Comparaison

SOC 2 et NIS2 : un rapport client et une loi européenne

SOC 2 (Trust Services Criteria) · NIS2 Implementing Regulation (EU) 2024/2690 · données du 2026-10-27

Par Paul Gillet · Mis à jour le 2026-10-17

SOC 2 et NIS2 sont rarement comparés directement, mais les éditeurs de logiciels d'origine américaine qui se développent dans l'UE sont de plus en plus confrontés aux deux. SOC 2 est un rapport d'attestation volontaire que demandent les clients ; NIS2 est une loi européenne applicable aux entités essentielles et importantes et, pour les fournisseurs de services numériques, ses mesures sont détaillées dans le règlement d'exécution (UE) 2024/2690.

En passant de SOC 2 à NIS2, presque chaque point d'exigence correspond à un critère SOC 2 dans nos données : gouvernance, évaluation des risques, contrôle d'accès, gestion des changements, réponse aux incidents, gestion des fournisseurs et continuité d'activité, tout s'aligne. Ce que SOC 2 ne vous apporte pas, c'est l'appareil juridique de NIS2 : les notifications d'incident à 24 heures, 72 heures et un mois, la formation et la responsabilité de la direction, ainsi que l'enregistrement auprès de l'autorité nationale.

En passant de NIS2 à SOC 2, les écarts tiennent aux catégories facultatives de SOC 2, Confidentialité et Intégrité du traitement, que NIS2 ne couvre pas. Chaque lien SOC 2 présenté ici relève de l'Éditorial de ControlMapping, aucune correspondance SOC 2 sous licence ouverte n'existant.

Points clés à retenir

Un ensemble de contrôles SOC 2 constitue une bonne base pour les mesures NIS2 ; les obligations légales sont le travail nouveau.
Ajoutez une procédure de notification des incidents significatifs avec des délais de 24 heures et de 72 heures.
Vérifiez quelle loi nationale s'applique à vous et si vous devez vous enregistrer.

Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →

Avoir SOC 2 → viser NIS2

49 exig.

47 mis en correspondance · · 1 sans correspondance Ouvrir dans la vue des écarts →

Sur 49 exigences NIS2 Implementing Regulation (EU) 2024/2690, 47 correspondent à un élément de SOC 2, 1 sont seulement faiblement liées et 1 n'ont aucune correspondance dans nos données.

Ici, NIS2 désigne les mesures techniques du règlement d'exécution (UE) 2024/2690, qui s'applique directement aux fournisseurs d'infrastructures numériques et de services TIC ; les autres entités NIS2 suivent la transposition nationale de leur pays de l'article 21. Les délais de notification des incidents (article 23) ne sont pas couverts. La correspondance de l'ENISA n'est pas contraignante.

Travaux probablement nouveaux : exigences NIS2 sans correspondance avec SOC 2 (1)

NIS2	Exigence	Correspondance	SOC 2	Preuves
12. Asset management · 1
12.5	Deposit, return or deletion of assets upon termination of employment	Aucune correspondance dans nos données	—	Aucune correspondance avec SOC 2 dans nos données.

À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (1)

NIS2	Exigence	Correspondance	SOC 2	Preuves
10. Human resources security · 1
10.1	Human resources security	Faiblement liés	CC1.4 CC2.2	Partage seulement les fonctions CSF PR.AT-02 : lien indicatif, pas une correspondance

Mis en correspondance (47)

