Ja, je kunt SOC 2 en ISO 27001 prima combineren. Beide standaarden hebben een grote overlap in eisen rondom informatiebeveiliging, waardoor je veel processen en documentatie voor beide doeleinden kunt gebruiken. Een gecombineerde aanpak bespaart tijd en kosten, en geeft je toegang tot verschillende markten. Veel internationale serviceproviders kiezen voor deze dual compliance om zowel Amerikaanse als Europese klanten te bedienen.

Wat is het verschil tussen SOC 2 en ISO 27001?

SOC 2 is een Amerikaanse audit-rapportage die specifiek ontwikkeld is voor serviceproviders, terwijl ISO 27001 een internationale certificering is voor informatiebeveiliging. Het grootste verschil zit in het eindresultaat: bij SOC 2 ontvang je een assurance rapport, bij ISO 27001 krijg je een certificaat.

SOC 2 is ontwikkeld door de AICPA (American Institute of CPAs) en richt zich op vijf Trust Services Criteria: beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy. Alleen het beveiligingsprincipe is verplicht, de overige vier zijn optioneel afhankelijk van jouw dienstverlening. De scope wordt vooraf bepaald door deze criteria, en het rapport beschrijft hoe jouw organisatie met deze aspecten omgaat.

ISO 27001 daarentegen is een internationale norm voor Information Security Management Systems (ISMS). Deze standaard is breder toepasbaar en niet specifiek gericht op serviceproviders. Je bouwt een systematisch framework op voor informatiebeveiliging, en een externe certificerende instelling beoordeelt of je aan de norm voldoet. Het certificaat is drie jaar geldig, met jaarlijkse heraudits.

Bedrijven krijgen met SOC 2 te maken wanneer ze diensten leveren aan Amerikaanse klanten of aan organisaties die Amerikaanse compliance eisen hanteren. ISO 27001 wordt vooral gevraagd door Europese klanten en is vaak een eis bij aanbestedingen en leveranciersselecties. Cloud providers, SaaS-bedrijven en managed service providers zien regelmatig beide vragen voorbijkomen.

Waarom zou je beide standaarden willen combineren?

De belangrijkste reden om beide te combineren is markttoegang. Met alleen SOC 2 mis je kansen in Europa, met alleen ISO 27001 loop je tegen beperkingen aan in de Amerikaanse markt. Door beide aan te kunnen tonen, open je deuren bij een veel bredere klantenbasis.

Internationale cloud providers en SaaS-bedrijven hebben vaak te maken met diverse klanteisen. Amerikaanse enterprise klanten vragen standaard om een SOC 2 verklaring, terwijl Europese corporates ISO 27001 certificering verwachten. Als je beide hebt, hoef je geen klanten te weigeren of uit te leggen waarom je alleen het ene hebt.

Een ander voordeel is geloofwaardigheid. Beide standaarden laten zien dat je informatiebeveiliging serieus neemt, maar vanuit verschillende invalshoeken. SOC 2 biedt transparantie over je operationele beheersmaatregelen, ISO 27001 toont een systematische managementaanpak. Samen geven ze een completer beeld van jouw beveiligingspositie.

Ook risicospreiding speelt een rol. Als één van beide standaarden in de toekomst minder relevant wordt of als eisen veranderen, heb je altijd nog de andere. Je bent minder afhankelijk van één framework en kunt flexibeler inspelen op veranderende marktverwachtingen.

Voor datacenter operators en IT outsourcing bedrijven is dual compliance vaak geen luxe maar noodzaak. Hun klanten opereren internationaal en stellen eisen vanuit verschillende juridische en compliance kaders. Met beide certificeringen voorkom je dat je potentiële opdrachten misloopt.

Wat zijn de overlappende eisen tussen SOC 2 en ISO 27001?

De overlap tussen SOC 2 en ISO 27001 is aanzienlijk, vooral op het gebied van risicomanagement, toegangscontrole en incidentmanagement. Beide frameworks vragen om vergelijkbare processen en documentatie, wat gecombineerde implementatie efficiënt maakt.

Risicomanagement vormt de basis van beide standaarden. ISO 27001 vereist een systematische risk assessment waarbij je bedreigingen identificeert, risico’s analyseert en maatregelen neemt. SOC 2 vraagt hetzelfde: welke potentiële bedreigingen zijn er voor jouw systemen, hoe groot zijn de risico’s, en wat doe je eraan? Je kunt één risk assessment uitvoeren dat beide frameworks bedient.

Toegangscontrole is een ander groot overlappend gebied. Beide standaarden eisen dat toegang tot data, software en applicaties beperkt is tot geautoriseerde personen. Je hebt systemen nodig om inlogpogingen te monitoren, procedures voor het toekennen en intrekken van rechten, en controles op fysieke toegang tot serverruimtes. Eén set toegangscontroles voldoet aan beide frameworks.

Voor incidentmanagement geldt hetzelfde. Je moet beveiligingsincidenten kunnen detecteren, erop reageren, de impact beperken en leren van wat er gebeurd is. Of je nu een SOC 2 audit of ISO 27001 certificering nastreeft, je incident response proces kan identiek zijn.

Change management is ook gemeenschappelijk. Systeemwijzigingen moeten gecontroleerd verlopen, met goedkeuringsprocedures, testfasen en communicatie naar betrokkenen. Beide standaarden vragen om deze structuur, dus je change management framework werkt voor beide doeleinden.

Monitoring en logging vormen een laatste belangrijk overlappend gebied. Je moet kunnen aantonen dat je systemen bewaakt, afwijkingen detecteert en logs bijhoudt voor analyse. De technische implementatie hiervan verschilt niet tussen SOC 2 en ISO 27001.

De grootste overlap zit in operationele security controls. Waar ISO 27001 meer nadruk legt op het managementsysteem en continue verbetering, en SOC 2 meer focus heeft op transparantie richting klanten, zijn de onderliggende beveiligingsmaatregelen grotendeels hetzelfde.

Hoe pak je een gecombineerde implementatie praktisch aan?

Begin met een gap analysis voor beide standaarden tegelijk. Breng in kaart waar je nu staat, wat er ontbreekt voor SOC 2, en wat er nog nodig is voor ISO 27001. Dit geeft je een compleet overzicht van alle implementatieacties, en je ziet meteen waar de overlap zit.

