比較

SOC 2 と NIS2 の比較：顧客向け報告書と EU 法

SOC 2 (Trust Services Criteria) · NIS2 Implementing Regulation (EU) 2024/2690 · データ 2026-10-27

Paul Gillet 別 · 更新日 2026-10-17

SOC 2 と NIS2 が直接比較されることは少ないものの、EU に進出する米国発のソフトウェア企業は両方に直面するケースが増えています。SOC 2 は顧客が求める任意の保証（アテステーション）報告書です。一方、NIS2 は重要事業者および重要な事業体に適用される EU 法であり、デジタルプロバイダーに対する措置の詳細は実施規則（EU）2024/2690 に定められています。

SOC 2 から NIS2 へ見ると、当サイトのデータではほぼすべての要件ポイントが SOC 2 の基準に対応します。ガバナンス、リスク評価、アクセス制御、変更管理、インシデント対応、ベンダー管理、事業継続はいずれも一致します。一方、SOC 2 では NIS2 の法的な仕組みはカバーできません。具体的には、24時間、72時間、1か月のインシデント報告、経営層の研修と責任、所管の国家当局への登録が該当します。

NIS2 から SOC 2 へ見ると、ギャップは SOC 2 の任意カテゴリであるプライバシーおよび処理の完全性です。NIS2 はこれらを対象としていません。ここにある SOC 2 のリンクはすべて ControlMapping の編集によるものです。オープンライセンスの SOC 2 対応表は存在しないためです。

要点

SOC 2 の管理策セットは NIS2 の措置の良い基盤となりますが、法的義務は新たに取り組むべき作業です。
24時間および72時間の期限を含む重大インシデント報告手順を追加してください。
どの国内法が自社に適用されるか、また登録が必要かどうかを確認してください。

この比較をダウンロード（CSV）ギャップ分析で開く →

SOC 2 を保有、NIS2 が必要

49 要件

47 件対応付け済み · · 1 件は対応なしギャップビューで開く →

NIS2 Implementing Regulation (EU) 2024/2690 の要件 49 件のうち、47 件は SOC 2 の何らかの項目にマッピングされ、1 件は緩やかに関連するのみで、1 件は当サイトのデータにマッピングがありません。

ここでの NIS2 とは、実施規則（EU）2024/2690 の技術的対策を指し、デジタルインフラおよび ICT サービス提供者に直接適用されます。その他の NIS2 対象事業者は、第21条の各国国内法制化に従います。インシデント報告の期限（第23条）は対象外です。ENISA のマッピングは拘束力を持ちません。

新規対応が必要と見込まれる項目: SOC 2 へのマッピングがない NIS2 の要件 (1)

NIS2	要件	一致	SOC 2	証跡
12. Asset management · 1
12.5	Deposit, return or deletion of assets upon termination of employment	当サイトのデータにはマッピングがありません	—	当サイトのデータには SOC 2 へのマッピングがありません。

要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (1)

NIS2	要件	一致	SOC 2	証跡
10. Human resources security · 1
10.1	Human resources security	緩やかに関連	CC1.4 CC2.2	CSF PR.AT-02 のみを共有: 関連はあるがマッピングではありません

マッピング済み (47)