NIS2	Exigence	Correspondance	SOC 2	Preuves
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	Éditorial	CC1.1 CC5.3	Même sujet : Politique de gouvernance (choix de la rédaction)
1.2	Roles, responsibilities and authorities	Éditorial	CC1.2 CC1.3 CC1.5	Même sujet : Rôles et responsabilités (choix de la rédaction)
2. Risk management policy · 3
2.1	Risk management framework	Éditorial	CC3.1 CC3.2 CC3.3+3	Même sujet : Gestion des risques, Évaluation des risques (choix de la rédaction)
2.2	Compliance monitoring	Éditorial	CC4.1 CC4.2	Même sujet : Conformité (choix de la rédaction)
2.3	Independent review of information and network security	Éditorial	CC4.1 CC4.2	Même sujet : Conformité (choix de la rédaction)
3. Incident handling · 6
3.1	Incident handling policy	Éditorial	CC7.3 CC7.4	Même sujet : Réponse aux incidents (choix de la rédaction)
3.2	Monitoring and logging	Éditorial	CC7.2 CC7.3	Même sujet : Surveillance continue, Journalisation et audit, Détection d'intrusion, SIEM / SOC (choix de la rédaction)
3.3	Event reporting	Éditorial	CC2.3	Même sujet : Notification (choix de la rédaction)
3.4	Event assessment and classification	Éditorial	CC7.2 CC7.3	Même sujet : Détection d'anomalies, SIEM / SOC (choix de la rédaction)
3.5	Incident response	Éditorial	CC7.3 CC7.4	Même sujet : Réponse aux incidents, Criminalistique numérique, Atténuation (choix de la rédaction)
3.6	Post-incident reviews	Éditorial	CC7.5	Même sujet : Enseignements tirés (choix de la rédaction)
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	Éditorial	A1.1 A1.2 A1.3+2	Même sujet : Continuité des activités, Reprise après sinistre, Planification de la reprise (choix de la rédaction)
4.2	Backup management	Éditorial	A1.2 A1.3	Même sujet : Sauvegarde et restauration, Reprise après sinistre (choix de la rédaction)
4.3	Crisis management	Éditorial	A1.1 A1.2 CC2.3+2	Même sujet : Continuité des activités, Communication, Communication et rétablissement (choix de la rédaction)
5. Supply chain security · 2
5.1	Supply chain security policy	Éditorial	CC9.2	Même sujet : Risque lié à la chaîne d'approvisionnement, Gestion des risques fournisseurs (choix de la rédaction)
5.2	Directory of suppliers and service providers	Éditorial	CC9.2	Même sujet : Gestion des risques fournisseurs (choix de la rédaction)
6. Security in acquisition, development and maintenance · 10
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Éditorial	CC9.2	Même sujet : Risque lié à la chaîne d'approvisionnement, Sécurité du cloud, Gestion des risques fournisseurs (choix de la rédaction)
6.2	Secure development life cycle	Éditorial	CC8.1	Même sujet : Développement sécurisé (choix de la rédaction)
6.3	Configuration management	Éditorial	CC5.2 CC7.1	Même sujet : Configuration sécurisée (choix de la rédaction)
6.4	Change management, repairs and maintenance	Éditorial	CC8.1	Rédaction ControlMapping : Change management: SOC 2 requires changes to be authorised, tested and approved; NIS2 point 6.4 requires change management, repairs and maintenance procedures.
6.5	Security testing	Éditorial	CC7.1	Même sujet : Gestion des vulnérabilités (choix de la rédaction)
6.6	Security patch management	Éditorial	CC7.1	Même sujet : Gestion des correctifs (choix de la rédaction)
6.7	Network security	Éditorial	CC6.6	Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction)
6.8	Network segmentation	Éditorial	CC6.6	Même sujet : Pare-feu / Segmentation réseau, Zero Trust (choix de la rédaction)
6.9	Protection against malicious and unauthorised software	Éditorial	CC6.8	Même sujet : Protection des terminaux, Sécurité de la messagerie (choix de la rédaction)
6.10	Vulnerability handling and disclosure	Éditorial	CC7.1	Même sujet : Gestion des vulnérabilités (choix de la rédaction)
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Éditorial	CC3.1 CC5.1 CC9.1	Même sujet : Gestion des risques (choix de la rédaction)
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	Éditorial	CC1.4 CC2.2	Même sujet : Sensibilisation et formation (choix de la rédaction)
8.2	Security training	Éditorial	CC1.4 CC2.2	Même sujet : Sensibilisation et formation (choix de la rédaction)
9. Cryptography · 1
9.1	Cryptography	Éditorial	CC6.1 CC6.7	Même sujet : Chiffrement (choix de la rédaction)
10. Human resources security · 3
10.2	Verification of Background	Éditorial	CC1.4	Rédaction ControlMapping : Background verification: SOC 2's commitment to competence includes screening; NIS2 point 10.2 requires background checks where appropriate.
10.3	Termination or change of employment procedures	Éditorial	CC6.2	Rédaction ControlMapping : Leavers and movers: SOC 2 requires access to be removed when no longer needed; NIS2 point 10.3 covers termination or change of employment.
10.4	Disciplinary process	Éditorial	CC1.5	Rédaction ControlMapping : Accountability: SOC 2 holds people accountable for their responsibilities; NIS2 point 10.4 requires a disciplinary process for violations.
11. Access control · 7
11.1	Access control policy	Éditorial	CC6.1 CC6.2 CC6.3+1	Même sujet : Contrôle d'accès (choix de la rédaction)
11.2	Management of access rights	Éditorial	CC6.1 CC6.2 CC6.3	Même sujet : Contrôle d'accès (choix de la rédaction)
11.3	Privileged accounts and system administration accounts	Éditorial	CC6.3	Même sujet : Accès privilégiés (choix de la rédaction)
11.4	Administration systems	Éditorial	CC6.3	Même sujet : Accès privilégiés (choix de la rédaction)
11.5	Identification	Éditorial	CC6.1 CC6.2 CC6.3	Même sujet : Contrôle d'accès (choix de la rédaction)
11.6	Authentication	Éditorial	CC6.1 CC6.6	Même sujet : Authentification multifacteur, Zero Trust (choix de la rédaction)
11.7	Multi-factor authentication	Éditorial	CC6.1	Même sujet : Authentification multifacteur (choix de la rédaction)
12. Asset management · 4
12.1	Asset classification	Éditorial	C1.1	Même sujet : Classification des données (choix de la rédaction)
12.2	Handling of assets	Éditorial	C1.2 CC6.5	Même sujet : Protection des données (choix de la rédaction)
12.3	Removable media policy	Éditorial	C1.2 CC6.5 CC6.7	Même sujet : Protection des données, DLP (choix de la rédaction)
12.4	Asset inventory	Éditorial	CC6.1	Même sujet : Gestion des actifs (choix de la rédaction)
13. Environmental and physical security · 3
13.1	Supporting utilities	Éditorial	CC6.4	Même sujet : Sécurité physique (choix de la rédaction)
13.2	Protection against physical and environmental threats	Éditorial	CC6.4	Même sujet : Sécurité physique (choix de la rédaction)
13.3	Perimeter and physical access control	Éditorial	CC6.4	Même sujet : Sécurité physique (choix de la rédaction)

