¿Qué es un informe SOC 2?
Es el informe de un auditor independiente sobre la descripción del sistema de un proveedor de servicios y sus controles en seguridad, disponibilidad, integridad del procesamiento, confidencialidad o privacidad. Lo regula el AICPA, el instituto estadounidense de contables públicos, y sirve a los clientes del proveedor para valorar el riesgo de externalizarle un servicio.
SOC son las siglas de System and Organization Controls. Según el AICPA, es un conjunto de servicios que pueden prestar los contables públicos certificados (CPA) sobre los controles de una organización de servicios. Los criterios con los que se examina son los Trust Services Criteria de 2017, con los puntos de enfoque revisados en 2022, que fija el comité de aseguramiento del propio AICPA.
La guía del AICPA para el SOC 2 explica para qué existe: quien externaliza un servicio necesita información sobre el diseño, el funcionamiento y la eficacia de los controles del proveedor, y por eso los clientes y socios piden a menudo un informe SOC 2.
| Informe | Qué examina | Para quién es | Difusión |
|---|---|---|---|
| SOC 1 | Los controles que afectan a la información financiera de tus clientes | Tus clientes y los auditores de sus cuentas | Pensado para esos usuarios |
| SOC 2 | Seguridad, disponibilidad, integridad del procesamiento, confidencialidad o privacidad | Clientes y socios que necesitan valorar el riesgo del proveedor | Restringida a destinatarios concretos |
| SOC 3 | Las mismas categorías que el SOC 2, con menos detalle | Cualquiera | Uso general: se puede distribuir libremente |
¿Es lo mismo un informe SOC 2 que una certificación?
No. Un SOC 2 es un examen en el que un auditor independiente comprueba tus controles y lo deja escrito en un informe; no es un certificado de conformidad con una norma, como la ISO 27001. La revista del AICPA recuerda que «cumplimiento» es un término que no se usa en los exámenes SOC 2.
| Qué comparas | SOC 2 tipo 1 | SOC 2 tipo 2 | ISO/IEC 27001:2022 |
|---|---|---|---|
| Qué es | Informe de un auditor sobre el diseño de tus controles | Informe de un auditor sobre el diseño y la eficacia de tus controles | Certificado de que tu sistema de gestión cumple la norma |
| Quién lo firma | Un contable público certificado (CPA), con normas del AICPA | Igual que el tipo 1 | Una entidad de certificación acreditada |
| Qué mira | Un momento concreto | Un periodo: Google Cloud pone como ejemplo seis meses | El sistema dentro del alcance del certificado, con auditorías periódicas |
| De dónde sale | AICPA, Estados Unidos | AICPA, Estados Unidos | ISO e IEC, norma internacional |
| Versión vigente | Criterios de 2017, revisados en 2022 | Criterios de 2017, revisados en 2022 | La de 2022: los certificados de la versión 2013 dejaron de valer el 31-10-2025 |
El Journal of Accountancy, la revista del AICPA, lo dice al hablar de quienes prometen «cumplimiento» en semanas: es un término que nunca se usa en un examen SOC 2. Si alguien te ofrece «la certificación SOC 2», pregunta qué entrega exactamente: tiene que ser un informe firmado por una firma de CPA.
La fecha de la ISO importa si piensas enseñar un certificado en su lugar: el IAF MD 26:2023 cerró la transición a la versión 2022 el 31 de octubre de 2025. Qué hacer si lo que te piden es la ISO y tampoco la tienes, en me piden la ISO 27001 y no la tengo.
¿Qué diferencia hay entre un SOC 2 tipo 1 y un SOC 2 tipo 2?
El tipo 1 examina el diseño de tus controles en un momento concreto; el tipo 2, su diseño y su eficacia durante un periodo. Google Cloud lo explica con un ejemplo: un tipo 1 mira tus controles a día de hoy y un tipo 2, cómo funcionaron en los últimos seis meses.
Periodo de cobertura
Doce meses examinados
En los informes principales de Google Cloud, por ejemplo, del 1 de febrero al 31 de enero del año siguiente.
Al cerrar el periodo
El auditor emite el informe
Describe lo que pasó durante ese periodo, no lo que pasará después.
Publicación
El cliente lo descarga o lo pide
Google Cloud emite sus informes de tipo II cada trimestre, con periodos que se solapan.
Entre dos informes
Carta puente
Una declaración de la dirección del proveedor, no del auditor, que resume los cambios materiales desde el final del último periodo.