NIS2	要件	一致	SOC 2	証跡
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	編集	CC1.1 CC5.3	同じトピック：ガバナンスポリシー (編集部のおすすめ)
1.2	Roles, responsibilities and authorities	編集	CC1.2 CC1.3 CC1.5	同じトピック：役割と責任 (編集部のおすすめ)
2. Risk management policy · 3
2.1	Risk management framework	編集	CC3.1 CC3.2 CC3.3+3	同じトピック：リスクマネジメント, リスクアセスメント (編集部のおすすめ)
2.2	Compliance monitoring	編集	CC4.1 CC4.2	同じトピック：コンプライアンス (編集部のおすすめ)
2.3	Independent review of information and network security	編集	CC4.1 CC4.2	同じトピック：コンプライアンス (編集部のおすすめ)
3. Incident handling · 6
3.1	Incident handling policy	編集	CC7.3 CC7.4	同じトピック：インシデント対応 (編集部のおすすめ)
3.2	Monitoring and logging	編集	CC7.2 CC7.3	同じトピック：継続的モニタリング, ログ記録と監査, 侵入検知, SIEM / SOC (編集部のおすすめ)
3.3	Event reporting	編集	CC2.3	同じトピック：報告 (編集部のおすすめ)
3.4	Event assessment and classification	編集	CC7.2 CC7.3	同じトピック：異常検知, SIEM / SOC (編集部のおすすめ)
3.5	Incident response	編集	CC7.3 CC7.4	同じトピック：インシデント対応, フォレンジック, 緩和策 (編集部のおすすめ)
3.6	Post-incident reviews	編集	CC7.5	同じトピック：教訓の反映 (編集部のおすすめ)
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	編集	A1.1 A1.2 A1.3+2	同じトピック：事業継続, ディザスタリカバリ, 復旧計画 (編集部のおすすめ)
4.2	Backup management	編集	A1.2 A1.3	同じトピック：バックアップと復旧, ディザスタリカバリ (編集部のおすすめ)
4.3	Crisis management	編集	A1.1 A1.2 CC2.3+2	同じトピック：事業継続, コミュニケーション, 連絡と復旧 (編集部のおすすめ)
5. Supply chain security · 2
5.1	Supply chain security policy	編集	CC9.2	同じトピック：サプライチェーンリスク, ベンダーリスク管理 (編集部のおすすめ)
5.2	Directory of suppliers and service providers	編集	CC9.2	同じトピック：ベンダーリスク管理 (編集部のおすすめ)
6. Security in acquisition, development and maintenance · 10
6.1	Security in acquisition of ICT services, ICT systems or ICT products	編集	CC9.2	同じトピック：サプライチェーンリスク, クラウドセキュリティ, ベンダーリスク管理 (編集部のおすすめ)
6.2	Secure development life cycle	編集	CC8.1	同じトピック：セキュア開発 (編集部のおすすめ)
6.3	Configuration management	編集	CC5.2 CC7.1	同じトピック：安全な構成 (編集部のおすすめ)
6.4	Change management, repairs and maintenance	編集	CC8.1	ControlMapping編集部： Change management: SOC 2 requires changes to be authorised, tested and approved; NIS2 point 6.4 requires change management, repairs and maintenance procedures.
6.5	Security testing	編集	CC7.1	同じトピック：脆弱性管理 (編集部のおすすめ)
6.6	Security patch management	編集	CC7.1	同じトピック：パッチ管理 (編集部のおすすめ)
6.7	Network security	編集	CC6.6	同じトピック：ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ)
6.8	Network segmentation	編集	CC6.6	同じトピック：ファイアウォール / ネットワークセグメンテーション, ゼロトラスト (編集部のおすすめ)
6.9	Protection against malicious and unauthorised software	編集	CC6.8	同じトピック：エンドポイント保護, メールセキュリティ (編集部のおすすめ)
6.10	Vulnerability handling and disclosure	編集	CC7.1	同じトピック：脆弱性管理 (編集部のおすすめ)
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	編集	CC3.1 CC5.1 CC9.1	同じトピック：リスクマネジメント (編集部のおすすめ)
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	編集	CC1.4 CC2.2	同じトピック：意識向上とトレーニング (編集部のおすすめ)
8.2	Security training	編集	CC1.4 CC2.2	同じトピック：意識向上とトレーニング (編集部のおすすめ)
9. Cryptography · 1
9.1	Cryptography	編集	CC6.1 CC6.7	同じトピック：暗号化 (編集部のおすすめ)
10. Human resources security · 3
10.2	Verification of Background	編集	CC1.4	ControlMapping編集部： Background verification: SOC 2's commitment to competence includes screening; NIS2 point 10.2 requires background checks where appropriate.
10.3	Termination or change of employment procedures	編集	CC6.2	ControlMapping編集部： Leavers and movers: SOC 2 requires access to be removed when no longer needed; NIS2 point 10.3 covers termination or change of employment.
10.4	Disciplinary process	編集	CC1.5	ControlMapping編集部： Accountability: SOC 2 holds people accountable for their responsibilities; NIS2 point 10.4 requires a disciplinary process for violations.
11. Access control · 7
11.1	Access control policy	編集	CC6.1 CC6.2 CC6.3+1	同じトピック：アクセス制御 (編集部のおすすめ)
11.2	Management of access rights	編集	CC6.1 CC6.2 CC6.3	同じトピック：アクセス制御 (編集部のおすすめ)
11.3	Privileged accounts and system administration accounts	編集	CC6.3	同じトピック：特権アクセス (編集部のおすすめ)
11.4	Administration systems	編集	CC6.3	同じトピック：特権アクセス (編集部のおすすめ)
11.5	Identification	編集	CC6.1 CC6.2 CC6.3	同じトピック：アクセス制御 (編集部のおすすめ)
11.6	Authentication	編集	CC6.1 CC6.6	同じトピック：多要素認証, ゼロトラスト (編集部のおすすめ)
11.7	Multi-factor authentication	編集	CC6.1	同じトピック：多要素認証 (編集部のおすすめ)
12. Asset management · 4
12.1	Asset classification	編集	C1.1	同じトピック：データ分類 (編集部のおすすめ)
12.2	Handling of assets	編集	C1.2 CC6.5	同じトピック：データ保護 (編集部のおすすめ)
12.3	Removable media policy	編集	C1.2 CC6.5 CC6.7	同じトピック：データ保護, DLP (編集部のおすすめ)
12.4	Asset inventory	編集	CC6.1	同じトピック：資産管理 (編集部のおすすめ)
13. Environmental and physical security · 3
13.1	Supporting utilities	編集	CC6.4	同じトピック：物理的セキュリティ (編集部のおすすめ)
13.2	Protection against physical and environmental threats	編集	CC6.4	同じトピック：物理的セキュリティ (編集部のおすすめ)
13.3	Perimeter and physical access control	編集	CC6.4	同じトピック：物理的セキュリティ (編集部のおすすめ)

