SOC 2 czy ISO 27001 dla startupu? Porównanie

Jeśli prowadzisz startup B2B albo jesteś CTO, prawdopodobnie usłyszałeś już zdanie: „Prześlijcie raport SOC 2, inaczej nie podpiszemy umowy". W 2026 roku zgodność nie jest dodatkiem do oferty — jest warunkiem wejścia do działu zakupów dużego klienta.

Problem pojawia się, gdy budżet jest ograniczony, a roadmapa napięta. Oba standardy potwierdzają, że bezpiecznie obchodzisz się z danymi, i oba wymagają audytu, ale wybór niewłaściwego potrafi kosztować pół roku oraz kilkadziesiąt tysięcy dolarów, które nie zamieniły się w ani jedną umowę.

Krótka odpowiedź

Rynek północnoamerykański — SOC 2. To dokument, którego oczekują działy zakupów w USA i Kanadzie.
Europa, Azja, Bliski Wschód, sektor publiczny — ISO 27001. Certyfikat jest rozpoznawalny globalnie i często wymagany w przetargach.
Produkt z klientami enterprise w USA — SOC 2 najpierw, bo szybciej odblokowuje sprzedaż.
Sprzedaż do administracji publicznej — ISO 27001, zwykle jako warunek udziału w postępowaniu.

Praktyczna reguła: klienci w Ameryce Północnej — SOC 2, klienci w Europie — ISO 27001. Jeśli potrzebujesz obu, SOC 2 jest pierwszy, bo osiąga się go szybciej.

Czym jest SOC 2

SOC 2 (Service Organization Control 2) to framework AICPA, amerykańskiego stowarzyszenia biegłych księgowych. Nie kończy się certyfikatem, tylko raportem atestacyjnym: niezależna firma CPA potwierdza, że kontrole są dobrze zaprojektowane (typ I) i działają skutecznie w czasie (typ II).

Pięć kryteriów zaufania

Bezpieczeństwo — obowiązkowa podstawa: kontrola dostępu, monitoring, reagowanie na incydenty, zarządzanie zmianą.
Dostępność — deklaracje o czasie działania i wydajności usługi.
Poufność — ochrona informacji oznaczonych jako poufne.
Integralność przetwarzania — kompletność i poprawność danych.
Prywatność — obchodzenie się z danymi osobowymi zgodnie z polityką prywatności.

Większość startupów zaczyna od samego bezpieczeństwa. Dostępność dodają firmy z umowami SLA, a kryterium prywatności coraz częściej pojawia się u klientów objętych RODO.

Typ I i typ II

Typ I to ocena w jednym punkcie czasu: czy kontrole są dobrze zaprojektowane. Realne okno to dwa do czterech miesięcy i zwykle wystarcza, by odblokować pierwsze umowy. Typ II obejmuje sześć do dwunastu miesięcy i odpowiada na pytanie, czy kontrole faktycznie działały — tego oczekują dojrzali klienci enterprise.

Co realnie sprawdza audytor

Audytor poprosi o dowody dla każdej istotnej kontroli: logi przeglądów uprawnień uprzywilejowanych, rejestry incydentów, zgłoszenia zmian z potwierdzeniem przeglądu bezpieczeństwa, raport z testów penetracyjnych, oceny ryzyka dostawców krytycznych i potwierdzenia szkoleń. Dowody trzeba zbierać na bieżąco, nie w tygodniu przed audytem. Platformy pokroju Drata, Vanta czy Secureframe integrują się z repozytorium, dostawcą tożsamości i chmurą, żeby robić to automatycznie.

Czym jest ISO 27001

ISO 27001 to norma międzynarodowa. Daje wynik zerojedynkowy: certyfikat albo jego brak, wydawany na trzy lata, z audytami nadzorującymi co dwanaście miesięcy.

ISMS, czyli system, a nie lista kontroli

Sedno różnicy polega na tym, że ISO 27001 wymaga Systemu Zarządzania Bezpieczeństwem Informacji — udokumentowanego sposobu zarządzania ryzykiem w całej organizacji, obejmującego:

metodologię oceny ryzyka i plan postępowania z nim,
inwentarz aktywów z przypisanymi właścicielami,
Deklarację Stosowania, która mapuje kontrole z Załącznika A na realia firmy,
przegląd zarządczy z udziałem kierownictwa,
program audytu wewnętrznego,
polityki, procedury i zapisy dla każdej stosowanej kontroli.

Dlatego ISO 27001 trwa dłużej: budujesz system zarządzania organizacją, a nie zestaw punktowych zabezpieczeń.

Kontrole z Załącznika A

Wydanie z 2022 roku zawiera 93 kontrole w czterech obszarach: organizacyjnym, ludzkim, fizycznym i technologicznym. Startup działający w chmurze może wyłączyć część kontroli fizycznych, ale każde wyłączenie musi uzasadnić w Deklaracji Stosowania. Najczęściej niedoceniane są: zarządzanie podatnościami i proces łatania, bezpieczeństwo w procesie wytwarzania, ocena dostawców oraz ćwiczone procedury reagowania na incydenty.

Ile to kosztuje w pierwszym roku

Budżet warto planować w całości, nie tylko po stronie audytu.

SOC 2, realistycznie:

analiza luk i konsultacja przed audytem: 5–15 tys. USD,
platforma automatyzacji zgodności: 8–15 tys. USD rocznie,
testy penetracyjne, wymagane jako dowód: 8–15 tys. USD,
wynagrodzenie firmy CPA za audyt typu I: 12–20 tys. USD,
razem: 33–65 tys. USD.