Fuente: Google Cloud, Cumplimiento del informe SOC 2, consultado el .
Las cartas puente cubren el hueco entre el final del último informe y la fecha que necesita tu cliente. Google Cloud las emite cada mes y dice para qué sirven. Ojo: las firma tu dirección, no el auditor, así que lo que digas en ellas es tu palabra, igual que en un cuestionario.
¿Quién puede emitir un informe SOC 2 para una empresa española?
Según el AICPA, el SOC 2 es un servicio que prestan contables públicos certificados (CPA) con las normas de atestación del propio AICPA. Antes de contratar, pregunta a la firma quién firmará el informe, con qué normas lo hará y cómo mantiene su independencia. Desconfía de quien lo prometa en pocas semanas.
El Journal of Accountancy publicó en febrero de 2026 un aviso para quien encarga un SOC 2: hay plataformas que prometen el informe en semanas o en horas, no son firmas de CPA y derivan el examen a otras que lo firman. Un informe de plantilla puede cumplir el contrato, pero si tu cliente lo rechaza, no te sirve de nada.
El propio AICPA dice en su página de los servicios SOC que está revisando denuncias sobre las prácticas de un proveedor de cumplimiento que vende servicios SOC, y pide que las organizaciones evalúen bien a quién se los encargan.
Pregúntale a la firma
- Quién firma el informe y si es una firma de CPA
- Con qué normas del AICPA se hace el examen
- Qué alcance cubre: servicios, sistemas y categorías de criterios
- Cómo selecciona las muestras que va a probar
- Cómo mantiene su independencia si te la recomienda una plataforma
Pregúntate a ti
- ¿Tu cliente acepta otra cosa, como la ISO 27001 o un cuestionario con pruebas?
- ¿Qué categorías te pide: solo seguridad o también disponibilidad y confidencialidad?
- ¿Tipo 1 o tipo 2, y para qué fecha lo necesita?
¿Por qué te pide tu cliente un SOC 2 y no la ISO 27001?
Porque el SOC 2 es un marco del AICPA estadounidense y, según el propio AICPA, los clientes de un proveedor de servicios lo piden a menudo para valorar sus controles. No es una ley ni la única forma de demostrarlo. Pregunta qué riesgo quieren cubrir y si aceptan la ISO 27001 o un cuestionario.
| Situación | Qué significa | Qué envías hoy |
|---|---|---|
| «Informe SOC 2 tipo 2», como requisito para firmar | Sin informe no cumples ese requisito | Pregunta si aceptan un plan con fecha; si no, el contrato espera a tu primer periodo |
| «SOC 2 o equivalente» | Aceptan otra acreditación | Tu certificado ISO 27001 o tu conformidad con el ENS si los tienes; si no, el paquete de controles y pruebas |
| «¿Tenéis SOC 2?», en un cuestionario | Una pregunta más entre muchas | «No», y qué controles tienes con su prueba |
| Una revisión de proveedor con su propio cuestionario | Quieren tus respuestas, no un informe | Las respuestas con evidencias, como en la plantilla |
Lo que obliga a tu cliente no es el SOC 2. Si está en la NIS2, tiene que tener en cuenta las vulnerabilidades y las prácticas de ciberseguridad de cada proveedor directo (artículo 21.3). En el estudio NIS Investments 2025 de ENISA, el 63 % de las organizaciones encuestadas exige a sus proveedores cumplir normas de seguridad y mantener certificaciones. Ninguna de las dos fuentes nombra el SOC 2.
¿Qué puedes enviar hoy si no tienes un informe SOC 2?
Lo que tu cliente pueda comprobar: tu certificado ISO 27001 si lo tienes, el cuestionario de seguridad respondido con evidencias, la política firmada por la dirección, la lista de controles con su estado y un plan con fechas. No sustituye al informe si el contrato lo exige literalmente, pero le da algo concreto que revisar.
Documentos
- Política de seguridad firmada y fechada por la dirección
- Descripción del servicio que prestas y de los sistemas que lo sostienen
- Lista de controles con su estado: puesto, en curso o no aplica
- Certificado ISO 27001 o declaración de conformidad con el ENS, si los tienes
Pruebas recientes
- Informe del antivirus gestionado en todos los equipos
- Registro de la última restauración de copias
- Captura de la política de doble factor
- Registro de formación del equipo
Compromiso
- Plan con fecha y responsable para lo que falta
- Persona de contacto para dudas de seguridad
La descripción del servicio no es un relleno: en un SOC 2 el auditor la evalúa con criterios propios del AICPA, así que escribirla ahora te sirve para los dos casos. Cómo contestar cada pregunta, en la plantilla de respuestas; qué hacer con lo que todavía no tienes, en qué responder si no cumples un control.
