¿Qué es SOC 2 y por qué un SaaS B2B español que vende a USA termina pidiéndolo?
Marco de auditoría estadounidense (AICPA) basado en cinco criterios Trust Services. Es la certificación que más se pide para vender SaaS a empresas USA, especialmente en USA enterprise.
Actualizado mayo 2026
SOC 2: el informe de auditoría que las empresas USA piden a sus SaaS.
SOC 2 (System and Organization Controls 2) es un marco de auditoría desarrollado por el AICPA (American Institute of Certified Public Accountants) que evalúa los controles de una organización frente a cinco criterios Trust Services: Security, Availability, Processing Integrity, Confidentiality, Privacy. Security es obligatorio; el resto son opcionales según el negocio.
A diferencia de ISO 27001 que certifica un SGSI, SOC 2 produce un informe de auditoría firmado por una firma CPA. El informe describe el sistema, los controles y la opinión del auditor sobre su diseño y operación. Es válido durante el periodo auditado, no caduca a fecha fija como un certificado.
Existen dos tipos: SOC 2 Type I evalúa el diseño de los controles en un punto en el tiempo (foto fija). SOC 2 Type II evalúa la operación efectiva de los controles durante un periodo (típicamente 6-12 meses). Type II es el que pide enterprise USA — Type I sirve de paso intermedio o para clientes menos exigentes.
Es el estándar dominante en USA para SaaS B2B. Una pyme española que vende a clientes USA enterprise (banca, salud, tech grande) tarde o temprano se encuentra con que en la due diligence le piden el reporte. Se cruza con ISO 27001 (controles muy solapados), con NIS2 y con RGPD (criterio Privacy).
Los cinco criterios que SOC 2 puede evaluar
Security es obligatorio. Los demás se añaden según el negocio.
Security (Common Criteria)
Obligatorio en todo SOC 2. Protección frente a accesos no autorizados, monitorización, gestión de vulnerabilidades, respuesta a incidentes. Comparte mucho con ISO 27001.
Availability
Disponibilidad del sistema según SLA comprometido. Capacidad, redundancia, plan de recuperación ante desastres, monitorización de uptime. Importante para SaaS con SLA contractual.
Processing Integrity
El sistema procesa datos de forma completa, válida, exacta, oportuna y autorizada. Relevante en SaaS de transacciones, fintech, facturación, e-commerce.
Confidentiality
Protección de información clasificada como confidencial por contrato (NDAs, datos de cliente, IP). Cifrado, control de acceso, destrucción segura. Habitual en SaaS B2B.
Privacy
Tratamiento de datos personales según política de privacidad. Solapamiento parcial con RGPD pero criterios distintos. Relevante si manejas datos personales de consumidores.
Common Criteria (CC)
Subdivisiones del bloque Security: CC1 (entorno de control), CC2 (comunicaciones), CC3 (evaluación de riesgos), CC4 (monitorización), CC5 (control activities), CC6 (acceso lógico/físico), CC7 (operaciones), CC8 (gestión de cambios), CC9 (mitigación de riesgos).
Diferencias clave entre los dos tipos de informe
Cuál pedir y cuál entregar al cliente.
SOC 2 Type I — Diseño
Evalúa si los controles están diseñados adecuadamente en un momento concreto. Foto fija. Útil como paso intermedio o cliente poco exigente. Duración auditoría: 2-4 semanas. Coste menor.
SOC 2 Type II — Operación
Evalúa si los controles operan efectivamente durante un periodo (6-12 meses típico). Vídeo. Es el que pide USA enterprise. Hay que mantener evidencia continua de operación. Más exigente y útil.
Estrategia común
Primero Type I (2-4 meses preparación + auditoría), luego Type II tras 6 meses de operación. Algunas pymes saltan directo a Type II si están maduras. El reporte Type II reemplaza al Type I tras su emisión.
Renovación
Los informes SOC 2 no "caducan", pero los clientes esperan un informe Type II nuevo cada 12 meses. Periodo típico: año fiscal completo. Sin informe reciente, la confianza decae aunque técnicamente sigas siendo "compliant".
Bridge letters
Entre el final del periodo del último Type II y el siguiente reporte, los auditores emiten una bridge letter indicando que no hay cambios materiales. Eso da continuidad de confianza al cliente.
Quién audita
Solo firmas CPA estadounidenses acreditadas por AICPA. No vale ENAC ni auditores europeos sin acreditación. Big Four (PwC, EY, Deloitte, KPMG) son habituales. Firmas medianas como BDO, Grant Thornton, Schellman, A-LIGN son alternativa más asequible.
Cómo prepararse para SOC 2 Type II
Cinco fases. Plazo realista 9-15 meses para llegar a Type II.
Gap analysis y selección de criterios
Decidir qué Trust Services aplican (Security siempre + opcionales). Gap analysis: estado actual vs requisitos. Plan priorizado. 3-5 semanas.
Implantación de controles
Políticas, control de acceso, MFA, cifrado, monitorización, gestión de vulnerabilidades, copias de seguridad, plan de continuidad, formación. Plataformas como Vanta, Drata, Secureframe, Sprinto aceleran esta fase. 3-6 meses.
Auditoría Type I
Auditor CPA evalúa diseño de controles. Reporte Type I en 2-4 semanas. Sirve como hito comercial intermedio. Algunos clientes lo aceptan provisionalmente. 1-2 meses.
Operación con evidencia
Operar los controles durante <strong>6-12 meses</strong> recolectando evidencia: logs de accesos, tickets de cambios, formación realizada, simulacros de incidentes, revisiones periódicas. Aquí las plataformas ayudan muchísimo. 6-12 meses.
Auditoría Type II
Auditor CPA evalúa operación efectiva durante el periodo. Testing de muestras de evidencia. Reporte Type II en 4-8 semanas tras fin de periodo. Reporte se distribuye a clientes bajo NDA.
SOC 2 en el ecosistema de cumplimiento.
SOC 2 vs ISO 27001: solapamiento de controles del 70-80%. Diferencias: SOC 2 es reporte de auditoría, ISO 27001 es certificación; SOC 2 evalúa periodo, ISO 27001 fecha; SOC 2 lo emiten CPAs USA, ISO 27001 entidades acreditadas (ENAC en España). Muchas pymes SaaS B2B con foco USA + Europa terminan teniendo ambos.
SOC 2 vs NIS2: SOC 2 es voluntario y comercial, NIS2 es obligación legal europea con multas. Tener SOC 2 no exime de NIS2 si te aplica. El criterio Privacy de SOC 2 no es equivalente a RGPD aunque hay solapamiento.
Plataformas modernas como Vanta, Drata, Secureframe y Sprinto integran compliance as code: monitorización automática de controles, recolección continua de evidencia, dashboards para auditor. Reducen el coste de operación SOC 2 entre 30-60% frente a hacerlo a mano. Casi obligatorio en pymes.
En Magnetia ayudamos a SaaS B2B españoles a preparar SOC 2 Type II coordinando con plataformas de compliance y firmas CPA. Combinable con consultoría en proyectos con IA. Ver comparativa NIS2 vs ISO 27001 vs SOC 2.
Dudas que nos hacéis llegar
¿Te están pidiendo SOC 2 para cerrar contratos USA?
Hacemos diagnóstico de cuán cerca estás de SOC 2 Type II y plan realista. Coordinamos plataforma de compliance y firma CPA. Sin promesas vacías de "tres meses".