A supplier sends you a SOC 2 or ISAE 3402 report, and someone files it as "audited". The opinion on page 3 says the supplier's described controls worked, for the described scope, over a past period. Four pages decide whether that means anything for you: which type and period, what is in scope and what is carved out, the controls the auditor assumes you run, and the exceptions at the back. Een leverancier stuurt u een SOC 2- of ISAE 3402-rapport, en iemand archiveert het als "geauditeerd". Het oordeel op pagina 3 zegt dat de beschreven maatregelen van de leverancier werkten, binnen de beschreven reikwijdte, over een periode in het verleden. Vier pagina's bepalen of dat iets voor u betekent: welk type en welke periode, wat binnen de reikwijdte valt en wat is uitgesloten, de maatregelen die de auditor bij u veronderstelt, en de afwijkingen achterin.
Assurance reports come in two types, and the standards use the same split. A Type 1 report says the supplier's description is fair and its controls were suitably designed as at one date. A Type 2 report also says the controls operated effectively throughout a period, and shows the tests the auditor ran. ISAE 3402 says a Type 2 ordinarily covers at least six months. Only a Type 2 tells you something about what happened; a Type 1 tells you what was in place on one day. Then look at the dates. Nothing after the period end is covered, and you usually read the report months later. Suppliers fill that gap with a bridge letter: a statement by their own management that nothing material changed. Neither ISAE 3402 nor the AICPA standards define it, so it carries no auditor's opinion.
Business impact: a report is a photograph of the past, not a guarantee for next year. Worth asking three things before anyone reads page 2: is it a Type 2, what period does it cover, and how long after that period are we reading it? A supplier that offers only a Type 1, or a report older than a year, is telling you something too.
Assurancerapporten bestaan in twee typen, en de normen gebruiken dezelfde indeling. Een Type 1-rapport zegt dat de beschrijving van de leverancier klopt en dat de maatregelen per één datum goed waren opgezet. Een Type 2-rapport zegt ook dat de maatregelen gedurende een periode effectief werkten, en toont de tests die de auditor deed. ISAE 3402 stelt dat een Type 2 gewoonlijk minstens zes maanden beslaat. Alleen een Type 2 zegt iets over wat er is gebeurd; een Type 1 zegt wat er op één dag stond. Kijk daarna naar de data. Niets na het einde van de periode is gedekt, en u leest het rapport meestal maanden later. Leveranciers vullen dat gat met een overbruggingsbrief (bridge letter): een verklaring van hun eigen directie dat er niets wezenlijks is veranderd. Noch ISAE 3402, noch de normen van de AICPA kennen die brief, dus er zit geen oordeel van een auditor onder.
Bedrijfsimpact: een rapport is een foto van het verleden, geen garantie voor volgend jaar. Het is de moeite waard drie dingen te vragen voordat iemand pagina 2 leest: is het een Type 2, welke periode dekt het, en hoe lang na die periode lezen wij het? Een leverancier die alleen een Type 1 heeft, of een rapport ouder dan een jaar, zegt daarmee ook iets.
A convincing 90-page report is easy to generate. Check the auditor's name and licence, and that the opinion is signed by a firm, not pasted from a template.Een overtuigend rapport van 90 pagina's is makkelijk te genereren. Controleer de naam en vergunning van de auditor, en of het oordeel door een kantoor is ondertekend en niet uit een sjabloon komt.
An AI summary of the report tends to repeat the opinion and skip the dates. Ask it for the type, the period and the report date first, and verify them on page 1.Een AI-samenvatting van het rapport herhaalt meestal het oordeel en slaat de data over. Vraag eerst naar het type, de periode en de rapportdatum, en controleer die op pagina 1.
An AI tool can pull type, period, report date and auditor from every report in your supplier register and flag the ones older than twelve months.Een AI-tool haalt type, periode, rapportdatum en auditor uit elk rapport in uw leveranciersregister en markeert de rapporten ouder dan twaalf maanden.
