En SOC 2-rapport er en undersøgelse udført af en amerikansk autoriseret revisor efter de amerikanske attestationsstandarder. Den vurderer kontroller inden for fem kategorier: sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed og privatliv. Som modtager skal I finde ud af, hvilke af kategorierne rapporten dækker, om kontrollerne er testet over en periode, og om jeres ydelse er med.
Mange udenlandske cloud- og softwareleverandører svarer på en anmodning om dokumentation med en SOC 2-rapport. Den minder om de danske erklæringer, men den er lavet efter et andet regelsæt, og det er godt at kende forskellene, før I lægger den til grund.
Artiklen har et forbehold. Udstederens kriterier og vejledning til revisorer kræver køb eller konto og er ikke læst. Det, der står om rapportens typer, bygger på det tyske cybersikkerhedsagentur BSI’s beskrivelse.
Hvem står bag
SOC 2 udgives af AICPA, som også fastsætter kriterierne gennem et af sine udvalg. AICPA beskriver SOC 2 som en undersøgelse udført af en autoriseret, uafhængig revisor efter organisationens attestationsstandarder, som vurderer kontroller med betydning for sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed eller privatliv i en virksomheds systemer.
Kriterierne hedder Trust Services Criteria. Den gældende udgave er fra 2017 med reviderede fokuspunkter fra 2022, fastsat af et udvalg under AICPA. Systembeskrivelsen vurderes efter beskrivelseskriterier fra 2018, også med vejledning revideret i 2022. AICPA’s vejledning til revisorerne er opdateret pr. 15. oktober 2022.
Den 28. oktober 2026 sendte AICPA et forslag til nye kriterier i høring med frist 15. januar 2027. Vedtages forslaget, gælder de nye kriterier for opgaver, der begynder 31. december 2027 eller senere, med mulighed for at bruge dem før. Det er et forslag, og indholdet kan ændre sig.
AICPA nævner også SOC 3, som er en rapport til almindelig brug om de samme kategorier.
Type 1 og type 2
Ifølge BSI’s beskrivelse vurderer en SOC 2 type 1, om kontrollerne er udformet, så de opfylder kriterierne. En type 2 tester desuden, om de har virket i rapportens periode. BSI nævner SOC 2 som det amerikanske sidestykke til en erklæring efter ISAE 3000.
For jer er forskellen den samme som ved danske erklæringer. En type 1 siger noget om en dag. En type 2 har en periode og et afsnit med test og resultater, hvor eventuelle afvigelser står. Fremgangsmåden for den læsning står i sådan læser I erklæringen.
Hvilke kategorier er med?
Hvilke kategorier en konkret rapport dækker, står i rapportens indledning eller i revisors udtalelse. Som praksis slår I op, hvilke kategorier rapporten dækker, og holder dem op mod det, I bruger leverandøren til. Om AICPA’s regler tillader, at en rapport begrænses til et udvalg, er ikke læst hos AICPA, så det skriver vi ikke som en regel.
Et tænkt eksempel: I bruger en tjeneste til at behandle kundedata, og aftalen stiller krav om tilgængelighed. Dækker rapporten kun sikkerhed, siger den intet om de kontroller, der skal sikre oppetiden, og intet om privatliv.
Forskellen fra de danske erklæringer
De danske erklæringer om IT-kontroller afgives efter de internationale ISAE-standarder fra IAASB. SOC 2 afgives efter amerikanske attestationsstandarder af en amerikansk autoriseret revisor. Begge er revisorrapporter om kontroller hos en leverandør. Om de i praksis giver samme sikkerhed, afhænger af den konkrete rapport. Sammenligningen er vores tolkning.
To ting er nyttige at vide som dansk modtager. Det er vores tolkning, at en SOC 2-rapport om privatliv hverken er en vurdering af, om behandlingen lever op til databeskyttelsesforordningen, eller en certificering efter forordningens artikel 42. Kriterierne er fastsat i USA, og vi har ikke kunnet læse dem. Desuden er rapporten skrevet til alle leverandørens kunder og kender ikke jeres aftale. Efter Datatilsynets tilsynsvejledning skal tilsynet omfatte jeres egne behandlinger og de særlige krav, I har aftalt. Det gælder også, når beviset er en SOC 2-rapport.
Det, I slår op
- Type 1 eller type 2 · (Rapportens titel og revisors udtalelse)
- Periode eller dato · (Revisors udtalelse)
- Kategorier · (Indledningen eller udtalelsen)
- Ydelser og regioner · (Systembeskrivelsen)
- Underleverandører udeladt eller med · (Systembeskrivelsen)
- Kundens egne kontroller · (Systembeskrivelsen)
- Afvigelser · (Testafsnittet i type 2)
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen læser en lang rapport på engelsk og trækker de dele ud, der angår jeres ydelse. De oplysninger, der afgør sagen for jer, står få steder i rapporten.
Godtager I rapporten på navnet, kan I stå med dokumentation for kategorier, I ikke bruger, og ingen for dem, I gør. Ved en hændelse eller et tilsyn viser rapporten så, at leverandøren havde styr på noget andet end det, I var afhængige af.
Det skal I lade være med
- At læse SOC 2 som en vurdering efter databeskyttelsesforordningen · kriterierne er amerikanske.
- At antage, at alle fem kategorier er med · slå op, hvilke rapporten dækker.
- At bruge de foreslåede 2027-kriterier som gældende · de er i høring.
Det skal auditten kunne vise
- ☐ Rapportens type, periode og dækkede kategorier.
- ☐ At jeres ydelse og regioner står i systembeskrivelsen.
- ☐ Kundens egne kontroller, rapporten forudsætter.
- ☐ Afvigelser i testafsnittet og jeres vurdering af dem.
- ☐ De krav i jeres aftale, rapporten ikke dækker, og hvordan de kontrolleres.
Kilder
- AICPA & CIMA, SOC-oversigtssiden, læst 12. november 2026.
- AICPA & CIMA, SOC 2 Reporting on an Examination of Controls at a Service Organization (produktside), læst 12. november 2026.
- AICPA & CIMA, 2017 Trust Services Criteria (With Revised Points of Focus 2022), siden, læst 12. november 2026.
- AICPA, pressemeddelelse 28. oktober 2026 om forslag til opdaterede kriterier, læst 12. november 2026.
- BSI, C5 FAQ, afsnittet om SOC 2, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 5, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de dækkede kategorier i leverandørens SOC 2-rapport, og sæt dem op mod det, I bruger tjenesten til.
Læs også: Komplementære brugerkontroller · Audit af en udenlandsk leverandør
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