Avoir NIS2 → viser SOC 2

61 exig.

37 mis en correspondance · · 24 sans correspondance Ouvrir dans la vue des écarts →

Sur 61 exigences SOC 2 (Trust Services Criteria), 37 correspondent à un élément de NIS2, 0 sont seulement faiblement liées et 24 n'ont aucune correspondance dans nos données.

Les correspondances SOC 2 publiées par l'AICPA ne sont pas sous licence ouverte ; chaque lien SOC 2 présenté ici relève donc de la rédaction de ControlMapping, et les critères que nous n'avons pas cartographiés ne peuvent pas être mis en correspondance. Les critères d'intégrité des traitements (PI) et la plupart des critères de confidentialité (P) n'ont pas d'équivalent dans les référentiels de sécurité.

Travaux probablement nouveaux : exigences SOC 2 sans correspondance avec NIS2 (24)

SOC 2	Exigence	Correspondance	NIS2	Preuves
CC2 Communication and information · 1
CC2.1	Quality information to support internal control	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P Privacy · 18
P1.1	Privacy notice	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P2.1	Choice and consent	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P3.1	Collection limited to privacy objectives	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P3.2	Explicit consent where required	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P4.1	Use limited to privacy objectives	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P4.2	Retention of personal information	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P4.3	Disposal of personal information	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P5.1	Data subject access	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P5.2	Correction of personal information	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P6.1	Disclosure to third parties with consent	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P6.2	Record of authorized disclosures	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P6.3	Record of unauthorized disclosures	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P6.4	Privacy commitments from third parties	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P6.5	Notification by third parties of unauthorized disclosures	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P6.6	Breach notification to affected individuals	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P6.7	Accounting of disclosures to data subjects	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P7.1	Quality of personal information	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
P8.1	Handling privacy inquiries, complaints and disputes	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
PI1 Processing integrity · 5
PI1.1	Information about processing objectives	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
PI1.2	Controls over system inputs	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
PI1.3	Controls over system processing	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
PI1.4	Controls over system outputs	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
PI1.5	Storing inputs, items in processing and outputs	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.