¿Cuánto se tarda en tener un SOC 2 tipo 2?
Meses. Primero hay que definir el alcance y preparar los controles; después viene el periodo de cobertura que examina el auditor, y el informe solo llega cuando ese periodo termina. No hay un coste público de referencia: lo fija cada firma según el alcance. Un tipo 1 puede ir antes.
¿Tu cliente acepta una alternativa al SOC 2?
- Sí
- Envía el paquete de controles y pruebas
- No
- Sigue con el examen
Define el alcance: qué servicio, qué sistemas y qué categorías de criterios
Prepara los controles y la descripción del sistema
¿Te basta un tipo 1 como primer paso?
- Sí
- Examen del diseño en una fecha
- No
- Empieza el periodo de cobertura del tipo 2
Al acabar el periodo, el auditor emite el informe
¿Qué parte del trabajo de la ISO 27001 te sirve para un SOC 2?
El trabajo de base: la política, el análisis de riesgos, la lista de controles y sus evidencias responden a preguntas que también hace un auditor de SOC 2. Pero son marcos distintos, con criterios y auditores distintos. El certificado ISO no se convierte en un informe SOC 2, ni al revés.
5
Categorías de criterios que puede cubrir un SOC 2: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad.
Si ya tienes un sistema de gestión, mira qué categorías te pide el cliente y compáralas con tu declaración de aplicabilidad. Qué es la norma y cuándo compensa, en ISO 27001 para pymes; qué documentos tiene un sistema así, en qué es un SGSI.
Con Talvit documentamos tu sistema de seguridad y reunimos las evidencias cada mes en tu dossier de evidencias. No emitimos informes SOC 2 ni somos una firma de CPA: el dossier te sirve para responder mientras tanto y es material de partida si decides encargar el examen. Más guías para cuando te piden garantías, en Clientes.
Lo que esta guía no cubre
- Cómo se hace un examen SOC 2 por dentro, que depende de la firma de CPA y de las normas del AICPA.
- Las normas internacionales de aseguramiento equivalentes (ISAE), que no hemos revisado para esta guía.
- El SOC 1 sobre información financiera y el SOC para la cadena de suministro.
Preguntas frecuentes
¿Puedo decir que «cumplo SOC 2» sin tener el informe?
No. Sin el examen de un CPA no hay nada que enseñar, y la frase se lee como si lo tuvieras. Di qué controles tienes y enséñalos.
¿Un informe SOC 2 caduca?
Cubre un periodo o una fecha concretos, y lo que pasa después ya no lo cubre. Google Cloud, por ejemplo, emite los suyos cada trimestre y usa cartas puente entre uno y otro.
¿Qué es un SOC 3?
Un informe sobre las mismas categorías que el SOC 2, con menos detalle. El AICPA lo considera de uso general: se puede distribuir libremente.
¿Tengo que pedir el SOC 2 a mis proveedores de nube?
Si tu servicio depende de ellos, te conviene tenerlo para tu propio cuestionario. Google Cloud, por ejemplo, permite a sus clientes descargarlo desde su administrador de informes de cumplimiento.
Fuentes
- AICPA & CIMA, System and Organization Controls: SOC Suite of Services, consultado el
- AICPA & CIMA, guía «SOC 2® Reporting on an Examination of Controls at a Service Organization» (actualizada el 15-10-2022), consultado el
- AICPA, 2017 Trust Services Criteria (con los puntos de enfoque revisados en 2022), consultado el
- AICPA, 2018 SOC 2® Description Criteria (revisados en 2022), consultado el
- AICPA & CIMA, SOC 1® for Service Organizations: ICFR, consultado el
- AICPA & CIMA, SOC 3® for Service Organizations: General Use Report, consultado el
- Journal of Accountancy (AICPA & CIMA), «Promises of ‘fast and easy’ threaten SOC credibility», febrero de 2026, consultado el
- Google Cloud, Cumplimiento del informe SOC 2, consultado el
- IAF MD 26:2023, transición a la ISO/IEC 27001:2022, consultado el
- Directiva (UE) 2022/2555 (NIS2), art. 21, consultado el
- ENISA, NIS Investments 2025 (8-12-2025), consultado el
Registro de cambios
- : Publicación.