Identificeer vervolgens de overlappende controls. Maak een matrix waarin je de SOC 2 Trust Services Criteria naast de ISO 27001 Annex A controls legt. Markeer waar ze hetzelfde vragen, zodat je weet welke processen en documentatie je voor beide kunt gebruiken. Dit voorkomt dubbel werk.

Bouw een geïntegreerd ISMS op dat beide frameworks bedient. In plaats van aparte systemen voor SOC 2 en ISO 27001, creëer je één Information Security Management System dat aan beide voldoet. Je risicoregister, je beleidsdocumenten, je procedures: allemaal zo opgezet dat ze beide standaarden dekken.

Documenteer eenmalig voor beide doeleinden. Schrijf je beveiligingsbeleid, toegangscontroleprocedures en incident response plannen zo dat ze voldoen aan zowel SOC 2 als ISO 27001 eisen. Dit vraagt vooraf wat extra denkwerk, maar scheelt enorm veel onderhoud later.

Plan je audits strategisch. Een SOC 2 audit kun je als type I (ontwerp) of type II (effectiviteit over tijd) laten uitvoeren. ISO 27001 heeft een certificeringsaudit en jaarlijkse surveillance audits. Probeer de timing af te stemmen, zodat auditors niet kort na elkaar dezelfde processen beoordelen. Sommige organisaties plannen beide audits in dezelfde periode, wat efficiënt is voor je team.

Gebruik één centrale locatie voor documentatiebeheer. Of dat nu een GRC-tool is of een goed georganiseerde SharePoint omgeving, zorg dat alle beleidsregels, procedures en bewijsmateriaal op één plek staan. Tag documenten met labels voor SOC 2 en ISO 27001, zodat je snel kunt vinden wat voor welke audit nodig is.

Plan voldoende resources in. Ook al is gecombineerde implementatie efficiënter dan apart, het blijft een forse inspanning. Zorg dat je een projectleider hebt die beide frameworks begrijpt, betrek je IT-team vroeg, en regel managementcommitment voor de benodigde tijd en budget.

Wat kost het om SOC 2 en ISO 27001 tegelijk te implementeren?

Een gecombineerde aanpak is meestal goedkoper dan beide apart implementeren, dankzij de grote overlap in werkzaamheden. Je bespaart op consultancy, interne resources en documentatiewerk, omdat je veel processen slechts één keer hoeft in te richten.

Auditkosten vormen een substantieel deel van de investering. Voor SOC 2 betaal je een auditor die jouw controls beoordeelt en een rapport opstelt. Voor ISO 27001 betaal je een certificerende instelling voor de certificeringsaudit en jaarlijkse surveillance audits. Deze kosten zijn lastig te combineren omdat het verschillende partijen zijn, maar je bespaart wel op voorbereiding.

Consultancy kosten hangen af van je startpositie. Als je weinig op orde hebt, heb je begeleiding nodig bij het opzetten van je ISMS, het schrijven van beleid en het implementeren van controls. Een ervaren consultant die beide frameworks kent, kan je helpen om alles meteen goed op te zetten voor dual compliance. Dat is efficiënter dan twee aparte trajecten.

Interne resources vormen vaak de grootste kostenpost, al wordt die soms onderschat. Je team moet tijd steken in het implementeren van maatregelen, het documenteren van processen, het verzamelen van bewijsmateriaal en het voorbereiden van audits. Bij gecombineerde aanpak doe je dit werk één keer in plaats van twee keer.

Tooling kosten variëren sterk. Je hebt mogelijk software nodig voor vulnerability scanning, log management, access control of GRC-processen. Deze tools gebruik je voor beide frameworks, dus die kosten stapel je niet op.

Certificeringskosten zijn specifiek voor ISO 27001. De certificerende instelling rekent voor de initiële audit en jaarlijkse heraudits. Deze kosten schalen met de grootte van je organisatie en de complexiteit van je scope.

Factoren die kosten beïnvloeden zijn je organisatiegrootte (meer medewerkers betekent meer werk), de complexiteit van je IT-omgeving (meer systemen vragen meer controls), en je huidige volwassenheidsniveau (als je al veel op orde hebt, is de stap kleiner). Een klein SaaS-bedrijf met een eenvoudige infrastructuur heeft minder werk dan een grote managed service provider met complexe klantomgevingen.

Jaarlijkse kosten blijven bestaan na de initiële implementatie. ISO 27001 vereist jaarlijkse surveillance audits en hercertificering na drie jaar. SOC 2 rapporten zijn meestal een jaar geldig, dus je doet jaarlijks een nieuwe audit. Houd hier rekening mee in je meerjarenbegroting.

Welke valkuilen moet je vermijden bij dual compliance?

De grootste fout is te veel focus op één standaard ten koste van de ander. Sommige organisaties richten zich volledig op SOC 2 omdat hun grootste klant daarom vraagt, en behandelen ISO 27001 als bijzaak. Of andersom. Het resultaat is dat één framework goed geïmplementeerd is en de ander hinkt achterop.

Documentatie die niet beide frameworks bedient, is een veelvoorkomende valkuil. Je schrijft een beveiligingsbeleid specifiek voor SOC 2, en later blijkt dat het niet alle ISO 27001 eisen dekt. Dan moet je alles herschrijven. Voorkom dit door vanaf het begin beide standaarden in je documentatiestructuur te verwerken.

Verkeerde timing van audits kan leiden tot onnodige stress. Als je de SOC 2 audit plant in januari en de ISO 27001 certificering in maart, heeft je team twee maanden achter elkaar auditdruk. Beter is om meer ruimte te nemen, of juist beide audits dichter bij elkaar te plannen zodat de voorbereiding overlapt.

Onderschatting van benodigde resources is een klassieke fout. Dual compliance klinkt efficiënt (en dat is het ook), maar het blijft een forse inspanning. Je team moet tijd vrijmaken, management moet betrokken blijven, en er zijn kosten. Organisaties die dit onderschatten, lopen vast halverwege het traject.

Gebrek aan management commitment ondermijnt het hele project. Als de directie dual compliance ziet als een IT-project in plaats van een strategische keuze, krijg je onvoldoende budget, te weinig prioriteit en beperkte medewerking van afdelingen. Zorg dat management begrijpt waarom beide standaarden belangrijk zijn en wat ervoor nodig is.

