Perbandingan

SOC 2 vs NIS2: laporan pelanggan dan undang-undang UE

SOC 2 (Trust Services Criteria) · NIS2 Implementing Regulation (EU) 2024/2690 · data 2026-10-27

Menurut Paul Gillet · Diperbarui 2026-10-17

SOC 2 dan NIS2 jarang dibandingkan secara langsung, tetapi perusahaan perangkat lunak berbasis AS yang memperluas bisnis ke UE semakin sering menghadapi keduanya. SOC 2 adalah laporan atestasi sukarela yang diminta pelanggan; NIS2 adalah undang-undang UE untuk entitas esensial dan penting, dan untuk penyedia layanan digital, ketentuan teknisnya diuraikan dalam Implementing Regulation (EU) 2024/2690.

Dari SOC 2 ke NIS2, hampir setiap poin persyaratan dipetakan ke kriteria SOC 2 dalam data kami: tata kelola, penilaian risiko, kontrol akses, manajemen perubahan, respons insiden, manajemen vendor, dan kelangsungan bisnis, semuanya selaras. Yang tidak diberikan SOC 2 adalah mekanisme hukum NIS2: laporan insiden dalam 24 jam, 72 jam, dan satu bulan, pelatihan dan tanggung jawab manajemen, serta registrasi kepada otoritas nasional.

Dari NIS2 ke SOC 2, kesenjangannya ada pada kategori opsional SOC 2, yaitu Privacy dan Processing Integrity, yang tidak dicakup oleh NIS2. Setiap tautan SOC 2 di sini bersifat Editorial ControlMapping, karena belum ada crosswalk SOC 2 dengan lisensi terbuka.

Poin utama

Kumpulan kontrol SOC 2 merupakan dasar yang baik untuk ketentuan teknis NIS2; kewajiban hukumnya adalah pekerjaan baru.
Tambahkan prosedur pelaporan insiden signifikan dengan tenggat 24 jam dan 72 jam.
Periksa undang-undang nasional mana yang berlaku bagi Anda dan apakah Anda wajib melakukan registrasi.

Unduh perbandingan ini (CSV) Buka di analisis kesenjangan →

Miliki SOC 2 → butuhkan NIS2

49 persyaratan

47 terpetakan · · 1 tanpa pemetaan Buka di tampilan kesenjangan →

Dari 49 persyaratan NIS2 Implementing Regulation (EU) 2024/2690, 47 dipetakan ke sesuatu dalam SOC 2, 1 hanya terkait secara longgar, dan 1 tidak memiliki pemetaan dalam data kami.

NIS2 di sini mengacu pada ketentuan teknis Implementing Regulation (EU) 2024/2690, yang berlaku langsung bagi penyedia infrastruktur digital dan layanan ICT; entitas NIS2 lainnya mengikuti transposisi Pasal 21 di negara masing-masing. Batas waktu pelaporan insiden (Pasal 23) tidak termasuk dalam cakupan. Pemetaan ENISA bersifat tidak mengikat.

Kemungkinan pekerjaan baru: persyaratan NIS2 tanpa pemetaan ke SOC 2 (1)

NIS2	Persyaratan	Kecocokan	SOC 2	Bukti
12. Asset management · 1
12.5	Deposit, return or deletion of assets upon termination of employment	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke SOC 2 dalam data kami.

Periksa ini: hanya terkait secara longgar (hasil CSF yang sama, bukan pemetaan) (1)

NIS2	Persyaratan	Kecocokan	SOC 2	Bukti
10. Human resources security · 1
10.1	Human resources security	Terkait secara longgar	CC1.4 CC2.2	Hanya berbagi CSF PR.AT-02: terkait, bukan pemetaan

Dipetakan (47)

