ISO 27001 vs. SOC 2 i Europa

Hvad købere faktisk spørger efter.

Hvem det gælder for

En softwarevirksomhed, der beslutter, hvilken attestation den skal have først: Sælger den i Europa, er ISO 27001 den, indkøbere nævner; sælger den mest til amerikanske kunder, er SOC 2 den form, deres indkøb forventer; sælger den til begge, kommer ISO-ledelsessystemet først, fordi det frembringer de beviser, en senere SOC 2 læser.

Datoerne

Før den første aftale eller det første udbud, der beder om en, og tidligt nok til, at auditten er booket før køberens frist, for ingen af de to attestationer kan frembringes i den måned, et spørgeskema ankommer.

Det ene, der skal gøres

Tæl hvad jeres egne købere beder om, kør den offentlige TED-forespørgsel igen for den europæiske andel, få ISO 27001 hvis Europa er markedet, tilføj SOC 2 når en amerikansk kundes indkøb kræver rapporten, og byg ledelsessystemet først, så den anden attestation læser de beviser, den første frembringer.

Sælger I til Europa, så ISO 27001: I de 365 dage frem til 12. september 2026 optræder den i 3.405 udbudsbekendtgørelser på TED, EU's eget udbudsportal, mod 104 for SOC 2, altså omkring 33 gange så ofte, og måned for måned faldt forholdet aldrig under 18 til én.

Sælger I hovedsageligt til amerikanske virksomheder, vender svaret, fordi SOC 2 er den form, deres indkøb forventer. Optællingen er af omtaler snarere end hårde krav, TED's søge-API er offentlig, og forespørgslen står nedenfor, så I kan køre den igen.

Dette spørgsmål kan besvares med beviser, der ikke er vores.

Målingen

TED er Den Europæiske Unions eget udbudsportal. Hvert offentligt udbud over EU's tærskelværdier offentliggøres der, og søge-API'et er åbent for alle uden nøgle og uden konto. "Hvad kræver europæiske offentlige indkøb rent faktisk" er derfor et spørgsmål med et kontrollerbart svar frem for en holdning.

Optalt på tværs af alle stavemåder af begge begreber i de 365 dage frem til 12. september 2026:

Begreb	Bekendtgørelser, der nævner det
ISO 27001	3.405
SOC 2	104
NIS2	599
ISO 42001	17

ISO 27001 optræder groft sagt 33 gange så ofte som SOC 2. Det første øjebliksbillede, taget 11. august 2026, sagde 3.408 mod 104: Optællingen flytter sig med encifrede tal om måneden, og forholdet flytter sig slet ikke.

Måned for måned

Samme forespørgsel én kalendermåned ad gangen, for de tolv hele måneder fra september 2025 til august 2026: ISO 27001 nævnes i mellem 242 og 343 bekendtgørelser om måneden, SOC 2 i mellem 4 og 19. Den snævreste måned var juni 2026, 343 mod 19, 18 til én; den bredeste august 2026, 242 mod 4, 60 til én. Der er ingen måned, hvor svaret ændrer sig. Hele serien med et diagram, køberlandene og en CSV ligger på forskningssiden (på engelsk).

Hvad det tal er, og hvad det ikke er

Det er en optælling af omtaler, ikke af hårde krav. En bekendtgørelse, der nævner ISO 27001 på en liste over ønskede kvalifikationer, tæller på samme måde som en, der gør den til en betingelse. Forholdet sammenligner lige med lige, så sammenligningen holder, selv om det absolutte tal overdriver, hvor mange udbud der reelt kræver den.

Det er også udelukkende offentlige indkøb. Private virksomheders indkøb er ikke i TED, og en stor tysk producents leverandørspørgeskema bliver ikke til en udbudsbekendtgørelse. Det, offentlige indkøb giver jer, er den ene del af europæiske indkøb, hvor kravene offentliggøres frem for udledes, hvilket gør dem til den bedste tilgængelige tilnærmelse og ikke en perfekt.

Den ærlige version af svaret

Sælger I til Europa, er ISO 27001 ikke et tæt løb. Det er den certificering, europæiske indkøbere nævner, og afstanden er ikke marginal.

Sælger I hovedsageligt til amerikanske virksomheder, vender argumentet. SOC 2 er den form, amerikansk indkøb forventer, rapportformatet er det, deres sikkerhedsteams er trænet til at læse, og et ISO-certifikat vil ofte udløse et opfølgende spørgeskema frem for at erstatte et.

Sælger I til begge, betyder rækkefølgen mere end valget. ISO 27001 bygger et ledelsessystem; SOC 2 attesterer foranstaltninger over en periode. ISO-systemet er det, der løbende frembringer beviser, så virksomheder, der bygger det først, finder som regel en senere SOC 2 billigere end det omvendte.

Kør den selv

API'et er api.ted.europa.eu/v3/notices/search, det tager en ekspertforespørgsel og kræver ingen legitimationsoplysninger. Sæt paginationMode til ITERATION, og tæl bekendtgørelserne, der matcher hvert begreb; den præcise forespørgsel og scriptet ligger på forskningssiden. Vores øjebliksbillede er dateret; afviger jeres tal fra vores, er jeres de nyeste.

Intet af dette er en påstand, I skal tage fra en leverandør, og det er pointen.

Hvor i Europa

Samme forespørgsel opdelt efter køberland: hvilke EU-lande nævner ISO 27001 i offentlige udbud. Tyskland og Polen står for syv ud af ti omtaler, og Frankrig, Spanien og Italien nævner i stedet deres nationale ordninger.

Når valget er truffet: hvad ISO 27001-certificering koster, efter antal ansatte, og hvordan StandardOS klarer sig i sammenligning (på engelsk) med de platforme, der sælger SOC 2.

De spørgsmål, folk stiller

Beder europæiske udbud om ISO 27001 eller SOC 2?

Om ISO 27001, med stor margin: I de 365 dage frem til 12. september 2026 nævnte offentlige udbud på TED den i 3.405 bekendtgørelser mod 104 for SOC 2, omkring 33 gange så ofte. Optællingen er af omtaler: Den siger, hvad købere nævner, ikke hvor mange der gør den til en betingelse.

Accepteres SOC 2 i Europa?

Som bevis i et sikkerhedsspørgeskema ofte; som det, et udbud nævner, sjældent. En SOC 2-rapport er den form, amerikansk indkøb forventer, og et ISO 27001-certifikat udløser i et amerikansk indkøb som regel et opfølgende spørgeskema frem for at erstatte det.

Skal jeg have både ISO 27001 og SOC 2?

Kun hvis I sælger til begge markeder, og så betyder rækkefølgen mere end valget: ISO 27001 bygger et ledelsessystem, der løbende frembringer beviser, og en senere SOC 2 attesterer foranstaltninger over en periode ud fra netop de beviser, så ISO-systemet først er som regel den billigste rækkefølge.

Hvordan kører jeg optællingen igen?

TED's søge-API er offentligt og kræver ingen nøgle: Tæl de bekendtgørelser, der nævner hver stavemåde af hvert begreb i jeres vindue. Den præcise forespørgsel, scriptet og en CSV med månedsserien ligger på forskningssiden, og afviger jeres tal fra vores, er jeres de nyeste.