Een andere valkuil is auditors kiezen die maar één framework goed kennen. Voor SOC 2 heb je een auditor nodig die de Trust Services Criteria door en door kent. Voor ISO 27001 heb je een certificerende instelling nodig met ervaring in jouw sector. Als je auditors niet begrijpen hoe beide frameworks zich tot elkaar verhouden, mis je kansen voor efficiëntie.

Organisaties die dual compliance eerder doorliepen, benadrukken het belang van een geïntegreerde aanpak vanaf dag één. Begin niet met SOC 2 en voeg later ISO 27001 toe, want dan bouw je twee keer. Plan beide vanaf het begin, investeer in goede voorbereiding, en betrek je hele organisatie. Dat voorkomt de meeste valkuilen en levert een solide basis voor beide standaarden.

Klaar voor dual compliance?

SOC 2 en ISO 27001 combineren geeft je toegang tot internationale markten en versterkt je geloofwaardigheid. De overlap in eisen maakt gecombineerde implementatie efficiënter dan twee aparte trajecten. Met goede planning, geïntegreerde documentatie en strategische audit timing, haal je beide standaarden zonder dubbel werk.

De investering loont vooral voor serviceproviders met internationale ambities. Je bedient zowel Amerikaanse als Europese klanten, toont informatiebeveiliging vanuit verschillende invalshoeken, en bouwt een robuust beveiligingsframework dat meerdere compliance eisen dekt.

Bij Hoek en Blok IT begeleiden we organisaties bij zowel SOC 2 verklaringen als ISO 27001 implementaties. Onze pragmatische aanpak helpt je om beide standaarden efficiënt te combineren, zodat je klanten kunt overtuigen met de juiste assurance rapporten en certificeringen. We denken graag met je mee over welke aanpak het beste past bij jouw organisatie en ambities. Neem contact op om de mogelijkheden te bespreken.

SOC 2 is niet wettelijk verplicht voor managed service providers in Nederland of Europa, maar het wordt steeds vaker een marktverwachting. Klanten eisen aantoonbare beheersing van IT-risico’s, en een SOC 2 verklaring biedt dat bewijs. Of je er nu aan moet beginnen hangt af van je klantenkring, groeistrategie en de eisen die je tegenkomt in offertetrajecten.

Wat is SOC 2 certificering eigenlijk?

SOC 2 is een assurance verklaring die bevestigt dat je als serviceprovider adequate beheersmaatregelen hebt ingericht rondom IT-beveiliging en privacy. De verklaring wordt afgegeven door een onafhankelijke auditor na beoordeling van je processen en systemen. Het gaat hier dus om een verklaring, geen certificaat in de traditionele zin.

Er bestaan twee varianten: SOC 2 Type I en SOC 2 Type II. Bij Type I beoordeelt de auditor of je beheersmaatregelen op een specifiek moment adequaat zijn ingericht. Type II gaat een stap verder en toetst of die maatregelen ook daadwerkelijk gedurende een langere periode (minimaal drie tot zes maanden) effectief hebben gewerkt.

De SOC 2 verklaring is gebaseerd op vijf vertrouwenscriteria die samen bepalen hoe betrouwbaar jouw dienstverlening is:

• Security: bescherming tegen ongeautoriseerde toegang tot systemen en data
• Availability: zorgen dat systemen beschikbaar zijn wanneer klanten ze nodig hebben
• Processing integrity: garanderen dat systemen correct, tijdig en geautoriseerd werken
• Confidentiality: beschermen van vertrouwelijke bedrijfsinformatie zoals prijslijsten of intellectueel eigendom
• Privacy: omgaan met persoonsgegevens volgens privacyverklaringen en algemeen aanvaarde privacy principes

Niet elk bedrijf heeft alle vijf criteria nodig. Je kiest samen met je auditor welke criteria relevant zijn voor jouw dienstverlening. Security is altijd verplicht, de andere vier zijn optioneel afhankelijk van wat je klanten van je verwachten.

Waarom vragen klanten steeds vaker om SOC 2 van hun MSP?

Klanten besteden steeds meer bedrijfskritische processen uit aan managed service providers. Daarmee nemen ze ook risico’s over die ze moeten kunnen verantwoorden aan hun eigen stakeholders, toezichthouders of klanten. Een SOC 2 verklaring helpt hen om die verantwoording af te leggen.

De toename van cybersecurity risico’s speelt hierin een grote rol. Datalekken, ransomware-aanvallen en andere incidenten bij leveranciers kunnen direct impact hebben op de bedrijfsvoering van jouw klanten. Ze willen daarom zekerheid dat je adequate maatregelen hebt getroffen om hun data en systemen te beschermen.

Supply chain security staat hoog op de agenda bij veel organisaties. Ze realiseren zich dat hun eigen beveiligingsmaatregelen weinig uithalen als hun leveranciers een zwakke schakel vormen. Door SOC 2 compliance te eisen, vertalen ze hun eigen beveiligingseisen door naar de hele keten.

Ook contractuele verplichtingen spelen mee. Veel organisaties moeten zelf aantonen dat ze hun risico’s beheersen, bijvoorbeeld voor hun eigen certificeringen of toezichthouders. Ze kunnen dat alleen doen als hun leveranciers ook aantoonbare beheersing hebben. Een SOC 2 verklaring maakt dat proces eenvoudiger.

Voor inkoopafdelingen is het bovendien een praktisch selectiecriterium. Bij het beoordelen van meerdere aanbieders in een offertetraject biedt een SOC 2 verklaring direct inzicht in de betrouwbaarheid van een leverancier. Het scheelt hen tijd en moeite in het uitvoeren van hun eigen due diligence.

Is SOC 2 certificering wettelijk verplicht voor managed service providers?

Nee, SOC 2 is niet wettelijk verplicht in Nederland of ergens anders in Europa. Er bestaat geen wet of regelgeving die je dwingt om een SOC 2 verklaring te hebben. Dit in tegenstelling tot bijvoorbeeld de AVG, die wel juridisch verplichte maatregelen voorschrijft voor het verwerken van persoonsgegevens.

Toch voelt het voor veel managed service providers alsof het wel verplicht is. Dat komt doordat klanten het steeds vaker als voorwaarde stellen in hun contracten of offertetrajecten. Je mag dan zelf kiezen of je die eis accepteert, maar zonder SOC 2 verklaring val je uit de boot bij die specifieke klant.