The opinion covers exactly what the system description says, and nothing more. Three lines matter. Which services and locations are in scope: a supplier's "platform" report may not cover the module or the region you use. Which criteria were tested: a SOC 2 covers one or more of five categories (security, availability, processing integrity, confidentiality, privacy), so if availability is not named, uptime was not tested. And which subcontractors are carved out. Under the carve-out method the supplier's data centre or cloud provider is named in the description but its controls are excluded from the audit; you rely on that subcontractor's own report, if you ever see it. An ISO 27001 certificate is a different thing again: it says a management system meets the standard within a stated scope, and it does not list tests or exceptions. Certificates to the 2013 edition expired or were withdrawn on 31 October 2025 under IAF MD 26.
Business impact: a clean opinion on a scope that excludes your service is no assurance at all. One page, the scope and carve-out section, answers whether you are in it. Where a subcontractor is carved out, worth asking the supplier for that subcontractor's report, or for the contract clause that lets them see it.
Het oordeel dekt precies wat de systeembeschrijving zegt, en niets meer. Drie regels doen ertoe. Welke diensten en locaties binnen de reikwijdte vallen: het "platform"-rapport van een leverancier dekt niet altijd de module of de regio die u gebruikt. Welke criteria zijn getest: een SOC 2 dekt een of meer van vijf categorieën (beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid, privacy), dus als beschikbaarheid niet wordt genoemd, is de uptime niet getest. En welke onderaannemers zijn uitgesloten. Bij de carve-outmethode wordt het datacenter of de cloudaanbieder van de leverancier wel in de beschrijving genoemd, maar blijven zijn maatregelen buiten de audit; u leunt dan op het eigen rapport van die onderaannemer, als u dat ooit te zien krijgt. Een ISO 27001-certificaat is weer iets anders: het zegt dat een managementsysteem binnen een vastgelegde reikwijdte aan de norm voldoet, en het bevat geen tests of afwijkingen. Certificaten op de editie van 2013 zijn op 31 oktober 2025 verlopen of ingetrokken op grond van IAF MD 26.
Bedrijfsimpact: een goedkeurend oordeel over een reikwijdte waar uw dienst buiten valt, geeft geen enkele zekerheid. Eén pagina, de paragraaf over reikwijdte en uitsluitingen, vertelt of u erbinnen valt. Is een onderaannemer uitgesloten, dan is het de moeite waard de leverancier om het rapport van die onderaannemer te vragen, of om de contractbepaling die hem inzage geeft.
Suppliers bolt AI features onto existing products faster than audit scopes follow. The AI module you switched on this year is often outside last year's report.Leveranciers bouwen AI-functies sneller op bestaande producten dan auditreikwijdtes volgen. De AI-module die u dit jaar aanzette, valt vaak buiten het rapport van vorig jaar.
The AI model provider behind a supplier's feature is a subcontractor too, and usually carved out. Your data goes there; the report does not.De aanbieder van het AI-model achter een functie van uw leverancier is ook een onderaannemer, en meestal uitgesloten. Uw data gaat daarheen; het rapport niet.
An AI tool can compare the report's scope section with the services on your contract and list what is not covered. A person decides what to do about it.Een AI-tool kan de reikwijdteparagraaf naast de diensten in uw contract leggen en opsommen wat niet gedekt is. Een mens beslist wat daarmee gebeurt.
Every report lists complementary user entity controls: the things the supplier assumed you do when it designed the service, and which the auditor did not test. Typical lines: you decide who in your organisation gets access and remove leavers, you switch on multi-factor authentication, you review the supplier's logs and notifications, you approve changes to your configuration. ISAE 3402 defines them exactly that way. They are written in the auditor's words, and they rarely reach the people who run your side of the service. The same section lists complementary subservice organisation controls: what the supplier in turn assumes its subcontractors do.
Business impact: the report hands you a list of duties, and the opinion is conditional on them. Copy the list out, give each line an owner, and check it once a year with the report renewal. The shared-responsibility briefing draws the same line from the cloud side.