Mis en correspondance (37)

SOC 2	Exigence	Correspondance	NIS2	Preuves
A1 Availability · 3
A1.1	Capacity management to meet availability commitments	Éditorial	4.1 4.3	Même sujet : Continuité des activités (choix de la rédaction)
A1.2	Environmental protections, backups and recovery infrastructure	Éditorial	4.1 4.2 4.3	Même sujet : Continuité des activités, Reprise après sinistre, Sauvegarde et restauration (choix de la rédaction)
A1.3	Testing recovery plan procedures	Éditorial	4.1 4.2	Même sujet : Planification de la reprise, Reprise après sinistre (choix de la rédaction)
C1 Confidentiality · 2
C1.1	Identifying and protecting confidential information	Éditorial	12.1	Même sujet : Classification des données (choix de la rédaction)
C1.2	Disposing of confidential information	Éditorial	12.2 12.3	Même sujet : Protection des données (choix de la rédaction)
CC1 Control environment · 5
CC1.1	Commitment to integrity and ethical values	Éditorial	1.1	Même sujet : Politique de gouvernance (choix de la rédaction)
CC1.2	Board independence and oversight of internal control	Éditorial	1.2	Même sujet : Rôles et responsabilités (choix de la rédaction)
CC1.3	Structures, reporting lines, authorities and responsibilities	Éditorial	1.2	Même sujet : Rôles et responsabilités (choix de la rédaction)
CC1.4	Commitment to attracting, developing and retaining competent people	Éditorial	8.1 8.2 10.2	Même sujet : Sensibilisation et formation (choix de la rédaction)
CC1.5	Accountability for internal control responsibilities	Éditorial	1.2 10.4	Même sujet : Rôles et responsabilités (choix de la rédaction)
CC2 Communication and information · 2
CC2.2	Internal communication of objectives and responsibilities	Éditorial	8.1 8.2	Même sujet : Sensibilisation et formation (choix de la rédaction)
CC2.3	Communication with external parties	Éditorial	3.3 4.3	Même sujet : Notification, Communication, Communication et rétablissement (choix de la rédaction)
CC3 Risk assessment · 4
CC3.1	Objectives specified clearly enough to identify risks	Éditorial	2.1 7.1	Même sujet : Gestion des risques (choix de la rédaction)
CC3.2	Risk identification and analysis	Éditorial	2.1	Même sujet : Évaluation des risques (choix de la rédaction)
CC3.3	Considering the potential for fraud	Éditorial	2.1	Même sujet : Évaluation des risques (choix de la rédaction)
CC3.4	Identifying and assessing significant changes	Éditorial	2.1	Même sujet : Évaluation des risques (choix de la rédaction)
CC4 Monitoring activities · 2
CC4.1	Ongoing and/or separate evaluations of controls	Éditorial	2.2 2.3	Même sujet : Conformité (choix de la rédaction)
CC4.2	Communicating and remediating control deficiencies	Éditorial	2.2 2.3	Même sujet : Conformité (choix de la rédaction)
CC5 Control activities · 3
CC5.1	Control activities that mitigate risks	Éditorial	2.1 7.1	Même sujet : Gestion des risques (choix de la rédaction)
CC5.2	General controls over technology	Éditorial	6.3	Même sujet : Configuration sécurisée (choix de la rédaction)
CC5.3	Control activities deployed through policies and procedures	Éditorial	1.1	Même sujet : Politique de gouvernance (choix de la rédaction)
CC6 Logical and physical access · 8
CC6.1	Logical access security over information assets	Éditorial	9.1 11.1 11.2+4	Même sujet : Chiffrement, Contrôle d'accès (choix de la rédaction)
CC6.2	User registration, authorization and removal	Éditorial	11.1 11.2 11.5+1	Même sujet : Contrôle d'accès (choix de la rédaction)
CC6.3	Role-based access, least privilege and segregation of duties	Éditorial	11.1 11.2 11.3+2	Même sujet : Contrôle d'accès, Accès privilégiés (choix de la rédaction)
CC6.4	Physical access restrictions	Éditorial	13.1 13.2 13.3	Même sujet : Sécurité physique (choix de la rédaction)
CC6.5	Protection of data when assets are disposed of	Éditorial	12.2 12.3	Même sujet : Protection des données (choix de la rédaction)
CC6.6	Protection against threats from outside system boundaries	Éditorial	6.7 6.8 11.1+1	Même sujet : Pare-feu / Segmentation réseau, Zero Trust (choix de la rédaction)
CC6.7	Restricting transmission, movement and removal of information	Éditorial	9.1 12.3	Même sujet : Chiffrement, DLP (choix de la rédaction)
CC6.8	Preventing or detecting unauthorized or malicious software	Éditorial	6.9	Même sujet : Protection des terminaux, Sécurité de la messagerie (choix de la rédaction)
CC7 System operations · 5
CC7.1	Detecting configuration changes and new vulnerabilities	Éditorial	6.3 6.5 6.6+1	Même sujet : Configuration sécurisée, Gestion des vulnérabilités, Gestion des correctifs (choix de la rédaction)
CC7.2	Monitoring system components for anomalies	Éditorial	3.2 3.4	Même sujet : Surveillance continue, Journalisation et audit, Détection d'intrusion, Détection d'anomalies (choix de la rédaction)
CC7.3	Evaluating security events to determine if they are incidents	Éditorial	3.1 3.2 3.4+1	Même sujet : Réponse aux incidents, SIEM / SOC (choix de la rédaction)
CC7.4	Responding to identified security incidents	Éditorial	3.1 3.5	Même sujet : Réponse aux incidents, Criminalistique numérique, Atténuation (choix de la rédaction)
CC7.5	Recovering from identified security incidents	Éditorial	3.6 4.1 4.3	Même sujet : Enseignements tirés, Planification de la reprise, Communication et rétablissement (choix de la rédaction)
CC8 Change management · 1
CC8.1	Change management for infrastructure, data and software	Éditorial	6.2 6.4	Même sujet : Développement sécurisé (choix de la rédaction)
CC9 Risk mitigation · 2
CC9.1	Mitigating risks from business disruptions	Éditorial	2.1 4.1 4.3+1	Même sujet : Gestion des risques, Continuité des activités (choix de la rédaction)
CC9.2	Managing vendor and business partner risk	Éditorial	5.1 5.2 6.1	Même sujet : Risque lié à la chaîne d'approvisionnement, Gestion des risques fournisseurs, Sécurité du cloud (choix de la rédaction)