Het verschil tussen juridische verplichting en commerciële noodzaak is hier belangrijk. Juridisch gezien hoef je niets, maar commercieel kan het je klanten kosten als je geen SOC 2 verklaring hebt. Vooral bij grotere organisaties en enterprise klanten wordt het een standaardeis.

SOC 2 kan wel contractueel verplicht worden. Als een klant in het contract opneemt dat je een geldige SOC 2 verklaring moet hebben en onderhouden, dan ben je daar contractueel aan gebonden. Het niet voldoen aan die eis kan leiden tot boetes of zelfs beëindiging van het contract.

In de praktijk zie je dat SOC 2 vooral een marktverwachting is geworden in bepaalde sectoren en bij bepaalde klantgroepen. Het is vergelijkbaar met hoe ISO 27001 jarenlang functioneerde: niet verplicht, maar wel steeds meer een basisverwachting bij professionele dienstverlening.

Wat zijn de alternatieven voor SOC 2 certificering?

Er zijn verschillende alternatieven die vergelijkbare zekerheid bieden over je IT-beheersing. De keuze hangt af van je klantenkring, geografische focus en het type dienstverlening dat je levert.

ISO 27001 is het meest gangbare alternatief in Europa. Het is een internationale norm voor informatiebeveiliging die beschrijft hoe je een Information Security Management System (ISMS) inricht. Anders dan SOC 2 is ISO 27001 wel een certificaat dat je krijgt na een audit door een gecertificeerde instelling. Voor Nederlandse en Europese klanten is ISO 27001 vaak beter bekend en geaccepteerd dan SOC 2.

De ISAE 3402 verklaring richt zich specifiek op uitbestede processen die impact hebben op de financiële verslaggeving van je klanten. Als je bijvoorbeeld salarisadministratie of financiële diensten levert, dan is ISAE 3402 vaak relevanter dan SOC 2. Deze verklaring wordt vooral gevraagd door accountants die de jaarrekening van jouw klanten controleren.

ISAE 3000 is een flexibeler alternatief dat je kunt inzetten voor verschillende soorten assurance. Het biedt meer vrijheid in het kiezen van de onderwerpen waarover je zekerheid wilt geven. Je kunt hiermee maatwerk leveren dat precies aansluit bij wat jouw klanten willen weten over je beheersing.

Voor de zorgsector bestaat NEN 7510, een Nederlandse norm specifiek voor informatiebeveiliging in de zorg. Als je diensten levert aan zorgorganisaties, dan is deze norm vaak relevanter dan SOC 2 omdat het aansluit bij de specifieke wetgeving en risico’s in die sector.

SOC for Cybersecurity is een nieuwere variant die zich specifiek richt op cybersecurity-risico’s. Het biedt meer diepgang op beveiligingsaspecten dan een standaard SOC 2 verklaring.

Welk alternatief je kiest hangt af van je situatie. Voor internationale klanten (vooral in de VS) blijft SOC 2 de standaard. Voor Europese klanten is ISO 27001 vaak geschikter. Als je klanten specifieke eisen stellen in hun contracten of RFP’s, dan bepaalt dat meestal welke verklaring of certificaat je nodig hebt.

Hoeveel kost een SOC 2 certificering voor een MSP?

De kosten voor een SOC 2 verklaring variëren sterk en hangen af van meerdere factoren. Je kunt geen vast bedrag noemen omdat elke organisatie anders is, maar je kunt wel rekening houden met verschillende kostenposten.

De auditkosten vormen een belangrijk deel van je investering. Een SOC 2 auditor beoordeelt je processen, systemen en beheersmaatregelen. De omvang van die beoordeling hangt af van hoeveel diensten je levert, hoeveel locaties je hebt en hoe complex je IT-omgeving is. Een kleine MSP met één dienst en één locatie betaalt minder dan een grotere organisatie met meerdere diensten en vestigingen.

Voorbereidingstijd kost je ook geld, vooral in de vorm van interne uren. Je moet beleid opstellen, processen documenteren en beheersmaatregelen implementeren. Afhankelijk van je huidige volwassenheidsniveau kan dit enkele weken tot meerdere maanden werk zijn voor je team.

Interne resources zijn nodig om het hele traject te coördineren en uit te voeren. Iemand moet de verantwoordelijkheid nemen voor het project, overleggen met de auditor en ervoor zorgen dat alle benodigde informatie beschikbaar komt. Voor kleinere bedrijven is dit vaak een part-time taak naast andere werkzaamheden.

Tooling en systemen kunnen extra investeringen vergen. Misschien moet je je monitoring verbeteren, logging centraliseren of je toegangsbeheer aanscherpen. Sommige organisaties hebben al de juiste systemen op orde, anderen moeten nog investeren in de technische basis.

Doorlopende compliance kost ook tijd en geld. Een SOC 2 verklaring is geen eenmalige inspanning. Je moet je beheersmaatregelen blijven uitvoeren, monitoren en verbeteren. Bij een Type II audit wordt gekeken naar een periode van minimaal drie tot zes maanden, en die audit moet je jaarlijks herhalen om je verklaring geldig te houden.

Je huidige security posture bepaalt voor een groot deel wat je moet investeren. Als je al ISO 27001 hebt of al jaren structureel werkt aan informatiebeveiliging, dan heb je veel werk al gedaan. Begin je vanaf nul, dan zijn de kosten hoger omdat je eerst je fundament op orde moet brengen.

Hoe lang duurt het om SOC 2 gecertificeerd te worden?

Het tijdspad naar een SOC 2 verklaring verschilt per organisatie, maar je kunt wel rekenen op een traject van minimaal zes maanden tot een jaar voor een volledige Type II verklaring. Voor Type I kan het sneller, maar de meeste klanten vragen om Type II omdat dat meer zekerheid biedt.

Het begint met een gap analyse waarin je samen met een auditor bekijkt waar je nu staat en wat je nog moet doen. Deze fase duurt meestal enkele weken en geeft je een duidelijk beeld van het werk dat voor je ligt. Je krijgt inzicht in welke beheersmaatregelen je al op orde hebt en waar de grootste hiaten zitten.

Daarna volgt de implementatiefase waarin je de ontbrekende maatregelen inricht. Dit is vaak de langste fase en kan enkele maanden duren. Je moet beleid schrijven, processen aanpassen, systemen configureren en je team trainen. De duur hangt sterk af van hoeveel je al op orde hebt en hoeveel resources je kunt inzetten.

