Comparación

SOC 2 frente a NIS2: un informe para clientes y una ley de la UE

SOC 2 (Trust Services Criteria) · NIS2 Implementing Regulation (EU) 2024/2690 · datos 2026-10-27

Por Paul Gillet · Actualizado 2026-10-17

SOC 2 y NIS2 rara vez se comparan directamente, pero las empresas de software de origen estadounidense que se expanden a la UE cada vez se enfrentan a ambos. SOC 2 es un informe de atestación voluntario que solicitan los clientes; NIS2 es una ley de la UE para entidades esenciales e importantes y, en el caso de los proveedores digitales, sus medidas se detallan en el Reglamento de Ejecución (UE) 2024/2690.

Al pasar de SOC 2 a NIS2, casi cada punto de requisito se corresponde con un criterio de SOC 2 en nuestros datos: gobernanza, evaluación de riesgos, control de acceso, gestión de cambios, respuesta a incidentes, gestión de proveedores y continuidad de negocio encajan todos. Lo que SOC 2 no aporta es el mecanismo jurídico de NIS2: los informes de incidentes a las 24 horas, a las 72 horas y al mes, la formación y responsabilidad de la dirección, y el registro ante la autoridad nacional.

Al pasar de NIS2 a SOC 2, las brechas son las categorías opcionales de SOC 2, Privacidad e Integridad del Procesamiento, que NIS2 no cubre. Todas las correspondencias con SOC 2 que aparecen aquí son Editorial de ControlMapping, ya que no existe ninguna correspondencia SOC 2 con licencia abierta.

Conclusiones clave

Un conjunto de controles SOC 2 es una buena base para las medidas de NIS2; las obligaciones legales son el trabajo nuevo.
Añada un procedimiento de notificación de incidentes significativos con plazos de 24 horas y 72 horas.
Compruebe qué ley nacional le aplica y si debe registrarse.

Descargar esta comparación (CSV) Abrir en análisis de brechas →

Tiene SOC 2 → necesita NIS2

49 req.

47 asignados · · 1 sin asignación Abrir en vista de brechas →

De los 49 requisitos de NIS2 Implementing Regulation (EU) 2024/2690, 47 se corresponden con algo en SOC 2, 1 solo guardan una relación tangencial y 1 no tienen correspondencia en nuestros datos.

NIS2 aquí se refiere a las medidas técnicas del Reglamento de Ejecución (UE) 2024/2690, que se aplica directamente a proveedores de infraestructura digital y de servicios TIC; las demás entidades NIS2 siguen la transposición de su país del artículo 21. Los plazos de notificación de incidentes (artículo 23) no están incluidos en el alcance. El mapeo de ENISA no es vinculante.

Probablemente trabajo nuevo: requisitos de NIS2 sin correspondencia con SOC 2 (1)

NIS2	Requisito	Coincidencia	SOC 2	Evidencia
12. Asset management · 1
12.5	Deposit, return or deletion of assets upon termination of employment	Sin correspondencia en nuestros datos	—	Sin correspondencia con SOC 2 en nuestros datos.

Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (1)

NIS2	Requisito	Coincidencia	SOC 2	Evidencia
10. Human resources security · 1
10.1	Human resources security	Relación tangencial	CC1.4 CC2.2	Solo comparte subcategorías de CSF PR.AT-02: relacionado, no es una correspondencia

Correspondencia (47)

