SOC 2 eller ISO 27001 för ditt startupbolag

Om du är grundare eller teknikchef i ett B2B-bolag har du hört meningen: skicka er SOC 2-rapport, annars kan vi inte skriva på. För många svenska SaaS-bolag är det första mötet med en amerikansk enterprise-kund också det första mötet med revisionsbranschen.

Säkerhetsrevision är inte längre något man tar i efterhand. Den är en grind till intäkter. Frågan är sällan om ni ska certifiera er, utan vilket ramverk som öppnar flest dörrar snabbast med den budget ni har. Väljer ni fel blir kostnaden inte bara pengarna, utan de sex månader ni hade kunnat sälja.

Kort svar: vilket ramverk behöver du?

Säljer du till nordamerikanska företag är SOC 2 det snabbaste sättet att komma vidare i upphandlingen.
Säljer du till Europa, offentlig sektor eller har kunder som kräver ISO i upphandlingen bör du satsa på ISO 27001.
Behöver du båda tar du SOC 2 först, eftersom det går fortare och omedelbart låser upp affärer.
Har du krav från båda hållen samtidigt bygger du kontrollerna en gång och kör revisionerna parallellt.

Skillnaden i sak är att SOC 2 beskriver hur väl ni gör det ni sagt att ni gör, medan ISO 27001 beskriver att ni har ett ledningssystem som styr informationssäkerheten över tid.

Vad SOC 2 faktiskt är

SOC 2 kommer från AICPA, den amerikanska organisationen för revisorer. Resultatet är inte ett certifikat utan en attesteringsrapport: en oberoende revisionsbyrå intygar att era kontroller är rätt utformade och, i den längre varianten, att de fungerat under en period.

Fem kriterier, ett obligatoriskt

Ramverket bygger på fem trust service-kriterier. Säkerhet, det vill säga common criteria, är det enda som krävs. Utöver det kan ni välja tillgänglighet, konfidentialitet, processintegritet och integritetsskydd.

De flesta startupbolag börjar med enbart säkerhetskriterierna. Tillgänglighet är vanligt när ni har avtalade drifttidsåtaganden, och integritetskriteriet efterfrågas allt oftare av kunder med GDPR-krav.

Typ I och typ II

En Typ I-rapport är en bedömning vid en tidpunkt: är kontrollerna rätt designade just nu? Den går att få på några månader och räcker för att komma vidare i en upphandling.

En Typ II-rapport täcker en period, normalt sex till tolv månader, och säger att kontrollerna faktiskt fungerat. Det är vad den mogna enterprise-kunden begär, och Typ I blir därför ofta ett mellansteg.

Vad revisorn begär in

Revisorn vill se bevis, inte beskrivningar. Vanliga underlag är loggar från kvartalsvisa genomgångar av privilegierad åtkomst, incidentrapporter som visar hur ärenden upptäcktes och stängdes, ärenden från ändringshanteringen som visar att säkerhetsgranskning skett före driftsättning, rapport från ett penetrationstest samt kvittens på att personalen genomgått utbildning.

Penetrationstestet är inte valfritt, och en automatiserad sårbarhetsskanning ersätter det inte. Bevisen måste dessutom samlas in löpande. Samlar ni allt veckan före revisionen syns det direkt i rapporten.

Vad ISO 27001 faktiskt är

ISO 27001 är en internationell standard från ISO och till skillnad från SOC 2 ett certifikat. Ni blir godkända eller underkända, och certifikatet gäller i tre år med årliga uppföljningsrevisioner och en full omcertifiering i slutet av perioden.

Ledningssystem, inte en checklista

Det som skiljer ramverken åt i praktiken är att ISO 27001 kräver ett ledningssystem för informationssäkerhet. Det betyder dokumenterad riskmetodik, en riskbehandlingsplan, en tillgångsförteckning med ägare, en tillämpningsförklaring, statement of applicability, som motiverar varje undantag, ledningens genomgång, ett internt revisionsprogram och styrande dokument för varje tillämplig kontroll.

Det är därför ISO 27001 tar längre tid. Ni bygger en organisation som ska fungera även när nyckelpersonen slutar.

Bilaga A i praktiken

Kontrollerna i Bilaga A är i den gällande versionen från 2022 ordnade i 93 kontroller över fyra teman: organisatoriska, personrelaterade, fysiska och tekniska. Äldre guider citerar fortfarande 114 kontroller i 14 områden, vilket var strukturen i 2013 års version.