NIS2 を保有、SOC 2 が必要

61 要件

37 件対応付け済み · · 24 件は対応なしギャップビューで開く →

SOC 2 (Trust Services Criteria) の要件 61 件のうち、37 件は NIS2 の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、24 件は当サイトのデータにマッピングがありません。

AICPAのSOC 2対応表はオープンライセンスではないため、ここに掲載しているSOC 2のリンクはすべてControlMapping編集部による判断です。マッピングしていない基準は一致とはみなせません。処理の完全性（PI）基準と、プライバシー（P）基準の大半には、セキュリティフレームワークに相当する項目がありません。

新規対応が必要と見込まれる項目: NIS2 へのマッピングがない SOC 2 の要件 (24)

SOC 2	要件	一致	NIS2	証跡
CC2 Communication and information · 1
CC2.1	Quality information to support internal control	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P Privacy · 18
P1.1	Privacy notice	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P2.1	Choice and consent	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P3.1	Collection limited to privacy objectives	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P3.2	Explicit consent where required	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P4.1	Use limited to privacy objectives	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P4.2	Retention of personal information	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P4.3	Disposal of personal information	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P5.1	Data subject access	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P5.2	Correction of personal information	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P6.1	Disclosure to third parties with consent	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P6.2	Record of authorized disclosures	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P6.3	Record of unauthorized disclosures	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P6.4	Privacy commitments from third parties	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P6.5	Notification by third parties of unauthorized disclosures	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P6.6	Breach notification to affected individuals	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P6.7	Accounting of disclosures to data subjects	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P7.1	Quality of personal information	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
P8.1	Handling privacy inquiries, complaints and disputes	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
PI1 Processing integrity · 5
PI1.1	Information about processing objectives	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
PI1.2	Controls over system inputs	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
PI1.3	Controls over system processing	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
PI1.4	Controls over system outputs	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
PI1.5	Storing inputs, items in processing and outputs	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。