NIS2	Requisito	Coincidencia	SOC 2	Evidencia
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	Editorial	CC1.1 CC5.3	Mismo tema: Política de gobernanza (selección editorial)
1.2	Roles, responsibilities and authorities	Editorial	CC1.2 CC1.3 CC1.5	Mismo tema: Funciones y responsabilidades (selección editorial)
2. Risk management policy · 3
2.1	Risk management framework	Editorial	CC3.1 CC3.2 CC3.3+3	Mismo tema: Gestión de riesgos, Evaluación de riesgos (selección editorial)
2.2	Compliance monitoring	Editorial	CC4.1 CC4.2	Mismo tema: Cumplimiento (selección editorial)
2.3	Independent review of information and network security	Editorial	CC4.1 CC4.2	Mismo tema: Cumplimiento (selección editorial)
3. Incident handling · 6
3.1	Incident handling policy	Editorial	CC7.3 CC7.4	Mismo tema: Respuesta a incidentes (selección editorial)
3.2	Monitoring and logging	Editorial	CC7.2 CC7.3	Mismo tema: Monitoreo cont., Registro y auditoría, Detección de intrusiones, SIEM / SOC (selección editorial)
3.3	Event reporting	Editorial	CC2.3	Mismo tema: Notificación (selección editorial)
3.4	Event assessment and classification	Editorial	CC7.2 CC7.3	Mismo tema: Detección de anomalías, SIEM / SOC (selección editorial)
3.5	Incident response	Editorial	CC7.3 CC7.4	Mismo tema: Respuesta a incidentes, Análisis forense, Mitigación (selección editorial)
3.6	Post-incident reviews	Editorial	CC7.5	Mismo tema: Lecciones aprendidas (selección editorial)
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	Editorial	A1.1 A1.2 A1.3+2	Mismo tema: Continuidad del negocio, Recuperación ante desastres, Planificación de la recuperación (selección editorial)
4.2	Backup management	Editorial	A1.2 A1.3	Mismo tema: Copias de seguridad y recuperación, Recuperación ante desastres (selección editorial)
4.3	Crisis management	Editorial	A1.1 A1.2 CC2.3+2	Mismo tema: Continuidad del negocio, Comunicación, Comunicaciones y restauración (selección editorial)
5. Supply chain security · 2
5.1	Supply chain security policy	Editorial	CC9.2	Mismo tema: Riesgo de la cadena de suministro, Gestión de riesgos de proveedores (selección editorial)
5.2	Directory of suppliers and service providers	Editorial	CC9.2	Mismo tema: Gestión de riesgos de proveedores (selección editorial)
6. Security in acquisition, development and maintenance · 10
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Editorial	CC9.2	Mismo tema: Riesgo de la cadena de suministro, Seguridad en la nube, Gestión de riesgos de proveedores (selección editorial)
6.2	Secure development life cycle	Editorial	CC8.1	Mismo tema: Desarrollo seguro (selección editorial)
6.3	Configuration management	Editorial	CC5.2 CC7.1	Mismo tema: Configuración segura (selección editorial)
6.4	Change management, repairs and maintenance	Editorial	CC8.1	Selección editorial de ControlMapping: Change management: SOC 2 requires changes to be authorised, tested and approved; NIS2 point 6.4 requires change management, repairs and maintenance procedures.
6.5	Security testing	Editorial	CC7.1	Mismo tema: Gestión de vulnerabilidades (selección editorial)
6.6	Security patch management	Editorial	CC7.1	Mismo tema: Gestión de parches (selección editorial)
6.7	Network security	Editorial	CC6.6	Mismo tema: Cortafuegos / Segmentación de red (selección editorial)
6.8	Network segmentation	Editorial	CC6.6	Mismo tema: Cortafuegos / Segmentación de red, Confianza cero (selección editorial)
6.9	Protection against malicious and unauthorised software	Editorial	CC6.8	Mismo tema: Protección de endpoints, Seguridad del correo electrónico (selección editorial)
6.10	Vulnerability handling and disclosure	Editorial	CC7.1	Mismo tema: Gestión de vulnerabilidades (selección editorial)
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Editorial	CC3.1 CC5.1 CC9.1	Mismo tema: Gestión de riesgos (selección editorial)
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	Editorial	CC1.4 CC2.2	Mismo tema: Concienciación y formación (selección editorial)
8.2	Security training	Editorial	CC1.4 CC2.2	Mismo tema: Concienciación y formación (selección editorial)
9. Cryptography · 1
9.1	Cryptography	Editorial	CC6.1 CC6.7	Mismo tema: Cifrado (selección editorial)
10. Human resources security · 3
10.2	Verification of Background	Editorial	CC1.4	Selección editorial de ControlMapping: Background verification: SOC 2's commitment to competence includes screening; NIS2 point 10.2 requires background checks where appropriate.
10.3	Termination or change of employment procedures	Editorial	CC6.2	Selección editorial de ControlMapping: Leavers and movers: SOC 2 requires access to be removed when no longer needed; NIS2 point 10.3 covers termination or change of employment.
10.4	Disciplinary process	Editorial	CC1.5	Selección editorial de ControlMapping: Accountability: SOC 2 holds people accountable for their responsibilities; NIS2 point 10.4 requires a disciplinary process for violations.
11. Access control · 7
11.1	Access control policy	Editorial	CC6.1 CC6.2 CC6.3+1	Mismo tema: Control de acceso (selección editorial)
11.2	Management of access rights	Editorial	CC6.1 CC6.2 CC6.3	Mismo tema: Control de acceso (selección editorial)
11.3	Privileged accounts and system administration accounts	Editorial	CC6.3	Mismo tema: Acceso privilegiado (selección editorial)
11.4	Administration systems	Editorial	CC6.3	Mismo tema: Acceso privilegiado (selección editorial)
11.5	Identification	Editorial	CC6.1 CC6.2 CC6.3	Mismo tema: Control de acceso (selección editorial)
11.6	Authentication	Editorial	CC6.1 CC6.6	Mismo tema: Autenticación multifactor, Confianza cero (selección editorial)
11.7	Multi-factor authentication	Editorial	CC6.1	Mismo tema: Autenticación multifactor (selección editorial)
12. Asset management · 4
12.1	Asset classification	Editorial	C1.1	Mismo tema: Clasificación de datos (selección editorial)
12.2	Handling of assets	Editorial	C1.2 CC6.5	Mismo tema: Protección de datos (selección editorial)
12.3	Removable media policy	Editorial	C1.2 CC6.5 CC6.7	Mismo tema: Protección de datos, DLP (selección editorial)
12.4	Asset inventory	Editorial	CC6.1	Mismo tema: Gestión de activos (selección editorial)
13. Environmental and physical security · 3
13.1	Supporting utilities	Editorial	CC6.4	Mismo tema: Seguridad física (selección editorial)
13.2	Protection against physical and environmental threats	Editorial	CC6.4	Mismo tema: Seguridad física (selección editorial)
13.3	Perimeter and physical access control	Editorial	CC6.4	Mismo tema: Seguridad física (selección editorial)