NIS2	Persyaratan	Kecocokan	SOC 2	Bukti
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	Editorial	CC1.1 CC5.3	Topik sama: Kebijakan Tata Kelola (pilihan editor)
1.2	Roles, responsibilities and authorities	Editorial	CC1.2 CC1.3 CC1.5	Topik sama: Peran & Tanggung Jawab (pilihan editor)
2. Risk management policy · 3
2.1	Risk management framework	Editorial	CC3.1 CC3.2 CC3.3+3	Topik sama: Manajemen Risiko, Penilaian Risiko (pilihan editor)
2.2	Compliance monitoring	Editorial	CC4.1 CC4.2	Topik sama: Kepatuhan (pilihan editor)
2.3	Independent review of information and network security	Editorial	CC4.1 CC4.2	Topik sama: Kepatuhan (pilihan editor)
3. Incident handling · 6
3.1	Incident handling policy	Editorial	CC7.3 CC7.4	Topik sama: Respons Insiden (pilihan editor)
3.2	Monitoring and logging	Editorial	CC7.2 CC7.3	Topik sama: Pemantauan Berkelanjutan, Pencatatan & Audit, Deteksi Intrusi, SIEM / SOC (pilihan editor)
3.3	Event reporting	Editorial	CC2.3	Topik sama: Pelaporan (pilihan editor)
3.4	Event assessment and classification	Editorial	CC7.2 CC7.3	Topik sama: Deteksi Anomali, SIEM / SOC (pilihan editor)
3.5	Incident response	Editorial	CC7.3 CC7.4	Topik sama: Respons Insiden, Forensik, Mitigasi (pilihan editor)
3.6	Post-incident reviews	Editorial	CC7.5	Topik sama: Pelajaran yang Dipetik (pilihan editor)
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	Editorial	A1.1 A1.2 A1.3+2	Topik sama: Kelangsungan Usaha, Pemulihan Bencana, Perencanaan Pemulihan (pilihan editor)
4.2	Backup management	Editorial	A1.2 A1.3	Topik sama: Cadangan & Pemulihan, Pemulihan Bencana (pilihan editor)
4.3	Crisis management	Editorial	A1.1 A1.2 CC2.3+2	Topik sama: Kelangsungan Usaha, Komunikasi, Komunikasi & Pemulihan (pilihan editor)
5. Supply chain security · 2
5.1	Supply chain security policy	Editorial	CC9.2	Topik sama: Risiko Rantai Pasok, Manajemen Risiko Vendor (pilihan editor)
5.2	Directory of suppliers and service providers	Editorial	CC9.2	Topik sama: Manajemen Risiko Vendor (pilihan editor)
6. Security in acquisition, development and maintenance · 10
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Editorial	CC9.2	Topik sama: Risiko Rantai Pasok, Keamanan Cloud, Manajemen Risiko Vendor (pilihan editor)
6.2	Secure development life cycle	Editorial	CC8.1	Topik sama: Pengembangan Aman (pilihan editor)
6.3	Configuration management	Editorial	CC5.2 CC7.1	Topik sama: Konfigurasi Aman (pilihan editor)
6.4	Change management, repairs and maintenance	Editorial	CC8.1	Editorial ControlMapping: Change management: SOC 2 requires changes to be authorised, tested and approved; NIS2 point 6.4 requires change management, repairs and maintenance procedures.
6.5	Security testing	Editorial	CC7.1	Topik sama: Manajemen Kerentanan (pilihan editor)
6.6	Security patch management	Editorial	CC7.1	Topik sama: Manajemen Patch (pilihan editor)
6.7	Network security	Editorial	CC6.6	Topik sama: Firewall / Segmentasi Jaringan (pilihan editor)
6.8	Network segmentation	Editorial	CC6.6	Topik sama: Firewall / Segmentasi Jaringan, Zero Trust (pilihan editor)
6.9	Protection against malicious and unauthorised software	Editorial	CC6.8	Topik sama: Perlindungan Endpoint, Keamanan Email (pilihan editor)
6.10	Vulnerability handling and disclosure	Editorial	CC7.1	Topik sama: Manajemen Kerentanan (pilihan editor)
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Editorial	CC3.1 CC5.1 CC9.1	Topik sama: Manajemen Risiko (pilihan editor)
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	Editorial	CC1.4 CC2.2	Topik sama: Kesadaran & Pelatihan (pilihan editor)
8.2	Security training	Editorial	CC1.4 CC2.2	Topik sama: Kesadaran & Pelatihan (pilihan editor)
9. Cryptography · 1
9.1	Cryptography	Editorial	CC6.1 CC6.7	Topik sama: Enkripsi (pilihan editor)
10. Human resources security · 3
10.2	Verification of Background	Editorial	CC1.4	Editorial ControlMapping: Background verification: SOC 2's commitment to competence includes screening; NIS2 point 10.2 requires background checks where appropriate.
10.3	Termination or change of employment procedures	Editorial	CC6.2	Editorial ControlMapping: Leavers and movers: SOC 2 requires access to be removed when no longer needed; NIS2 point 10.3 covers termination or change of employment.
10.4	Disciplinary process	Editorial	CC1.5	Editorial ControlMapping: Accountability: SOC 2 holds people accountable for their responsibilities; NIS2 point 10.4 requires a disciplinary process for violations.
11. Access control · 7
11.1	Access control policy	Editorial	CC6.1 CC6.2 CC6.3+1	Topik sama: Kontrol Akses (pilihan editor)
11.2	Management of access rights	Editorial	CC6.1 CC6.2 CC6.3	Topik sama: Kontrol Akses (pilihan editor)
11.3	Privileged accounts and system administration accounts	Editorial	CC6.3	Topik sama: Akses Istimewa (pilihan editor)
11.4	Administration systems	Editorial	CC6.3	Topik sama: Akses Istimewa (pilihan editor)
11.5	Identification	Editorial	CC6.1 CC6.2 CC6.3	Topik sama: Kontrol Akses (pilihan editor)
11.6	Authentication	Editorial	CC6.1 CC6.6	Topik sama: Autentikasi Multi-Faktor, Zero Trust (pilihan editor)
11.7	Multi-factor authentication	Editorial	CC6.1	Topik sama: Autentikasi Multi-Faktor (pilihan editor)
12. Asset management · 4
12.1	Asset classification	Editorial	C1.1	Topik sama: Klasifikasi Data (pilihan editor)
12.2	Handling of assets	Editorial	C1.2 CC6.5	Topik sama: Perlindungan Data (pilihan editor)
12.3	Removable media policy	Editorial	C1.2 CC6.5 CC6.7	Topik sama: Perlindungan Data, DLP (pilihan editor)
12.4	Asset inventory	Editorial	CC6.1	Topik sama: Manajemen Aset (pilihan editor)
13. Environmental and physical security · 3
13.1	Supporting utilities	Editorial	CC6.4	Topik sama: Keamanan Fisik (pilihan editor)
13.2	Protection against physical and environmental threats	Editorial	CC6.4	Topik sama: Keamanan Fisik (pilihan editor)
13.3	Perimeter and physical access control	Editorial	CC6.4	Topik sama: Keamanan Fisik (pilihan editor)