Voor een Type II verklaring moet je vervolgens een monitoring periode van minimaal drie tot zes maanden doorlopen. In die periode moet je aantonen dat je beheersmaatregelen niet alleen op papier staan, maar ook daadwerkelijk werken en worden uitgevoerd. Je kunt deze fase niet overslaan of versnellen, de auditor moet kunnen zien dat je maatregelen over een langere periode effectief zijn.

Het eigenlijke auditproces aan het einde duurt meestal enkele weken. De auditor verzamelt bewijsmateriaal, voert interviews en test je beheersmaatregelen. Na afloop stelt de auditor de rapportage en verklaring op, wat nog een paar weken kan duren.

Factoren die het tijdspad beïnvloeden zijn je huidige security posture, de beschikbare interne capaciteit en de complexiteit van je dienstverlening. Als je al een volwassen beveiligingsorganisatie hebt met goede documentatie en processen, dan gaat het sneller. Begin je vanaf nul, dan moet je meer tijd rekenen voor het opbouwen van die basis.

Ook de beschikbaarheid van je team speelt mee. Als je mensen fulltime aan het project kunnen werken, dan ga je sneller dan wanneer iedereen het erbij moet doen naast hun reguliere werk. Veel MSP’s kiezen ervoor om externe ondersteuning in te schakelen om het proces te versnellen en de interne belasting te beperken.

Wanneer moet je als MSP echt aan SOC 2 beginnen?

Het moment om met SOC 2 te starten hangt af van concrete signalen uit je markt en je groeistrategie. Je hoeft niet meteen te beginnen als je net start, maar er zijn duidelijke indicatoren dat het tijd wordt.

Als klanten er expliciet om vragen in offertetrajecten of contractonderhandelingen, dan is dat het meest directe signaal. Je merkt dat je deals misloopt of dat klanten je vragen wanneer je een verklaring krijgt. Op dat moment wordt het een commerciële noodzaak om ermee aan de slag te gaan.

Bij groei naar enterprise klanten wordt SOC 2 vaak een vereiste. Grotere organisaties hebben striktere eisen voor leveranciersselectie en willen aantoonbare beheersing zien. Als je je klantportfolio wilt uitbreiden naar dat segment, dan heb je de verklaring nodig om überhaupt mee te kunnen doen aan die trajecten.

Internationale expansie, vooral richting de Verenigde Staten, maakt SOC 2 compliance bijna onvermijdelijk. In de Amerikaanse markt is SOC 2 de standaard voor IT-dienstverleners. Zonder die verklaring kom je daar simpelweg niet binnen bij professionele klanten.

Als differentiatiestrategie kan SOC 2 ook waardevol zijn. In een markt waar veel concurrenten geen verklaring hebben, kun je je onderscheiden door wel aantoonbare beheersing te hebben. Het geeft je een voorsprong in offertes en helpt je om hogere tarieven te rechtvaardigen.

Concrete signalen dat het tijd is om te starten:

• Je verliest deals omdat je geen SOC 2 verklaring hebt
• Klanten nemen het op in hun contractuele voorwaarden
• Je ziet SOC 2 compliance steeds vaker terugkomen in RFP’s
• Je wilt groeien naar klanten die het als standaardeis hanteren
• Je concurrent heeft het wel en gebruikt het als verkoopargument

Begin niet te vroeg. Als je nog een kleine MSP bent met voornamelijk MKB-klanten die er niet om vragen, dan kun je je geld en tijd beter besteden aan het verder professionaliseren van je dienstverlening. Maar wacht ook niet te lang. Het traject duurt maanden, en je wilt niet halverwege een groot contract nog snel moeten starten.

Een pragmatische aanpak is om te beginnen zodra je de eerste serieuze vragen krijgt van potentiële klanten. Dan weet je dat de marktvraag er is en kun je de investering rechtvaardigen. Ondertussen kun je wel alvast je basis op orde brengen door te werken aan je security posture, documentatie en processen.

Conclusie

SOC 2 is geen wettelijke verplichting, maar wel een groeiende marktverwachting voor managed service providers die met professionele klanten willen werken. Of je er nu aan moet beginnen hangt af van concrete signalen uit je markt: vragen van klanten, verlies van deals of groeistrategie richting enterprise klanten of de Amerikaanse markt.

Het traject vraagt een investering in tijd, geld en interne capaciteit. Reken op zes maanden tot een jaar voor een volledige Type II verklaring, afhankelijk van je huidige volwassenheidsniveau. De kosten variëren sterk, maar omvatten meer dan alleen de audit zelf: ook voorbereiding, implementatie en doorlopende compliance.

Alternatieven zoals ISO 27001, ISAE 3402 of ISAE 3000 kunnen in sommige situaties beter passen, vooral voor de Europese markt. De keuze hangt af van wat je klanten vragen en in welke regio je actief bent.

Bij Hoek en Blok IT begeleiden we managed service providers door het hele SOC 2 traject. Van gap analyse tot implementatie en de uiteindelijke audit. We zorgen ervoor dat je niet alleen de verklaring haalt, maar ook echt je IT-beheersing verbetert. Onze pragmatische aanpak helpt je om het betaalbaar en haalbaar te houden, zonder onnodige complexiteit. Neem contact op om te bespreken hoe wij jou kunnen ondersteunen.

Ja, je kunt zowel SOC 1 als SOC 2 hebben. Veel serviceproviders kiezen ervoor om beide rapportages naast elkaar te gebruiken omdat ze verschillende klantvragen beantwoorden. SOC 1 richt zich op financiële rapportage en interne beheersing, terwijl SOC 2 zich richt op security, beschikbaarheid en privacy. Beide rapportages vullen elkaar aan en helpen je om verschillende klantgroepen te bedienen met de zekerheid die zij nodig hebben.

Wat is het verschil tussen SOC 1 en SOC 2?

SOC 1 en SOC 2 zijn twee verschillende soorten assurance rapportages die elk een ander doel dienen. SOC 1 richt zich op de interne beheersing van processen die invloed hebben op de financiële rapportage van jouw klanten. Deze rapportage is bedoeld voor de accountants van je klanten die moeten beoordelen of jouw dienstverlening goed genoeg beheerst is om erop te vertrouwen tijdens hun jaarrekening controle.