Tiene NIS2 → necesita SOC 2

61 req.

37 asignados · · 24 sin asignación Abrir en vista de brechas →

De los 61 requisitos de SOC 2 (Trust Services Criteria), 37 se corresponden con algo en NIS2, 0 solo guardan una relación tangencial y 24 no tienen correspondencia en nuestros datos.

Las correspondencias de SOC 2 de AICPA no tienen licencia abierta, por lo que cada enlace a SOC 2 aquí es una selección editorial de ControlMapping: los criterios que no hemos correlacionado no pueden coincidir. Los criterios de integridad del procesamiento (PI) y la mayoría de los criterios de privacidad (P) no tienen equivalente en los marcos de seguridad.

Probablemente trabajo nuevo: requisitos de SOC 2 sin correspondencia con NIS2 (24)

SOC 2	Requisito	Coincidencia	NIS2	Evidencia
CC2 Communication and information · 1
CC2.1	Quality information to support internal control	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P Privacy · 18
P1.1	Privacy notice	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P2.1	Choice and consent	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P3.1	Collection limited to privacy objectives	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P3.2	Explicit consent where required	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P4.1	Use limited to privacy objectives	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P4.2	Retention of personal information	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P4.3	Disposal of personal information	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P5.1	Data subject access	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P5.2	Correction of personal information	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P6.1	Disclosure to third parties with consent	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P6.2	Record of authorized disclosures	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P6.3	Record of unauthorized disclosures	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P6.4	Privacy commitments from third parties	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P6.5	Notification by third parties of unauthorized disclosures	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P6.6	Breach notification to affected individuals	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P6.7	Accounting of disclosures to data subjects	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P7.1	Quality of personal information	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
P8.1	Handling privacy inquiries, complaints and disputes	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
PI1 Processing integrity · 5
PI1.1	Information about processing objectives	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
PI1.2	Controls over system inputs	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
PI1.3	Controls over system processing	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
PI1.4	Controls over system outputs	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
PI1.5	Storing inputs, items in processing and outputs	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.