Miliki NIS2 → butuhkan SOC 2

61 persyaratan

37 terpetakan · · 24 tanpa pemetaan Buka di tampilan kesenjangan →

Dari 61 persyaratan SOC 2 (Trust Services Criteria), 37 dipetakan ke sesuatu dalam NIS2, 0 hanya terkait secara longgar, dan 24 tidak memiliki pemetaan dalam data kami.

Pemetaan SOC 2 dari AICPA tidak berlisensi terbuka, sehingga setiap tautan SOC 2 di sini bersifat editorial ControlMapping: kriteria yang belum kami petakan tidak dapat dicocokkan. Kriteria integritas pemrosesan (PI) dan sebagian besar kriteria privasi (P) tidak memiliki padanan dalam kerangka kerja keamanan.

Kemungkinan pekerjaan baru: persyaratan SOC 2 tanpa pemetaan ke NIS2 (24)

SOC 2	Persyaratan	Kecocokan	NIS2	Bukti
CC2 Communication and information · 1
CC2.1	Quality information to support internal control	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P Privacy · 18
P1.1	Privacy notice	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P2.1	Choice and consent	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P3.1	Collection limited to privacy objectives	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P3.2	Explicit consent where required	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P4.1	Use limited to privacy objectives	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P4.2	Retention of personal information	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P4.3	Disposal of personal information	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P5.1	Data subject access	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P5.2	Correction of personal information	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P6.1	Disclosure to third parties with consent	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P6.2	Record of authorized disclosures	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P6.3	Record of unauthorized disclosures	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P6.4	Privacy commitments from third parties	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P6.5	Notification by third parties of unauthorized disclosures	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P6.6	Breach notification to affected individuals	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P6.7	Accounting of disclosures to data subjects	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P7.1	Quality of personal information	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
P8.1	Handling privacy inquiries, complaints and disputes	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
PI1 Processing integrity · 5
PI1.1	Information about processing objectives	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
PI1.2	Controls over system inputs	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
PI1.3	Controls over system processing	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
PI1.4	Controls over system outputs	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.
PI1.5	Storing inputs, items in processing and outputs	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke NIS2 dalam data kami.

Dipetakan (37)