SOC 2 kijkt breder naar de betrouwbaarheid van jouw dienstverlening. Deze rapportage beoordeelt vijf vertrouwensprincipes: security (verplicht), beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy. Het beveiligingsprincipe bevat 33 normen waaraan een organisatie moet voldoen. SOC 2 is relevant voor klanten die willen weten of jouw systemen veilig zijn, of je data goed beschermt en of je diensten beschikbaar blijven zoals afgesproken.

Het belangrijkste verschil zit in de doelgroep en het doel. SOC 1 is vooral voor financiële auditors die moeten controleren of uitbestede processen geen risico vormen voor de jaarrekening. SOC 2 is voor iedereen die zekerheid wil over je IT security en operationele betrouwbaarheid. Denk aan klanten die je systemen gebruiken voor het opslaan van hun data of het draaien van hun bedrijfsprocessen.

Waarom zou je zowel SOC 1 als SOC 2 willen hebben?

De praktijk laat zien dat serviceproviders vaak te maken hebben met verschillende soorten klanten die verschillende eisen stellen. Sommige klanten hebben een SOC 1 rapportage nodig omdat hun accountant dit vraagt voor de jaarrekening controle. Andere klanten willen juist een SOC 2 verklaring zien omdat ze zich zorgen maken over databeveiliging en privacy compliance.

Als je alleen SOC 1 hebt, kun je klanten verliezen die specifiek naar SOC 2 compliance vragen. Omgekeerd helpt een SOC 2 rapportage je niet als een klant een SOC 1 nodig heeft voor financiële audit doeleinden. Door beide rapportages te hebben, dek je een breder spectrum aan klantvragen af en vergroot je je marktpositie.

Concrete situaties waarin beide rapportages waarde toevoegen zijn bijvoorbeeld payroll dienstverleners, cloud service providers en managed service providers. Deze bedrijven verwerken vaak zowel financiële data (waarvoor SOC 1 relevant is) als gevoelige persoonlijke informatie (waarvoor SOC 2 nodig is). Met beide rapportages kun je verschillende klantgroepen bedienen zonder telkens te moeten uitleggen waarom je alleen de ene of de andere hebt.

Ook bij leveranciersselectie maakt het verschil. Steeds vaker is aantoonbare procesbeheersing een randvoorwaarde bij de selectie van een leverancier. Door beide rapportages te hebben, laat je zien dat je serieus bent over beheersing en dat je begrijpt wat verschillende klanten nodig hebben.

Hoe combineer je SOC 1 en SOC 2 audits efficiënt?

Je kunt tijd en kosten besparen door beide SOC 2 audits slim te combineren. Veel beheersmaatregelen die je implementeert voor SOC 1 zijn ook relevant voor SOC 2. Denk aan toegangsbeheer, change management, back-up procedures en incident response processen. Door deze overlappende controls goed te documenteren, gebruik je hetzelfde werk voor beide rapportages.

Het is verstandig om met één SOC 2 auditor of auditteam te werken dat beide trajecten kan uitvoeren. Dit bespaart niet alleen coördinatietijd, maar zorgt ook voor consistentie in de beoordeling. De auditor kan beide audits vaak in dezelfde periode uitvoeren, waardoor je minder tijd kwijt bent aan interviews en het aanleveren van bewijs.

Praktische stappen om beide audits efficiënt te combineren:

• Maak één geïntegreerd control framework dat zowel SOC 1 als SOC 2 vereisten afdekt
• Documenteer je processen en maatregelen zodanig dat ze voor beide audits bruikbaar zijn
• Plan beide audits in dezelfde periode zodat je niet twee keer dezelfde informatie hoeft aan te leveren
• Gebruik dezelfde risicoanalyse als basis voor beide rapportages
• Zorg dat je change management proces en documentatie geschikt zijn voor beide frameworks

De voorbereiding wordt makkelijker als je vanaf het begin rekening houdt met beide rapportages. Implementeer maatregelen die aan beide frameworks voldoen en houd je documentatie bij op een manier die voor beide audits geschikt is. Dit voorkomt dubbel werk en zorgt ervoor dat je niet achteraf dingen moet aanpassen.

Wat zijn de kosten en tijdsinvestering voor beide rapportages?

De investering voor beide SOC rapportages bestaat uit meer dan alleen de auditkosten. Je moet rekening houden met directe auditkosten, interne uren voor voorbereiding en documentatie, en de tijd die het kost om maatregelen te implementeren en structureel uit te voeren. Voor een middelgrote serviceprovider kun je denken aan enkele weken tot maanden voorbereidingstijd, afhankelijk van je huidige maturity level.

De directe auditkosten voor beide rapportages samen zijn vaak lager dan wanneer je ze apart zou laten uitvoeren. Veel auditors bieden een gecombineerd tarief aan omdat ze efficiency kunnen halen uit het gelijktijdig uitvoeren van beide audits. De overlap in controls en documentatie betekent dat de tweede rapportage relatief minder extra werk vraagt.

Interne kosten zijn vaak een grotere factor dan de externe auditkosten. Je hebt mensen nodig die:

• Processen en maatregelen documenteren volgens de juiste frameworks
• Bewijsmateriaal verzamelen en organiseren voor de audit
• Deelnemen aan interviews en walkthroughs met de auditor
• Eventuele bevindingen opvolgen en aanvullende maatregelen implementeren

De business case voor beide investeringen wordt sterker naarmate je meer klanten hebt die om deze rapportages vragen. De return on investment zie je terug in het behouden van bestaande klanten die compliance eisen stellen, het winnen van nieuwe klanten die zonder rapportage niet met je in zee gaan, en het voorkomen van beveiligingsincidenten door betere beheersing van je processen.

De investering betaalt zich vaak binnen één tot twee jaar terug door het commerciële voordeel dat je hebt bij leveranciersselecties. Daarnaast bespaar je tijd bij klanten die anders zelf uitgebreide security assessments zouden uitvoeren. Met een SOC 2 verklaring kun je deze vragen efficiënt beantwoorden.

Welke rapportage moet je als eerste aanvragen?

De keuze welke rapportage je als eerste aanvraagt hangt af van je specifieke situatie. Begin met het in kaart brengen van de vraag vanuit je klanten. Vragen veel klanten om een SOC 1 voor hun financiële audits, of hoor je vooral vragen over security en privacy compliance? De klantvraag is vaak de belangrijkste factor in je beslissing.