Correspondencia (37)

SOC 2	Requisito	Coincidencia	NIS2	Evidencia
A1 Availability · 3
A1.1	Capacity management to meet availability commitments	Editorial	4.1 4.3	Mismo tema: Continuidad del negocio (selección editorial)
A1.2	Environmental protections, backups and recovery infrastructure	Editorial	4.1 4.2 4.3	Mismo tema: Continuidad del negocio, Recuperación ante desastres, Copias de seguridad y recuperación (selección editorial)
A1.3	Testing recovery plan procedures	Editorial	4.1 4.2	Mismo tema: Planificación de la recuperación, Recuperación ante desastres (selección editorial)
C1 Confidentiality · 2
C1.1	Identifying and protecting confidential information	Editorial	12.1	Mismo tema: Clasificación de datos (selección editorial)
C1.2	Disposing of confidential information	Editorial	12.2 12.3	Mismo tema: Protección de datos (selección editorial)
CC1 Control environment · 5
CC1.1	Commitment to integrity and ethical values	Editorial	1.1	Mismo tema: Política de gobernanza (selección editorial)
CC1.2	Board independence and oversight of internal control	Editorial	1.2	Mismo tema: Funciones y responsabilidades (selección editorial)
CC1.3	Structures, reporting lines, authorities and responsibilities	Editorial	1.2	Mismo tema: Funciones y responsabilidades (selección editorial)
CC1.4	Commitment to attracting, developing and retaining competent people	Editorial	8.1 8.2 10.2	Mismo tema: Concienciación y formación (selección editorial)
CC1.5	Accountability for internal control responsibilities	Editorial	1.2 10.4	Mismo tema: Funciones y responsabilidades (selección editorial)
CC2 Communication and information · 2
CC2.2	Internal communication of objectives and responsibilities	Editorial	8.1 8.2	Mismo tema: Concienciación y formación (selección editorial)
CC2.3	Communication with external parties	Editorial	3.3 4.3	Mismo tema: Notificación, Comunicación, Comunicaciones y restauración (selección editorial)
CC3 Risk assessment · 4
CC3.1	Objectives specified clearly enough to identify risks	Editorial	2.1 7.1	Mismo tema: Gestión de riesgos (selección editorial)
CC3.2	Risk identification and analysis	Editorial	2.1	Mismo tema: Evaluación de riesgos (selección editorial)
CC3.3	Considering the potential for fraud	Editorial	2.1	Mismo tema: Evaluación de riesgos (selección editorial)
CC3.4	Identifying and assessing significant changes	Editorial	2.1	Mismo tema: Evaluación de riesgos (selección editorial)
CC4 Monitoring activities · 2
CC4.1	Ongoing and/or separate evaluations of controls	Editorial	2.2 2.3	Mismo tema: Cumplimiento (selección editorial)
CC4.2	Communicating and remediating control deficiencies	Editorial	2.2 2.3	Mismo tema: Cumplimiento (selección editorial)
CC5 Control activities · 3
CC5.1	Control activities that mitigate risks	Editorial	2.1 7.1	Mismo tema: Gestión de riesgos (selección editorial)
CC5.2	General controls over technology	Editorial	6.3	Mismo tema: Configuración segura (selección editorial)
CC5.3	Control activities deployed through policies and procedures	Editorial	1.1	Mismo tema: Política de gobernanza (selección editorial)
CC6 Logical and physical access · 8
CC6.1	Logical access security over information assets	Editorial	9.1 11.1 11.2+4	Mismo tema: Cifrado, Control de acceso (selección editorial)
CC6.2	User registration, authorization and removal	Editorial	11.1 11.2 11.5+1	Mismo tema: Control de acceso (selección editorial)
CC6.3	Role-based access, least privilege and segregation of duties	Editorial	11.1 11.2 11.3+2	Mismo tema: Control de acceso, Acceso privilegiado (selección editorial)
CC6.4	Physical access restrictions	Editorial	13.1 13.2 13.3	Mismo tema: Seguridad física (selección editorial)
CC6.5	Protection of data when assets are disposed of	Editorial	12.2 12.3	Mismo tema: Protección de datos (selección editorial)
CC6.6	Protection against threats from outside system boundaries	Editorial	6.7 6.8 11.1+1	Mismo tema: Cortafuegos / Segmentación de red, Confianza cero (selección editorial)
CC6.7	Restricting transmission, movement and removal of information	Editorial	9.1 12.3	Mismo tema: Cifrado, DLP (selección editorial)
CC6.8	Preventing or detecting unauthorized or malicious software	Editorial	6.9	Mismo tema: Protección de endpoints, Seguridad del correo electrónico (selección editorial)
CC7 System operations · 5
CC7.1	Detecting configuration changes and new vulnerabilities	Editorial	6.3 6.5 6.6+1	Mismo tema: Configuración segura, Gestión de vulnerabilidades, Gestión de parches (selección editorial)
CC7.2	Monitoring system components for anomalies	Editorial	3.2 3.4	Mismo tema: Monitoreo cont., Registro y auditoría, Detección de intrusiones, Detección de anomalías (selección editorial)
CC7.3	Evaluating security events to determine if they are incidents	Editorial	3.1 3.2 3.4+1	Mismo tema: Respuesta a incidentes, SIEM / SOC (selección editorial)
CC7.4	Responding to identified security incidents	Editorial	3.1 3.5	Mismo tema: Respuesta a incidentes, Análisis forense, Mitigación (selección editorial)
CC7.5	Recovering from identified security incidents	Editorial	3.6 4.1 4.3	Mismo tema: Lecciones aprendidas, Planificación de la recuperación, Comunicaciones y restauración (selección editorial)
CC8 Change management · 1
CC8.1	Change management for infrastructure, data and software	Editorial	6.2 6.4	Mismo tema: Desarrollo seguro (selección editorial)
CC9 Risk mitigation · 2
CC9.1	Mitigating risks from business disruptions	Editorial	2.1 4.1 4.3+1	Mismo tema: Gestión de riesgos, Continuidad del negocio (selección editorial)
CC9.2	Managing vendor and business partner risk	Editorial	5.1 5.2 6.1	Mismo tema: Riesgo de la cadena de suministro, Gestión de riesgos de proveedores, Seguridad en la nube (selección editorial)