Elk rapport bevat een lijst complementary user entity controls: de dingen die de leverancier bij het ontwerp van de dienst bij u heeft verondersteld, en die de auditor niet heeft getest. Typische regels: u bepaalt wie in uw organisatie toegang krijgt en verwijdert vertrekkers, u zet multifactorauthenticatie aan, u bekijkt de logs en meldingen van de leverancier, u keurt wijzigingen in uw configuratie goed. ISAE 3402 definieert ze precies zo. Ze staan in de woorden van de auditor, en ze bereiken zelden de mensen die uw kant van de dienst beheren. Dezelfde paragraaf noemt de aanvullende maatregelen bij onderaannemers: wat de leverancier op zijn beurt bij zijn onderaannemers veronderstelt.
Bedrijfsimpact: het rapport geeft u een lijst met plichten, en het oordeel is daarvan afhankelijk. Schrijf de lijst over, geef elke regel een eigenaar, en loop hem eens per jaar na bij de vernieuwing van het rapport. De briefing over gedeelde verantwoordelijkheid trekt dezelfde lijn vanaf de cloudkant.
Attackers go for the untested side. A leaver who still has access, or an admin without MFA, is your line in the list, and the supplier's report says nothing about it.Aanvallers kiezen de niet-geteste kant. Een vertrekker die nog toegang heeft, of een beheerder zonder MFA, is uw regel in de lijst, en het rapport van de leverancier zegt er niets over.
AI agents and integrations get accounts on the supplier's service too. They are "users" in the auditor's sense, and your list applies to them as much as to people.AI-agents en koppelingen krijgen ook accounts op de dienst van de leverancier. Zij zijn "gebruikers" in de zin van de auditor, en uw lijst geldt net zo goed voor hen als voor mensen.
An AI tool extracts the list from each report and drafts the owner table. Assigning the names and checking the work stays with people.Een AI-tool haalt de lijst uit elk rapport en zet een eigenarentabel op. De namen toewijzen en het werk controleren blijft mensenwerk.
The results section lists each control, the test and the outcome. The auditor reports every deviation, even when the related objective was still met, so a clean opinion with exceptions is normal. Read each one for what it means to you: a missed access review in a quarter when your staff changed is your problem; a late patch on a module you don't use is not. Management's response next to an exception is their claim, not the auditor's finding. A qualified or adverse opinion means a control objective was not met; ask which one and what changed since. Then the things no report tests: how you configured the service, who you gave access to, and what the supplier may do with your data, including whether it uses your data to train AI models. Those live in your settings and your contract, not in the audit. The same goes for the "other information" section at the back: the auditor reads it for contradictions but gives no opinion on it.
Business impact: the exceptions are where the report earns its reading time. Worth asking for a one-page summary: each exception, whether it touches your service, management's response, and what you decided. A supplier breach in the period shows up here too, if the control that failed was tested.
De resultatenparagraaf noemt per maatregel de test en de uitkomst. De auditor rapporteert elke afwijking, ook als de bijbehorende doelstelling toch is gehaald, dus een goedkeurend oordeel met afwijkingen is normaal. Lees elke afwijking op wat zij voor u betekent: een gemiste toegangscontrole in een kwartaal waarin uw personeel wisselde is uw probleem; een late patch op een module die u niet gebruikt niet. De reactie van het management naast een afwijking is hun bewering, niet de bevinding van de auditor. Een oordeel met beperking of een afkeurend oordeel betekent dat een beheersdoelstelling niet is gehaald; vraag welke, en wat er sindsdien is veranderd. Dan de dingen die geen enkel rapport test: hoe u de dienst hebt ingericht, aan wie u toegang hebt gegeven, en wat de leverancier met uw data mag doen, inclusief of hij uw data gebruikt om AI-modellen te trainen. Die staan in uw instellingen en uw contract, niet in de audit. Hetzelfde geldt voor de "overige informatie" achterin: de auditor leest die op tegenstrijdigheden, maar geeft er geen oordeel over.
Bedrijfsimpact: bij de afwijkingen verdient het rapport zijn leestijd terug. Het is de moeite waard om een samenvatting van één pagina te vragen: elke afwijking, of zij uw dienst raakt, de reactie van het management, en wat u hebt besloten. Een inbraak bij de leverancier in de periode komt hier ook naar voren, als de maatregel die faalde is getest.
