AnnexOps Compliance
SOC-2-Compliance-Automatisierung: Nachweise, die Ihr CPA prüfen kann
AnnexOps verfolgt alle 61 Trust Services Criteria: Security (CC1 bis CC9) als verpflichtende Basis, dazu Availability, Confidentiality, Processing Integrity und Privacy als separate Kategorien, wenn Sie sie benötigen. Die Kriterien sind der gemeinsamen Control-Bibliothek zugeordnet, die bereits Ihre ISO/IEC-27001-Nachweise trägt – die Abdeckung ergibt sich also aus Controls, die Sie ohnehin betreiben. Nachweise per Lesezugriff. Per Hash-Kette gesicherte Datensätze.
Alle 61 TSC-Kriterien · 154 gemeinsame Controls verknüpft · Schreibgeschützter CPA Audit Room
So funktioniert die SOC-2-Automatisierung
Deterministisch, versioniert, von Ihrem CPA prüfbar
Regeln als Daten
Jede Prüfung läuft auf versionierten Regeln, die das belegte Trust Services Criterion nennen. Ein zweiter Auditor, der die Prüfung wiederholt, erhält dasselbe Ergebnis mit nachvollziehbarer Begründung. Kein LLM entscheidet über eine Einstufung oder ein Prüfergebnis.
Ableitung statt Ermessen
Die Plattform leitet aus den von Ihnen erfassten Fakten ab, was jedes Kriterium verlangt: Benutzer, Dienstleister, Vorfälle, Änderungen. Die Ermessensentscheidungen trifft Ihr Team, etwa ob ein Ereignis ein Vorfall nach CC7.3 wird oder ob eine Control-Ausnahme akzeptiert wird und warum.
Agenten entwerfen, Sie zeichnen ab
Agenten entwerfen und schlagen vor; sie entscheiden nicht. Jeder Vorschlag landet unter Freigaben. Kein Datensatz ändert sich, bevor eine namentlich benannte Person zustimmt, und jede Entscheidung wird zum Audit-Ereignis in der Kette.
Überprüfbare Nachweise
Konnektoren lesen ausschließlich Konfigurationsmetadaten. Jedes Artefakt wird gehasht und an ein per Hash-Kette gesichertes Protokoll angehängt. Manipulationen sind über den gesamten Type-2-Zeitraum erkennbar, nicht nur am Tag eines Screenshots.
Kernfunktionen
Sechs Dinge, die Ihr CPA sehen will
Nachweiserhebung per Lesezugriff
Konnektoren mit reinem Lesezugriff für GitHub, Amazon Web Services und Microsoft Entra ID erheben ausschließlich Konfigurationsmetadaten, niemals Inhalte. Jedes Artefakt erhält einen Zeitstempel, wird gehasht, an die Kette der jeweiligen Verbindung angehängt und den Controls zugeordnet, die Kriterien wie CC6.1 (logischer Zugang) und CC8.1 (Änderungsmanagement) belegen.
743 automatisierte Control-Prüfungen
Continuum führt 743 automatisierte Prüfungen gegen Ihre verbundenen Systeme aus und bewertet jedes Ergebnis anhand der für Sie relevanten SOC-2-Kriterien. Fehlgeschlagene Prüfungen erscheinen im Hub als Lücken, mit Angabe des zugeordneten Kriteriums; die Zuordnung von Prüfungen zu SOC-2-Kriterien ist noch ein Entwurf (siehe FAQ). Automatisierte Prüfungen stützen vor allem die Security-Kriterien CC1 bis CC9; die Zusatzkategorien beruhen derzeit überwiegend auf erfassten Nachweisen.
Alle 61 Kriterien, vorab zugeordnet
Der Hub verfolgt alle 61 Kriterien: 33 Security Common Criteria von CC1 bis CC9 sowie A1 Availability, C1 Confidentiality, PI1 Processing Integrity und P1 bis P8 Privacy als Zusatzkategorien. Jede Kategorie zeigt ihre bewertete Anforderungsabdeckung als Richtwert, mit aufgelisteten Lücken.
Eine Control-Bibliothek, viele Regelwerke
SOC-2-Kriterien sind mit 154 der 211 gemeinsamen Controls verknüpft – denselben Controls, die auch Verweise auf ISO/IEC 27001, NIS2 und DORA tragen. Nachweise hängen am Control, nicht am Regelwerk; die gesperrte SOC-2-Karte zeigt, wie viel Ihre vorhandenen Nachweise bereits abdecken.