Por tema

Ambos cubren (42):

Política de gobernanza Concienciación y formación Gestión de riesgos Riesgo de la cadena de suministro Funciones y responsabilidades Cumplimiento Gestión de activos Evaluación de riesgos Clasificación de datos Gestión de vulnerabilidades Control de acceso Autenticación multifactor Cifrado Protección de datos Copias de seguridad y recuperación Acceso privilegiado Cortafuegos / Segmentación de red Protección de endpoints Gestión de parches Configuración segura Desarrollo seguro Seguridad del correo electrónico Confianza cero Seguridad en la nube DLP Monitoreo cont.Registro y auditoría Detección de intrusiones Detección de anomalías SIEM / SOC Respuesta a incidentes Análisis forense Comunicación Mitigación Notificación Planificación de la recuperación Continuidad del negocio Lecciones aprendidas Comunicaciones y restauración Recuperación ante desastres Gestión de riesgos de proveedores Seguridad física

Solo SOC 2 (4):

Entorno empresarial Seguridad web Seguridad móvil WAF

Solo NIS2 (1):

Amenaza interna

Preguntas

¿Un informe SOC 2 demuestra el cumplimiento de NIS2?

Es una prueba útil de las medidas de seguridad, pero el cumplimiento de NIS2 lo evalúan las autoridades nacionales frente a la ley, incluidos los deberes de notificación y de gobernanza que SOC 2 no verifica.

Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.

Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · Relación tangencial solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Con correspondencia = incluido junto en un tema de ControlMapping, o vinculado directamente. Los crosswalks no demuestran cumplimiento. Metodología · Descargar los datos · Notificar un error.