Je type dienstverlening speelt ook een rol. Als je diensten direct impact hebben op de financiële rapportage van klanten (zoals payroll, facturatie of financiële administratie), dan is SOC 1 vaak de logische eerste keuze. Verwerk je vooral data of bied je IT diensten aan zonder directe financiële impact, dan is SOC 2 waarschijnlijk relevanter.

Je huidige maturity level maakt verschil in de volgorde. SOC 2 heeft vaak bredere eisen op het gebied van security en privacy. Als je IT beveiliging nog niet op orde is, kan het verstandig zijn om te beginnen met SOC 1 (als dat je primaire klantvraag is) en parallel te werken aan het verbeteren van je security voor een latere SOC 2 audit.

Strategische overwegingen om te prioriteren:

• Welke rapportage wordt het vaakst gevraagd door prospects tijdens het verkoopproces?
• Welke klanten vertegenwoordigen het grootste deel van je omzet en wat vragen zij?
• In welke markten wil je groeien en wat is daar de standaard?
• Wat is haalbaar binnen je huidige budget en capaciteit?

In de praktijk kiezen veel organisaties ervoor om te beginnen met de rapportage die de meeste commerciële waarde oplevert op korte termijn. Dit geeft je de mogelijkheid om ervaring op te doen met het auditproces en om je organisatie stapsgewijs volwassener te maken in procesbeheersing. De tweede rapportage wordt dan vaak binnen een jaar toegevoegd, waarbij je profiteert van de verbeteringen die je al hebt doorgevoerd.

Het is ook mogelijk om beide rapportages gelijktijdig aan te vragen als je huidige maturity level dat toelaat en de klantvraag beide rechtvaardigt. Dit vraagt meer investering vooraf, maar geeft je sneller een complete propositie richting verschillende klantgroepen.

Of je nu kiest voor SOC 1, SOC 2 of beide, het belangrijkste is dat je begint met het op orde brengen van je processen en beheersmaatregelen. De rapportages zijn het bewijs van goede beheersing, maar de echte waarde zit in de verbeterde processen en lagere risico’s die je realiseert. Bij Hoek en Blok.IT helpen we serviceproviders met een pragmatische aanpak om beide rapportages te behalen. We begeleiden je bij het inrichten van maatregelen en geven de assurance verklaringen af die je nodig hebt om jouw klanten te overtuigen van je betrouwbaarheid. Wil je meer weten over hoe wij je kunnen ondersteunen? Neem dan contact met ons op.

SOC 2 en ISAE 3000 zijn beide assurance verklaringen die de betrouwbaarheid van je dienstverlening aantonen, maar ze verschillen in herkomst en toepassingsgebied. SOC 2 is een Amerikaanse standaard die vooral wordt gebruikt in de VS, terwijl ISAE 3000 een internationale auditstandaard is die in Nederland en Europa breed wordt geaccepteerd. Voor serviceproviders die internationale klanten bedienen, is het belangrijk te weten welke standaard hun doelmarkt verwacht.

Wat is het belangrijkste verschil tussen SOC 2 en ISAE 3000?

Het belangrijkste verschil zit in de herkomst en het toepassingsgebied. SOC 2 is ontwikkeld door de Amerikaanse AICPA en richt zich specifiek op vijf vertrouwenscriteria: security, availability, processing integrity, confidentiality en privacy. ISAE 3000 daarentegen is een internationale auditstandaard die door de IAASB is opgesteld en wereldwijd wordt erkend. Deze standaard biedt meer flexibiliteit in wat je precies laat toetsen.

Voor serviceproviders betekent dit een praktische keuze. Werk je vooral met Amerikaanse klanten of internationale SaaS bedrijven? Dan verwachten zij vaak een SOC 2 verklaring. Richt je je op de Nederlandse en Europese markt? Dan is een ISAE 3000 verklaring meestal de logische keuze, omdat deze aansluit bij Europese audit standaarden en door Nederlandse klanten beter wordt herkend.

Beide standaarden tonen aan dat je processen op orde zijn en dat je risico’s adequaat beheerst. Het verschil zit vooral in de geografische voorkeur en de specifieke focus. SOC 2 is sterk gestructureerd rond de vijf vaste criteria, terwijl ISAE 3000 je meer ruimte geeft om je eigen scope te bepalen op basis van wat voor jouw klanten relevant is.

Welke standaard accepteren Nederlandse en Europese klanten?

Nederlandse en Europese klanten geven duidelijk de voorkeur aan ISAE 3000 verklaringen. Deze internationale standaard sluit aan bij de Europese audit normen en wordt door Nederlandse organisaties direct herkend en geaccepteerd. Klanten in Nederland zijn bekend met ISAE rapportages en weten wat ze kunnen verwachten van een dergelijke verklaring.

Dit betekent niet dat een SOC 2 verklaring in Europa waardeloos is. Internationale SaaS bedrijven die actief zijn in zowel Europa als de VS kunnen juist baat hebben bij een SOC 2 rapportage. Ook als je Nederlandse klanten hebt die zelf Amerikaanse moederorganisaties hebben, kan een SOC 2 verklaring relevant zijn omdat hun procurement afdelingen deze standaard kennen en vertrouwen.

De praktijk wijst uit dat je met een ISAE 3000 verklaring in Nederland en Europa de meeste deuren opent. Klanten vragen er actief naar bij leveranciersselectie en het past naadloos in de Nederlandse audit traditie. Voor veel serviceproviders is het daarom de meest pragmatische keuze om te starten met ISAE 3000, tenzij je een duidelijke focus hebt op de Amerikaanse markt.

Hoe verschilt het auditproces tussen SOC 2 en ISAE 3000?

Het auditproces verschilt vooral in de auditor vereisten en de structuur van de toetsing. Voor SOC 2 audits heb je een AICPA-gecertificeerde auditor nodig, terwijl ISAE 3000 audits in Nederland worden uitgevoerd door NOREA-gecertificeerde EDP-auditors of NBA-accountants. Dit beïnvloedt niet alleen wie je audit uitvoert, maar ook hoe de audit wordt benaderd.

Bij een SOC 2 audit wordt getoetst aan de vaste Trust Services Criteria. Je doorloopt een gestructureerd proces waarbij de auditor beoordeelt of je beheersmaatregelen voldoen aan deze vooraf bepaalde criteria. Bij ISAE 3000 bepaal je samen met de auditor welke criteria relevant zijn voor jouw dienstverlening. Dit geeft meer flexibiliteit, maar vraagt ook meer voorbereiding in het bepalen van de juiste scope.