SOC 2	Persyaratan	Kecocokan	NIS2	Bukti
A1 Availability · 3
A1.1	Capacity management to meet availability commitments	Editorial	4.1 4.3	Topik sama: Kelangsungan Usaha (pilihan editor)
A1.2	Environmental protections, backups and recovery infrastructure	Editorial	4.1 4.2 4.3	Topik sama: Kelangsungan Usaha, Pemulihan Bencana, Cadangan & Pemulihan (pilihan editor)
A1.3	Testing recovery plan procedures	Editorial	4.1 4.2	Topik sama: Perencanaan Pemulihan, Pemulihan Bencana (pilihan editor)
C1 Confidentiality · 2
C1.1	Identifying and protecting confidential information	Editorial	12.1	Topik sama: Klasifikasi Data (pilihan editor)
C1.2	Disposing of confidential information	Editorial	12.2 12.3	Topik sama: Perlindungan Data (pilihan editor)
CC1 Control environment · 5
CC1.1	Commitment to integrity and ethical values	Editorial	1.1	Topik sama: Kebijakan Tata Kelola (pilihan editor)
CC1.2	Board independence and oversight of internal control	Editorial	1.2	Topik sama: Peran & Tanggung Jawab (pilihan editor)
CC1.3	Structures, reporting lines, authorities and responsibilities	Editorial	1.2	Topik sama: Peran & Tanggung Jawab (pilihan editor)
CC1.4	Commitment to attracting, developing and retaining competent people	Editorial	8.1 8.2 10.2	Topik sama: Kesadaran & Pelatihan (pilihan editor)
CC1.5	Accountability for internal control responsibilities	Editorial	1.2 10.4	Topik sama: Peran & Tanggung Jawab (pilihan editor)
CC2 Communication and information · 2
CC2.2	Internal communication of objectives and responsibilities	Editorial	8.1 8.2	Topik sama: Kesadaran & Pelatihan (pilihan editor)
CC2.3	Communication with external parties	Editorial	3.3 4.3	Topik sama: Pelaporan, Komunikasi, Komunikasi & Pemulihan (pilihan editor)
CC3 Risk assessment · 4
CC3.1	Objectives specified clearly enough to identify risks	Editorial	2.1 7.1	Topik sama: Manajemen Risiko (pilihan editor)
CC3.2	Risk identification and analysis	Editorial	2.1	Topik sama: Penilaian Risiko (pilihan editor)
CC3.3	Considering the potential for fraud	Editorial	2.1	Topik sama: Penilaian Risiko (pilihan editor)
CC3.4	Identifying and assessing significant changes	Editorial	2.1	Topik sama: Penilaian Risiko (pilihan editor)
CC4 Monitoring activities · 2
CC4.1	Ongoing and/or separate evaluations of controls	Editorial	2.2 2.3	Topik sama: Kepatuhan (pilihan editor)
CC4.2	Communicating and remediating control deficiencies	Editorial	2.2 2.3	Topik sama: Kepatuhan (pilihan editor)
CC5 Control activities · 3
CC5.1	Control activities that mitigate risks	Editorial	2.1 7.1	Topik sama: Manajemen Risiko (pilihan editor)
CC5.2	General controls over technology	Editorial	6.3	Topik sama: Konfigurasi Aman (pilihan editor)
CC5.3	Control activities deployed through policies and procedures	Editorial	1.1	Topik sama: Kebijakan Tata Kelola (pilihan editor)
CC6 Logical and physical access · 8
CC6.1	Logical access security over information assets	Editorial	9.1 11.1 11.2+4	Topik sama: Enkripsi, Kontrol Akses (pilihan editor)