Whether a supplier trains models on your data is a contract and privacy question. No SOC 2 or ISAE 3402 tests it unless the supplier wrote it into its own commitments.Of een leverancier modellen traint op uw data is een contract- en privacyvraag. Geen SOC 2 of ISAE 3402 test dat, tenzij de leverancier het zelf in zijn toezeggingen heeft opgenomen.
An AI summary that says "no material exceptions" has made a judgement the auditor did not make. Ask for the list, not the verdict.Een AI-samenvatting die zegt "geen wezenlijke afwijkingen" velt een oordeel dat de auditor niet heeft geveld. Vraag om de lijst, niet om het verdict.
An AI tool can pull the exceptions from the results section and pair each with the service you use. Deciding what to do with them stays with your risk owner.Een AI-tool kan de afwijkingen uit de resultatenparagraaf halen en elk koppelen aan de dienst die u gebruikt. Beslissen wat ermee gebeurt blijft bij uw risico-eigenaar.
| Control | Addresses | In one line |
|---|---|---|
| Four-field check | Which report (01) | Type, period, report date and auditor recorded before anyone reads page 2. A bridge letter is noted as a management statement, not as cover. |
| Age limit | Which report (01) | A Type 1 only, or a period that ended more than twelve months ago, triggers a question to the supplier, not a tick in the box. |
| Scope map | Scope (02) | One line per service you use: in the report, carved out, or not covered. Which criteria were tested is written next to it. |
| Subcontractor's report | Scope (02) | Where the data centre or cloud provider is carved out, ask for its report or for the contract clause that gives your supplier the right to see it. |
| CUEC owner list | Your part (03) | Every complementary user entity control copied out of the report, with a named owner on your side, checked once a year. |
| Exception review | Exceptions (04) | Each exception rated for your service, management's response noted as a claim, qualified or adverse opinions escalated to the risk owner. |
| Contract gap | Exceptions (04) | What no report tests (your configuration, your access, data use, AI training) is settled in your settings and your contract instead. |
| Register entry | All | Supplier, report type, period, scope result, exceptions and your decision in the third-party register, with a renewal date. |
| Maatregel | Pakt aan | In één zin |
|---|---|---|
| Vier velden eerst | Welk rapport (01) | Type, periode, rapportdatum en auditor vastgelegd voordat iemand pagina 2 leest. Een overbruggingsbrief wordt genoteerd als verklaring van het management, niet als dekking. |
| Ouderdomsgrens | Welk rapport (01) | Alleen een Type 1, of een periode die meer dan twaalf maanden geleden eindigde, leidt tot een vraag aan de leverancier, niet tot een vinkje. |
| Reikwijdtekaart | Reikwijdte (02) | Eén regel per dienst die u gebruikt: in het rapport, uitgesloten of niet gedekt. Welke criteria zijn getest staat ernaast. |
| Rapport van de onderaannemer | Reikwijdte (02) | Is het datacenter of de cloudaanbieder uitgesloten, vraag dan om diens rapport of om de contractbepaling die uw leverancier inzage geeft. |
| CUEC-eigenarenlijst | Uw deel (03) | Elke complementary user entity control uit het rapport overgenomen, met een eigenaar met naam aan uw kant, eens per jaar nagelopen. |
| Beoordeling afwijkingen | Afwijkingen (04) | Elke afwijking beoordeeld voor uw dienst, de reactie van het management genoteerd als bewering, oordelen met beperking of afkeurende oordelen geëscaleerd naar de risico-eigenaar. |
| Contractgat | Afwijkingen (04) | Wat geen rapport test (uw inrichting, uw toegang, datagebruik, AI-training) regelt u in uw instellingen en uw contract. |
| Registervermelding | Alle | Leverancier, rapporttype, periode, reikwijdteresultaat, afwijkingen en uw besluit in het register van derde partijen, met een vernieuwingsdatum. |
Most organisations file the report and tick the box. The scope section, the list of controls assumed on your side and the exceptions are rarely read by the people who run the service.De meeste organisaties archiveren het rapport en zetten een vinkje. De reikwijdteparagraaf, de lijst met aan uw kant veronderstelde maatregelen en de afwijkingen worden zelden gelezen door de mensen die de dienst beheren.