Par thème

Les deux couvrent (42) :

Politique de gouvernance Sensibilisation et formation Gestion des risques Risque lié à la chaîne d'approvisionnement Rôles et responsabilités Conformité Gestion des actifs Évaluation des risques Classification des données Gestion des vulnérabilités Contrôle d'accès Authentification multifacteur Chiffrement Protection des données Sauvegarde et restauration Accès privilégiés Pare-feu / Segmentation réseau Protection des terminaux Gestion des correctifs Configuration sécurisée Développement sécurisé Sécurité de la messagerie Zero Trust Sécurité du cloud DLP Surveillance continue Journalisation et audit Détection d'intrusion Détection d'anomalies SIEM / SOC Réponse aux incidents Criminalistique numérique Communication Atténuation Notification Planification de la reprise Continuité des activités Enseignements tirés Communication et rétablissement Reprise après sinistre Gestion des risques fournisseurs Sécurité physique

Seulement SOC 2 (4) :

Environnement métier Sécurité web Sécurité mobile WAF

Seulement NIS2 (1) :

Menace interne

Questions

Un rapport SOC 2 démontre-t-il la conformité à NIS2 ?

C'est une preuve utile des mesures de sécurité, mais la conformité à NIS2 est appréciée par les autorités nationales au regard de la loi, y compris les obligations de notification et de gouvernance que SOC 2 ne teste pas.

Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.

Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · Faiblement liés partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.