ISO 27001, realistycznie:

wdrożenie ISMS z konsultantem: 15–35 tys. USD,
audyt wewnętrzny, obowiązkowy: 3–8 tys. USD,
testy penetracyjne: 8–15 tys. USD,
audyt certyfikacyjny w dwóch etapach: 15–30 tys. USD,
razem: 41–88 tys. USD.

Do tego w kolejnych latach dochodzi audyt nadzorujący w ISO 27001, zwykle 5–12 tys. USD, oraz pełna recertyfikacja w trzecim roku. Koszty rosną wraz z liczbą systemów w zakresie i liczbą pracowników.

Najczęstsze błędy startupów

Zbyt późne rozpoczęcie. Start dopiero wtedy, gdy klient poprosi o raport, oznacza trzy do sześciu miesięcy straty. Lepiej zacząć, gdy pojawia się pierwszy poważny klient enterprise.

Zły audytor. Nie każda firma CPA rozumie model SaaS. Warto wybrać taką, która regularnie pracuje z firmami technologicznymi.

Brak dowodów na kontrolę dostępu. To najczęstsze ustalenie audytowe. Kwartalne przeglądy uprawnień trzeba prowadzić od pierwszego dnia.

Pominięcie testów penetracyjnych. Oba frameworki ich wymagają i audytorzy to sprawdzają. Skan automatyczny nie zastępuje testu.

Traktowanie zgodności jak projektu jednorazowego. SOC 2 typ II i ISO 27001 wymagają zgodności operacyjnej, a dowody zbierane wyłącznie przed audytem nie wystarczą.

Strategia łączona: kiedy robić oba

Większość startupów w fazie wzrostu potrzebuje prędzej czy później obu. Na poziomie kontroli pokrycie obu frameworków wynosi około 75–80 proc. Jeśli masz kontrolę dostępu, logowanie, zarządzanie zmianą i reagowanie na incydenty pod SOC 2, fundament pod ISO 27001 już stoi.

Rekomendowana kolejność:

SOC 2 typ I (miesiące 1–4) — natychmiast odblokowuje umowy w Ameryce Północnej.
Okres obserwacji pod typ II (miesiące 4–12) — uruchamia zbieranie dowodów operacyjnych.
Budowa ISMS pod ISO 27001 (miesiące 6–12, równolegle) — dokumentacja powstaje, gdy kontrole już działają.
Certyfikacja ISO 27001 (miesiące 12–18) — na bazie programu zbudowanego pod SOC 2.

Taka ścieżka kosztuje zwykle 30–40 proc. mniej niż dwa osobne projekty prowadzone w odstępie roku.

Jak wygląda przygotowanie krok po kroku

Analiza luk — porównanie obecnych kontroli z wymaganiami frameworku i lista priorytetów.
Polityki — spisane językiem, którym zespół faktycznie się posługuje, nie kopiowane z szablonu.
Wdrożenie kontroli — od przeglądów dostępu po procedurę zgłaszania incydentów.
Testy penetracyjne — w SOC 2 to dowód w obszarze bezpieczeństwa, w ISO 27001 wynik kontroli zarządzania podatnościami. Potrzebny jest test z zakresem uzgodnionym na piśmie i raportem opisującym ścieżkę ataku. Ile to kosztuje, wyjaśniamy w materiale o cenach testów penetracyjnych.
Próbny audyt — wewnętrzny przegląd przed właściwą oceną, żeby wyłapać braki.
Audyt zewnętrzny — raport atestacyjny albo certyfikacja, a potem cykl utrzymania.

Najdłużej trwa nie audyt, lecz zmiana nawyków: przeglądy uprawnień, porządek w zgłoszeniach zmian i dokumentowanie decyzji. To one decydują, czy raport obroni się przed pytaniem klienta.

Najczęściej zadawane pytania

Czy SOC 2 wystarczy klientowi z Unii Europejskiej? Czasem tak, jeśli liczy się kontrola dostępu, a nie wymogi RODO. Działy zakupów w Niemczech, Francji i Holandii często proszą jednak wprost o ISO 27001. Jeśli ponad 20 proc. pipeline'u masz w Europie, wybierz ISO 27001.

Ile trwa SOC 2 typ I od zera? Gotowość zwykle w 8–16 tygodni, sam audyt w 2–4 tygodnie, czyli trzy do pięciu miesięcy od startu do raportu.

Czy Vanta albo Drata zastępują audytora? Nie. Zbierają i porządkują dowody. Ocena należy do niezależnej firmy CPA albo akredytowanej jednostki certyfikującej.

Czy certyfikat gwarantuje bezpieczeństwo? Nie. Potwierdza działający system i dowody jego utrzymania. Reszta zależy od konsekwencji w codziennej pracy.

Czy można zacząć od jednego frameworku i dołożyć drugi później? Tak i zwykle tak jest taniej. Pierwszy wybór powinien odpowiadać temu, gdzie są Twoi klienci, a nie temu, który standard brzmi poważniej.

Zgodność nie musi oznaczać etatu compliance officera. Jeśli chcesz sprawdzić, który framework realnie odblokuje Twoją sprzedaż i ile potrwa wdrożenie, możesz porozmawiać z zespołem o zakresie i harmonogramie.

SOC 2 czy ISO 27001: czego naprawdę potrzebuje startup