False assurance. The supplier is breached or the service fails, and the report turns out to cover another scope or period. The regulator then asks what you did with it.Schijnzekerheid. De leverancier wordt gehackt of de dienst valt uit, en het rapport blijkt een andere reikwijdte of periode te dekken. De toezichthouder vraagt dan wat u ermee hebt gedaan.
With a scope map, an owned list of your controls and an exception review, the report does what it is for: it shows where the supplier's assurance ends and yours begins.Met een reikwijdtekaart, een lijst van uw maatregelen met eigenaren en een beoordeling van de afwijkingen doet het rapport waarvoor het is: het laat zien waar de zekerheid van de leverancier ophoudt en die van u begint.
The CISO or risk function owns the reading; the business owner of each supplier owns the controls assumed on your side.De CISO of de risk-functie is eigenaar van het lezen; de business-eigenaar van elke leverancier is eigenaar van de aan uw kant veronderstelde maatregelen.
Suppliers whose latest report is a Type 1 or older than twelve months · services you rely on that are carved out or not covered · complementary controls without an owner · exceptions touching your service without a recorded decision.Leveranciers waarvan het laatste rapport een Type 1 is of ouder dan twaalf maanden · diensten waarop u leunt die zijn uitgesloten of niet gedekt · aanvullende maatregelen zonder eigenaar · afwijkingen die uw dienst raken zonder vastgelegd besluit.
“A supplier's assurance report is accepted without checking type, period, scope, the controls assumed on our side and the exceptions, so that a control gap at the supplier or in our own use of the service stays unnoticed until an incident.”“Een assurancerapport van een leverancier wordt geaccepteerd zonder controle van type, periode, reikwijdte, de aan onze kant veronderstelde maatregelen en de afwijkingen, waardoor een gat in de beheersing bij de leverancier of in ons eigen gebruik van de dienst onopgemerkt blijft tot een incident.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | NIS2 requires supply chain security measures (Art. 21(2)(d)) and that you take into account the cybersecurity practices of each direct supplier (Art. 21(3)). A supplier's report is one way to show you did. In the Netherlands this runs through the Cyberbeveiligingswet, in force since 15 August 2026. | Check that the report covers the service your NIS2 duties depend on, and record what you concluded from it, exceptions included. | An incident at the supplier that affects your service can count as a significant incident if it meets the thresholds. Early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. |
| DORA | You remain fully responsible for your obligations when you outsource (Art. 28(1)(a)) and keep a register of information on all ICT contracts (Art. 28(3)). For critical or important functions the contract gives unrestricted access, inspection and audit rights, and the right to agree alternative assurance levels where other clients' rights are affected (Art. 30(3)(e)). DORA has applied since 17 January 2025. | A SOC 2 or ISAE 3402 can be part of those alternative assurance levels, but it does not replace the audit right in the contract. Record type, period, scope and exceptions in the register. | Classify promptly. Initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. |
| SOC 2 | Nothing of you; it is the supplier's report, against the AICPA's 2017 Trust Services Criteria (points of focus revised 2022). Criterion CC9.2 covers how the supplier manages its own vendors, which is where its carve-outs come from. | This briefing: Type 2, period and age, scope and carve-outs, the complementary user entity controls, the exceptions in the results section, and the "other information" at the back, which the opinion does not cover. | A supplier incident in the period appears as a deviation in the next report, if the control that failed was tested. Ask for interim disclosure in the contract. |