CC6.2	User registration, authorization and removal	Editorial	11.1 11.2 11.5+1	Topik sama: Kontrol Akses (pilihan editor)
CC6.3	Role-based access, least privilege and segregation of duties	Editorial	11.1 11.2 11.3+2	Topik sama: Kontrol Akses, Akses Istimewa (pilihan editor)
CC6.4	Physical access restrictions	Editorial	13.1 13.2 13.3	Topik sama: Keamanan Fisik (pilihan editor)
CC6.5	Protection of data when assets are disposed of	Editorial	12.2 12.3	Topik sama: Perlindungan Data (pilihan editor)
CC6.6	Protection against threats from outside system boundaries	Editorial	6.7 6.8 11.1+1	Topik sama: Firewall / Segmentasi Jaringan, Zero Trust (pilihan editor)
CC6.7	Restricting transmission, movement and removal of information	Editorial	9.1 12.3	Topik sama: Enkripsi, DLP (pilihan editor)
CC6.8	Preventing or detecting unauthorized or malicious software	Editorial	6.9	Topik sama: Perlindungan Endpoint, Keamanan Email (pilihan editor)
CC7 System operations · 5
CC7.1	Detecting configuration changes and new vulnerabilities	Editorial	6.3 6.5 6.6+1	Topik sama: Konfigurasi Aman, Manajemen Kerentanan, Manajemen Patch (pilihan editor)
CC7.2	Monitoring system components for anomalies	Editorial	3.2 3.4	Topik sama: Pemantauan Berkelanjutan, Pencatatan & Audit, Deteksi Intrusi, Deteksi Anomali (pilihan editor)
CC7.3	Evaluating security events to determine if they are incidents	Editorial	3.1 3.2 3.4+1	Topik sama: Respons Insiden, SIEM / SOC (pilihan editor)
CC7.4	Responding to identified security incidents	Editorial	3.1 3.5	Topik sama: Respons Insiden, Forensik, Mitigasi (pilihan editor)
CC7.5	Recovering from identified security incidents	Editorial	3.6 4.1 4.3	Topik sama: Pelajaran yang Dipetik, Perencanaan Pemulihan, Komunikasi & Pemulihan (pilihan editor)
CC8 Change management · 1
CC8.1	Change management for infrastructure, data and software	Editorial	6.2 6.4	Topik sama: Pengembangan Aman (pilihan editor)
CC9 Risk mitigation · 2
CC9.1	Mitigating risks from business disruptions	Editorial	2.1 4.1 4.3+1	Topik sama: Manajemen Risiko, Kelangsungan Usaha (pilihan editor)
CC9.2	Managing vendor and business partner risk	Editorial	5.1 5.2 6.1	Topik sama: Risiko Rantai Pasok, Manajemen Risiko Vendor, Keamanan Cloud (pilihan editor)

Menurut topik

Keduanya mencakup (42):

Hanya SOC 2 (4):

Lingkungan Bisnis Keamanan Web Keamanan Seluler WAF

Hanya NIS2 (1):

Ancaman Orang Dalam

Pertanyaan

Apakah laporan SOC 2 menunjukkan kepatuhan NIS2?

Laporan ini berguna sebagai bukti ketentuan keamanan, tetapi kepatuhan NIS2 dinilai oleh otoritas nasional berdasarkan undang-undang, termasuk kewajiban pelaporan dan tata kelola yang tidak diuji oleh SOC 2.

ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.

Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · Terkait secara longgar hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Dipetakan = dikurasi bersama dalam topik ControlMapping, atau ditautkan langsung. Crosswalk tidak membuktikan kepatuhan. Metodologi · Unduh data · Laporkan kesalahan.