Register für CC6, CC7 und CC9
Quartalsweise Zugriffsüberprüfungen für CC6.2 und CC6.3, Vorfälle für CC7.3 bis CC7.5 und Dienstleisterrisiken für CC9.2 laufen über die Personal-, Vorfall- und Lieferantenregister, die Sie bereits führen. Eine Überprüfung oder ein Vorfall wird einmal erfasst und zählt für jedes Regelwerk, das danach fragt.
Type-2-Zeitraum, CPA Audit Room
Legen Sie den Type-2-Beobachtungszeitraum fest, und der Hub verfolgt die Nachweise für diesen Zeitraum. Laden Sie Ihren CPA in den Audit Room ein: schreibgeschützt, ausschließlich auf SOC 2 beschränkt, endet zu dem von Ihnen festgelegten Datum. Stichtagsbezogene Nachweispakete und Compliance-Berichte ersetzen Screenshots.
Integrationen
Passt zu Ihrem bestehenden Tech-Stack
- GitHub
- Amazon Web Services
- Microsoft Entra ID
- Jira (Ticketing)
- SharePoint (Dokumentlinks)
- GitLab (demnächst)
- Microsoft Azure (demnächst)
- Google Cloud (demnächst)
- Okta (demnächst)
- Google Workspace (demnächst)
- Microsoft Intune (demnächst)
- Jamf (demnächst)
FAQ
Häufig gestellte Fragen und Antworten
Stellt AnnexOps den SOC-2-Bericht aus?
Nein. SOC 2 ist ein Prüfungsauftrag (Attestation) nach den AICPA-Attestation-Standards (AT-C 105 und AT-C 205), und nur eine zugelassene CPA-Firma stellt den Bericht und das Prüfungsurteil aus. Es gibt kein Zertifikat und keine Zertifizierungsstelle. AnnexOps ordnet Ihre Nachweise den 61 Trust Services Criteria zu, verfolgt den Type-2-Zeitraum und gibt Ihrem CPA einen schreibgeschützten Audit Room. Sie bringen Ihren eigenen Prüfer mit; einen Prüfer-Marktplatz gibt es nicht.
Zuerst Type 1 oder Type 2 – und wie lang muss der Beobachtungszeitraum sein?
Ein Type-1-Bericht deckt Ausgestaltung und Implementierung der Controls zu einem Stichtag ab; ein Type-2-Bericht ergänzt die operative Wirksamkeit über einen Zeitraum. Das AICPA schreibt keinen Mindestzeitraum vor, seine Leitlinien verweisen jedoch auf mindestens sechs Monate, und viele CPA-Firmen akzeptieren für einen ersten Bericht drei Monate. Bei jährlicher Berichterstattung sind zwölf Monate die Regel. Der abgedeckte Zeitraum steht in jedem Bericht. AnnexOps erfasst den mit Ihrem CPA vereinbarten Zeitraum und verfolgt die Nachweise dafür; was für den Zeitraum zählt, entscheidet Ihr CPA.
Wir betreiben bereits ISO/IEC 27001. Wie viel von SOC 2 decken diese Nachweise ab?
Das Produkt zeigt es Ihnen, statt zu schätzen. SOC-2-Kriterien sind mit 154 Controls derselben gemeinsamen Bibliothek verknüpft, die Ihre Verweise auf ISO/IEC 27001 Anhang A trägt. Eine unter A.5.18 erfasste Zugriffsüberprüfung belegt auch CC6.2 und CC6.3. Wenn Sie SOC 2 hinzufügen, zeigt die gesperrte Regelwerkskarte den Anteil der Kriterien, den Ihre vorhandenen Nachweise bereits abdecken – berechnet für Ihre Organisation. Er kann niedrig sein; geschätzt wird er nie.
Wurden die SOC-2-Inhalte von Fachexperten geprüft?
Die SOC-2-Inhalte in AnnexOps wurden von AnnexOps erstellt und im Produkt entsprechend gekennzeichnet; die Prüfung durch Fachexperten läuft. Die Kriterien selbst sind TSP Section 100 des AICPA – die Trust Services Criteria von 2017 mit den 2022 überarbeiteten Points of Focus –, referenziert über ihre Kennung. Inhalte zum EU AI Act und zur DSGVO wurden anwaltlich geprüft. Unsere Zuordnungen automatisierter Prüfungen zu SOC-2-Kriterien sind ebenfalls ein Entwurf.
