuert Zulässigkeit und Klärung; kaufmännische Verantwortung und Recht genehmigen vorgeschlagene Verpflichtungen.
- Fortfahren
- Fahren Sie nur fort, wenn die verlangten Nachweise die Anforderung erfüllen oder das autorisierte Verfahren die offengelegte Alternative oder Ausnahme ausdrücklich zulässt. Übernehmen Sie deren genauen Umfang und Bedingungen in die Antwort.
- Nicht fortfahren
- Ist ein unverändert zwingender Abgabenachweis nicht verfügbar, dokumentieren Sie eine unerfüllte Anforderung. Bessere Formulierungen schaffen keine Zulässigkeit; markieren Sie nicht allein zur Weiterverfolgung der Gelegenheit Konformität.
- Zur Entscheidung vorlegen
- Eskalieren Sie Unsicherheit zu Berichtsalter, Serviceabdeckung, Offenlegungsbeschränkungen oder Ausnahmebefugnis vor Abgabe. Eine unbeantwortete Frage ist keine Genehmigung.
Die Entscheidung in den Abgabeunterlagen sichern
Vergleichen Sie vor Freigabe Erfüllungszelle, Sicherheitstext, Ausnahmeliste und Nachweisanhänge. Sie müssen denselben Berichtsstatus und dieselbe Auftraggeberentscheidung beschreiben. REQVERAs abschließende Kontrolle betrifft Kohärenz zwischen Anforderungen, freigegebenen Nachweisen, Antworten und Dateien; dieses Beispiel zertifiziert keine Kontrollen und entscheidet keine Vergabezulässigkeit.
Den tatsächlichen Ablauf der Abschlussprüfung ansehenGeltungsbereich & maßgebliche Quellen
Illustrative Lieferantenantwort, keine Aussage über REQVERAs Prüfungsstatus. SOC-Referenzen stammen von AICPA; Akzeptanz und Verfahren hängen von der konkreten Ausschreibung ab. Kein Prüfungsurteil und keine Rechtsberatung. Ersetzen Sie jedes Klammerfeld durch geprüfte Angaben oder entfernen Sie den bedingten Satz.
- AICPA & CIMA — System and Organization Controls
Primärautorität für SOC-Prüfungsleistungen und aktuelle Hinweise zur Glaubwürdigkeit unzureichend durchgeführter Aufträge; geprüft am 11. Oktober 2026.
- AICPA — Illustrative SOC 2 Report Review checklist
Illustratives Werkzeug zu Berichtstyp und -zeitraum, Systemumfang, Prüfungsurteil, Kontrollausnahmen und ausgeschlossenen Unterdienstleistern. Keine Akzeptanzregel des Auftraggebers.