マッピング済み (37)

SOC 2	要件	一致	NIS2	証跡
A1 Availability · 3
A1.1	Capacity management to meet availability commitments	編集	4.1 4.3	同じトピック：事業継続 (編集部のおすすめ)
A1.2	Environmental protections, backups and recovery infrastructure	編集	4.1 4.2 4.3	同じトピック：事業継続, ディザスタリカバリ, バックアップと復旧 (編集部のおすすめ)
A1.3	Testing recovery plan procedures	編集	4.1 4.2	同じトピック：復旧計画, ディザスタリカバリ (編集部のおすすめ)
C1 Confidentiality · 2
C1.1	Identifying and protecting confidential information	編集	12.1	同じトピック：データ分類 (編集部のおすすめ)
C1.2	Disposing of confidential information	編集	12.2 12.3	同じトピック：データ保護 (編集部のおすすめ)
CC1 Control environment · 5
CC1.1	Commitment to integrity and ethical values	編集	1.1	同じトピック：ガバナンスポリシー (編集部のおすすめ)
CC1.2	Board independence and oversight of internal control	編集	1.2	同じトピック：役割と責任 (編集部のおすすめ)
CC1.3	Structures, reporting lines, authorities and responsibilities	編集	1.2	同じトピック：役割と責任 (編集部のおすすめ)
CC1.4	Commitment to attracting, developing and retaining competent people	編集	8.1 8.2 10.2	同じトピック：意識向上とトレーニング (編集部のおすすめ)
CC1.5	Accountability for internal control responsibilities	編集	1.2 10.4	同じトピック：役割と責任 (編集部のおすすめ)
CC2 Communication and information · 2
CC2.2	Internal communication of objectives and responsibilities	編集	8.1 8.2	同じトピック：意識向上とトレーニング (編集部のおすすめ)
CC2.3	Communication with external parties	編集	3.3 4.3	同じトピック：報告, コミュニケーション, 連絡と復旧 (編集部のおすすめ)
CC3 Risk assessment · 4
CC3.1	Objectives specified clearly enough to identify risks	編集	2.1 7.1	同じトピック：リスクマネジメント (編集部のおすすめ)
CC3.2	Risk identification and analysis	編集	2.1	同じトピック：リスクアセスメント (編集部のおすすめ)
CC3.3	Considering the potential for fraud	編集	2.1	同じトピック：リスクアセスメント (編集部のおすすめ)
CC3.4	Identifying and assessing significant changes	編集	2.1	同じトピック：リスクアセスメント (編集部のおすすめ)
CC4 Monitoring activities · 2
CC4.1	Ongoing and/or separate evaluations of controls	編集	2.2 2.3	同じトピック：コンプライアンス (編集部のおすすめ)
CC4.2	Communicating and remediating control deficiencies	編集	2.2 2.3	同じトピック：コンプライアンス (編集部のおすすめ)
CC5 Control activities · 3
CC5.1	Control activities that mitigate risks	編集	2.1 7.1	同じトピック：リスクマネジメント (編集部のおすすめ)
CC5.2	General controls over technology	編集	6.3	同じトピック：安全な構成 (編集部のおすすめ)
CC5.3	Control activities deployed through policies and procedures	編集	1.1	同じトピック：ガバナンスポリシー (編集部のおすすめ)
CC6 Logical and physical access · 8
CC6.1	Logical access security over information assets	編集	9.1 11.1 11.2+4	同じトピック：暗号化, アクセス制御 (編集部のおすすめ)
CC6.2	User registration, authorization and removal	編集	11.1 11.2 11.5+1	同じトピック：アクセス制御 (編集部のおすすめ)
CC6.3	Role-based access, least privilege and segregation of duties	編集	11.1 11.2 11.3+2	同じトピック：アクセス制御, 特権アクセス (編集部のおすすめ)
CC6.4	Physical access restrictions	編集	13.1 13.2 13.3	同じトピック：物理的セキュリティ (編集部のおすすめ)
CC6.5	Protection of data when assets are disposed of	編集	12.2 12.3	同じトピック：データ保護 (編集部のおすすめ)
CC6.6	Protection against threats from outside system boundaries	編集	6.7 6.8 11.1+1	同じトピック：ファイアウォール / ネットワークセグメンテーション, ゼロトラスト (編集部のおすすめ)
CC6.7	Restricting transmission, movement and removal of information	編集	9.1 12.3	同じトピック：暗号化, DLP (編集部のおすすめ)
CC6.8	Preventing or detecting unauthorized or malicious software	編集	6.9	同じトピック：エンドポイント保護, メールセキュリティ (編集部のおすすめ)
CC7 System operations · 5
CC7.1	Detecting configuration changes and new vulnerabilities	編集	6.3 6.5 6.6+1	同じトピック：安全な構成, 脆弱性管理, パッチ管理 (編集部のおすすめ)
CC7.2	Monitoring system components for anomalies	編集	3.2 3.4	同じトピック：継続的モニタリング, ログ記録と監査, 侵入検知, 異常検知 (編集部のおすすめ)
CC7.3	Evaluating security events to determine if they are incidents	編集	3.1 3.2 3.4+1	同じトピック：インシデント対応, SIEM / SOC (編集部のおすすめ)
CC7.4	Responding to identified security incidents	編集	3.1 3.5	同じトピック：インシデント対応, フォレンジック, 緩和策 (編集部のおすすめ)
CC7.5	Recovering from identified security incidents	編集	3.6 4.1 4.3	同じトピック：教訓の反映, 復旧計画, 連絡と復旧 (編集部のおすすめ)
CC8 Change management · 1
CC8.1	Change management for infrastructure, data and software	編集	6.2 6.4	同じトピック：セキュア開発 (編集部のおすすめ)
CC9 Risk mitigation · 2
CC9.1	Mitigating risks from business disruptions	編集	2.1 4.1 4.3+1	同じトピック：リスクマネジメント, 事業継続 (編集部のおすすめ)
CC9.2	Managing vendor and business partner risk	編集	5.1 5.2 6.1	同じトピック：サプライチェーンリスク, ベンダーリスク管理, クラウドセキュリティ (編集部のおすすめ)