| ISAE 3402 | Nothing of you. It covers controls relevant to your financial reporting, so an ISAE 3402 says little about security beyond general IT controls. For security assurance, ask for a SOC 2 or an ISAE 3000 report. | A Type 2 ordinarily covers at least six months. Deviations are reported even where the objective was met. Check the scope, the carve-outs and the complementary user entity controls. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | NIS2 vraagt maatregelen voor de beveiliging van de toeleveringsketen (art. 21 lid 2 onder d) en dat u rekening houdt met de cyberbeveiligingspraktijken van elke directe leverancier (art. 21 lid 3). Het rapport van een leverancier is een manier om dat aan te tonen. In Nederland loopt dit via de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026. | Controleer of het rapport de dienst dekt waarvan uw NIS2-plichten afhangen, en leg vast wat u eruit hebt geconcludeerd, inclusief de afwijkingen. | Een incident bij de leverancier dat uw dienst raakt, kan als significant incident gelden als het de drempels haalt. Vroegtijdige waarschuwing binnen 24 uur na ontdekking, incidentmelding binnen 72 uur, eindverslag binnen een maand. |
| DORA | U blijft volledig verantwoordelijk voor uw verplichtingen als u uitbesteedt (art. 28 lid 1 onder a) en houdt een informatieregister bij van alle ICT-contracten (art. 28 lid 3). Voor kritieke of belangrijke functies geeft het contract onbeperkte toegangs-, inspectie- en auditrechten, en het recht om alternatieve zekerheidsniveaus af te spreken als de rechten van andere klanten in het geding zijn (art. 30 lid 3 onder e). DORA geldt sinds 17 januari 2025. | Een SOC 2 of ISAE 3402 kan deel uitmaken van die alternatieve zekerheidsniveaus, maar vervangt het auditrecht in het contract niet. Leg type, periode, reikwijdte en afwijkingen vast in het register. | Classificeer snel. Eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na ontdekking), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. |
| SOC 2 | Niets van u; het is het rapport van de leverancier, getoetst aan de Trust Services Criteria 2017 van de AICPA (aandachtspunten herzien in 2022). Criterium CC9.2 gaat over hoe de leverancier zijn eigen leveranciers beheerst, en daar komen zijn uitsluitingen vandaan. | Deze briefing: Type 2, periode en ouderdom, reikwijdte en uitsluitingen, de complementary user entity controls, de afwijkingen in de resultatenparagraaf, en de "overige informatie" achterin, waar het oordeel niet over gaat. | Een incident bij de leverancier in de periode komt als afwijking in het volgende rapport, als de maatregel die faalde is getest. Vraag in het contract om tussentijdse melding. |
| ISAE 3402 | Niets van u. De norm gaat over maatregelen die relevant zijn voor uw financiële verslaggeving, dus een ISAE 3402 zegt weinig over beveiliging buiten de algemene IT-beheersmaatregelen. Vraag voor beveiligingszekerheid om een SOC 2 of een ISAE 3000-rapport. | Een Type 2 beslaat gewoonlijk minstens zes maanden. Afwijkingen worden gerapporteerd, ook als de doelstelling is gehaald. Controleer de reikwijdte, de uitsluitingen en de complementary user entity controls. | ISAE 3402 schept geen meldplicht aan de auditors van gebruikers. Verwacht een afwijking in het volgende rapport en vraag in het contract om tussentijdse melding. |
Checked against: ISAE 3402 (IAASB, 2010; 2022 edition) paras 1, 9, 54, 55, A30, AICPA 2017 Trust Services Criteria (points of focus 2022) CC9.2, AICPA illustrative SOC 2 Type 2 report (SSAE 21, June 2022), AICPA SOC 1 (2026), IAF MD 26:2023 Issue 2 (15 Feb 2023), NIS2 Art. 21 and 23, DORA Art. 19, 28, 30 and 64, NCSC-NL (15 Aug 2026) · October 2026.
Gecontroleerd tegen: ISAE 3402 (IAASB, 2010; editie 2022) par. 1, 9, 54, 55, A30, AICPA Trust Services Criteria 2017 (aandachtspunten 2022) CC9.2, AICPA voorbeeldrapport SOC 2 Type 2 (SSAE 21, juni 2022), AICPA SOC 1 (2026), IAF MD 26:2023 Issue 2 (15 feb 2023), NIS2 art. 21 en 23, DORA art. 19, 28, 30 en 64, NCSC (15 aug 2026) · oktober 2026.