De kontroller som oftast underskattas är tekniska sårbarhetskontroller, säkerhet i utvecklingsprocessen, leverantörsuppföljning och incidenthantering. Samtliga kräver rutiner som går att visa upp, inte bara intentioner.

Vad det kostar första året

Priserna varierar med omfattning och mognad. Riktmärken i kronor, räknat med en växelkurs kring tio och ett halvt:

SOC 2 första året: gap-analys, revisionsplattform, penetrationstest och revisionsarvode landar oftast mellan 350 000 och 680 000 kronor. En Typ I-revision ligger i den lägre delen, en Typ II med tolv månaders observationsperiod i den högre.
ISO 27001 första året: införande av ledningssystem, intern revision, penetrationstest och certifieringsrevision landar oftast mellan 430 000 och 920 000 kronor.

Till det kommer löpande kostnader: plattformsabonnemang, årliga uppföljningsrevisioner och den arbetstid internt som bevisinsamlingen kräver.

Tidslinje: vad som tar tid

En Typ I-rapport är realistisk inom tre till fem månader från start, förutsatt att ni har grundläggande kontroller på plats. En Typ II kräver ytterligare en observationsperiod på sex till tolv månader.

ISO 27001 tar normalt sex till tolv månader att nå fram till certifieringsrevision, beroende på hur mycket dokumentation som saknas.

Det som fördröjer mest är sällan tekniken. Det är beslut: vem som äger riskerna, vilka system som ingår i omfattningen och hur undantag ska motiveras.

Vanliga misstag vi ser

Att vänta till dess att kunden frågar. Då ligger ni tre till sex månader efter i planeringen och tappar affärer under tiden.
Att välja revisor på pris ensamt. Välj en byrå med vana från SaaS och molnbaserad drift, annars blir granskningen onödigt dyr i tid.
Att sakna bevis för åtkomstkontroller. Kvartalsvisa genomgångar av privilegierad åtkomst ska införas från dag ett, inte i efterhand. Vår checklista för avslut av anställda är en bra startpunkt för den rutinen.
Att hoppa över penetrationstestet. Båda ramverken kräver det, och en skanningsrapport godtas inte som ersättning.
Att behandla regelefterlevnad som ett projekt. Både Typ II och ISO 27001 mäter löpande arbete. Bevis som produceras i efterhand håller inte.

Strategin när du behöver båda

De flesta bolag i tillväxtfas behöver till slut båda ramverken, och då finns en genväg: överlappet på kontrollnivå är stort, uppskattningsvis tre fjärdedelar. Har ni byggt åtkomstkontroll, loggning, ändringshantering och incidenthantering för SOC 2 har ni grunden för ISO 27001 klar.

En ordning som fungerar i praktiken:

SOC 2 Typ I under de första månaderna, för att låsa upp nordamerikanska affärer.
Starta observationsperioden för Typ II och samla bevis löpande.
Bygg dokumentationen för ledningssystemet medan kontrollerna ändå är i drift.
Certifiera er mot ISO 27001 när observationsperioden är klar.

Att köra parallellt blir oftast billigare än två separata projekt, eftersom samma kontroller och bevis används två gånger.

Var penetrationstestet kommer in

Både SOC 2 och ISO 27001 förutsätter återkommande penetrationstester, och revisorn kontrollerar att de är gjorda av någon med rätt kompetens och att fynden är åtgärdade. Läs gärna vad ett penetrationstest kostar 2026 innan ni budgeterar.

Vanliga frågor

Kan SOC 2 ersätta ISO 27001 mot europeiska kunder? Ibland, om kundens krav handlar om åtkomstkontroll och dataskydd i allmänhet. Tyska, franska och nederländska inköpsteam begär dock ofta ISO 27001 uttryckligen. Är mer än en femtedel av er säljpipeline europeisk bör ni satsa på ISO.

Hur lång tid tar SOC 2 Typ I från noll? Med gap-analys, kontroller och revisionsplattform på plats är åtta till sexton veckor realistiskt, och revisionen tar två till fyra veckor.

Ersätter Vanta eller Drata en revisor? Nej. Plattformarna samlar och strukturerar bevis, men revisionen måste göras av en oberoende revisionsbyrå eller ett ackrediterat certifieringsorgan.

Måste vi ha en egen säkerhetschef? Nej. Många startupbolag klarar sig med en extern part som håller i ramverket och en intern ägare som har mandat att fatta beslut.

Vill ni veta vilket ramverk som öppnar flest dörrar för er just nu? Prata med teamet för en kostnadsfri avstämning av omfattning, tidplan och budget.

SOC 2 eller ISO 27001: vad ett startupbolag faktiskt behöver