Beide Berichtstypen erfordern dieselbe mehrmonatige Aufbauphase. Ein Typ-I-Bericht kann ausgestellt werden, sobald dieser Aufbau abgeschlossen ist. Ein Typ-II-Bericht erfordert zusätzlich einen Beobachtungszeitraum von sechs bis zwölf Monaten, bevor er ausgestellt werden kann.
Richtlinien schreiben, Systeme konfigurieren, Zugriffsüberprüfungen durchführen, Monitoring einrichten. Für die meisten Teams einige Monate.
Sechs Monate für den ersten Bericht, danach jedes Jahr zwölf Monate. Kann nicht verkürzt werden.
Kann ausgestellt werden, sobald die Kontrollen bereit sind.