トピック別

両方でカバー（42）：

ガバナンスポリシー意識向上とトレーニングリスクマネジメントサプライチェーンリスク役割と責任コンプライアンス資産管理リスクアセスメントデータ分類脆弱性管理アクセス制御多要素認証暗号化データ保護バックアップと復旧特権アクセスファイアウォール / ネットワークセグメンテーションエンドポイント保護パッチ管理安全な構成セキュア開発メールセキュリティゼロトラストクラウドセキュリティ DLP 継続的モニタリングログ記録と監査侵入検知異常検知 SIEM / SOC インシデント対応フォレンジックコミュニケーション緩和策報告復旧計画事業継続教訓の反映連絡と復旧ディザスタリカバリベンダーリスク管理物理的セキュリティ

SOC 2 のみ（4）:

事業環境 Web セキュリティモバイルセキュリティ WAF

NIS2 のみ（1）:

内部脅威

よくある質問

SOC 2 報告書は NIS2 への適合を示せますか？

SOC 2 報告書はセキュリティ対策の有用な証拠にはなりますが、NIS2 への適合は、SOC 2 では検証されない報告義務やガバナンス上の義務を含めて、各国当局が法律に照らして判断します。

要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。

対応表公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · 緩やかに関連 CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. マッピング済み = ControlMapping のトピックで一緒にまとめられているか、直接リンクされている状態。クロスウォークは準拠の証明にはなりません。方法論 · データをダウンロード · 誤りを報告.