De duur van beide audits is vergelijkbaar. Je kunt kiezen voor een Type 1 audit (momentopname) of een Type 2 audit (toetsing over een periode van minimaal drie maanden). Het voorbereidingsproces vraagt meestal enkele maanden, waarin je documentatie op orde brengt, processen beschrijft en beheersmaatregelen implementeert. De daadwerkelijke audit duurt vervolgens enkele weken, afhankelijk van de complexiteit van je organisatie.

Wat kosten SOC 2 en ISAE 3000 rapportages en hoelang duren ze?

De kosten voor beide verklaringen worden bepaald door vergelijkbare factoren: de grootte van je organisatie, de complexiteit van je diensten en of je kiest voor een Type 1 of Type 2 audit. Een Type 1 audit is een momentopname en vraagt minder tijd dan een Type 2 audit, waarbij de auditor je beheersmaatregelen over een langere periode toetst.

Voor de tijdsinvestering kun je rekenen op een voorbereidingsperiode van twee tot vier maanden. In deze periode breng je je documentatie op orde, beschrijf je processen en implementeer je eventueel ontbrekende beheersmaatregelen. De daadwerkelijke audit neemt vervolgens drie tot zes weken in beslag, afhankelijk van de scope en de beschikbaarheid van je medewerkers.

Kleinere organisaties met overzichtelijke IT-processen kunnen sneller door het proces heen dan complexe serviceproviders met meerdere datacenters of uitgebreide IT-landschappen. Ook speelt mee hoe goed je al bent voorbereid. Heb je al een informatiebeveiligingsbeleid, risicoanalyses en gedocumenteerde processen? Dan verkort dat de voorbereidingstijd aanzienlijk.

Factoren die de investering beïnvloeden

De omvang van je IT-infrastructuur speelt een belangrijke rol. Hoe meer systemen, applicaties en processen binnen scope vallen, hoe meer werk de auditor moet verzetten. Ook het aantal medewerkers dat betrokken is bij de te toetsen processen maakt verschil, omdat de auditor interviews voert en werkzaamheden observeert.

Je huidige niveau van procesbeheersing is eveneens bepalend. Organisaties die al werken volgens gestructureerde frameworks of die al eerder een IT audit hebben gehad, zijn sneller klaar dan bedrijven die vanaf nul beginnen. De keuze tussen Type 1 en Type 2 heeft ook impact: een Type 2 audit vraagt meer tijd omdat de auditor over een langere periode toetst.

Kun je zowel SOC 2 als ISAE 3000 hebben?

Ja, je kunt beide verklaringen hebben, en voor sommige organisaties is dat ook een logische keuze bij een internationale klantenkring. Als je zowel Europese als Amerikaanse klanten bedient, kan het zinvol zijn om beide rapportages te laten uitvoeren. Zo spreek je de taal van beide markten en voldoe je aan de verwachtingen van verschillende klantgroepen.

De praktische realiteit is dat dit wel een forse investering vraagt in tijd, geld en inspanning. Je doorloopt twee afzonderlijke auditprocessen, al kun je natuurlijk wel dezelfde onderliggende processen en beheersmaatregelen gebruiken. De documentatie en rapportages verschillen, en je hebt te maken met twee verschillende auditors of auditteams.

Voor veel serviceproviders is het pragmatischer om te kiezen voor één standaard die het beste past bij hun doelmarkt. Alleen wanneer je echt actief bent in beide markten en klanten expliciet om beide verklaringen vragen, weegt de toegevoegde waarde op tegen de extra inspanning. Anders kun je beter investeren in één goede, volledige verklaring die je klanten vertrouwen geeft.

Welke standaard past het beste bij jouw organisatie?

De keuze hangt af van waar je klanten zitten en wat zij verwachten. Werk je vooral met Nederlandse en Europese organisaties? Dan is ISAE 3000 de logische keuze. Richt je je op de Amerikaanse markt of werk je veel met internationale SaaS bedrijven die Amerikaanse roots hebben? Dan is SOC 2 waarschijnlijk relevanter voor je klantacceptatie.

Denk ook na over je groeiplannen. Als je van plan bent om internationaal te expanderen, kan het verstandig zijn om nu al te kiezen voor de standaard die in je doelmarkt wordt verwacht. Dat voorkomt dat je later alsnog een tweede verklaring moet halen of moet overstappen op een andere standaard.

Stel jezelf deze vragen: Welke verklaringen vragen je huidige klanten? Wat verwachten prospects tijdens het verkoopproces? Zijn er branche-eisen die één van beide standaarden voorschrijven? En wat doen je concurrenten? Door deze vragen te beantwoorden, krijg je een helder beeld van welke standaard de beste investering is voor jouw organisatie.

Praktische overwegingen voor je beslissing

Kijk naar de auditors die beschikbaar zijn in je regio. In Nederland zijn NOREA-gecertificeerde auditors breed beschikbaar voor ISAE 3000 audits. Voor SOC 2 compliance heb je een auditor nodig met AICPA-certificering, wat in Nederland minder gebruikelijk is maar zeker mogelijk.

Overweeg ook de herkenbaarheid bij je klanten. Nederlandse procurement afdelingen zijn vertrouwd met ISAE verklaringen en weten hoe ze deze moeten beoordelen. Als je komt met een SOC 2 verklaring, moet je mogelijk extra uitleg geven over wat dit inhoudt en waarom het vergelijkbaar is met wat ze gewend zijn.

De flexibiliteit in scope kan ook meespelen in je beslissing. ISAE 3000 geeft je meer ruimte om de scope af te stemmen op wat voor jouw dienstverlening relevant is. SOC 2 heeft vaste criteria, wat duidelijkheid geeft maar minder maatwerk toestaat. Welke aanpak past beter bij hoe jij je diensten wilt positioneren?

Of je nu kiest voor SOC 2 of ISAE 3000, beide verklaringen helpen je om vertrouwen te creëren bij klanten en je processen op orde te krijgen. Bij Hoekenblok.IT begeleiden we serviceproviders bij het maken van deze keuze en ondersteunen we het volledige traject, van voorbereiding tot het verkrijgen van de verklaring. Onze NOREA-gecertificeerde auditors hebben ervaring met beide standaarden en helpen je pragmatisch en betaalbaar om aantoonbare procesbeheersing te realiseren. Neem contact met ons op om te bespreken welke aanpak het beste bij jouw situatie past.