Comparação

SOC 2 vs. NIS2: um relatório de cliente e uma lei da UE

SOC 2 (Trust Services Criteria) · NIS2 Implementing Regulation (EU) 2024/2690 · dados de 2026-10-27

Por Paul Gillet · Atualizado em 2026-10-17

SOC 2 e NIS2 raramente são comparados diretamente, mas empresas de software de origem norte-americana que expandem para a UE enfrentam cada vez mais as duas. O SOC 2 é um relatório de asseguração voluntário que os clientes solicitam; a NIS2 é uma lei da UE aplicável a entidades essenciais e importantes e, no caso dos prestadores de serviços digitais, suas medidas estão detalhadas no Regulamento de Execução (UE) 2024/2690.

Da SOC 2 para a NIS2, quase todo ponto de requisito corresponde a um critério do SOC 2 em nossos dados: governança, avaliação de riscos, controle de acesso, gestão de mudanças, resposta a incidentes, gestão de fornecedores e continuidade de negócios estão todos alinhados. O que o SOC 2 não oferece é o aparato jurídico da NIS2: os relatórios de incidentes em 24 horas, 72 horas e um mês, a capacitação e a responsabilização da alta direção e o registro junto à autoridade nacional.

Da NIS2 para a SOC 2, as lacunas são as categorias opcionais do SOC 2, Privacidade e Integridade do Processamento, que a NIS2 não cobre. Todos os vínculos com o SOC 2 aqui são Editorial da ControlMapping, já que não existe uma Correspondência com SOC 2 de licença aberta.

Principais conclusões

Um conjunto de controles SOC 2 é uma boa base para as medidas da NIS2; as obrigações legais são o trabalho novo.
Acrescente um procedimento de notificação de incidentes significativos com prazos de 24 horas e 72 horas.
Verifique qual lei nacional se aplica a você e se é necessário fazer o registro.

Descarregar esta comparação (CSV) Abrir em análise de lacunas →

Tem SOC 2 → precisa de NIS2

49 req.

47 mapeados · · 1 sem mapeamento Abrir na visão de lacunas →

Dos 49 requisitos de NIS2 Implementing Regulation (EU) 2024/2690, 47 mapeiam para algo em SOC 2, 1 são apenas vagamente relacionados e 1 não têm mapeamento em nossos dados.

O NIS2 aqui corresponde às medidas técnicas do Regulamento de Execução (UE) 2024/2690, que se aplica diretamente a provedores de infraestrutura digital e de serviços de TIC; as demais entidades sob o NIS2 seguem a transposição de seu país para o Artigo 21. Prazos de notificação de incidentes (Artigo 23) não estão no escopo. O mapeamento da ENISA não é vinculante.

Provável trabalho novo: requisitos de NIS2 sem mapeamento para SOC 2 (1)

NIS2	Requisito	Correspondência	SOC 2	Evidências
12. Asset management · 1
12.5	Deposit, return or deletion of assets upon termination of employment	Sem mapeamento em nossos dados	—	Sem mapeamento para SOC 2 em nossos dados.

Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (1)

NIS2	Requisito	Correspondência	SOC 2	Evidências
10. Human resources security · 1
10.1	Human resources security	Vagamente relacionado	CC1.4 CC2.2	Compartilha apenas CSF PR.AT-02: relacionado, não um mapeamento

Mapeado (47)

NIS2	Requisito	Correspondência	SOC 2	Evidências
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	Editorial	CC1.1 CC5.3	Mesmo tópico: Política de governança (escolha do editor)
1.2	Roles, responsibilities and authorities	Editorial	CC1.2 CC1.3 CC1.5	Mesmo tópico: Funções e responsabilidades (escolha do editor)
2. Risk management policy · 3
2.1	Risk management framework	Editorial	CC3.1 CC3.2 CC3.3+3	Mesmo tópico: Gestão de Riscos, Avaliação de riscos (escolha do editor)
2.2	Compliance monitoring	Editorial	CC4.1 CC4.2	Mesmo tópico: Conformidade (escolha do editor)
2.3	Independent review of information and network security	Editorial	CC4.1 CC4.2	Mesmo tópico: Conformidade (escolha do editor)
3. Incident handling · 6
3.1	Incident handling policy	Editorial	CC7.3 CC7.4	Mesmo tópico: Resposta a Incidentes (escolha do editor)
3.2	Monitoring and logging	Editorial	CC7.2 CC7.3	Mesmo tópico: Monit. contínuo, Registro e Auditoria, Detecção de intrusão, SIEM / SOC (escolha do editor)
3.3	Event reporting	Editorial	CC2.3	Mesmo tópico: Notificação (escolha do editor)
3.4	Event assessment and classification	Editorial	CC7.2 CC7.3	Mesmo tópico: Detecção de Anomalias, SIEM / SOC (escolha do editor)
3.5	Incident response	Editorial	CC7.3 CC7.4	Mesmo tópico: Resposta a Incidentes, Perícia forense, Mitigação (escolha do editor)
3.6	Post-incident reviews	Editorial	CC7.5	Mesmo tópico: Lições Aprendidas (escolha do editor)
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	Editorial	A1.1 A1.2 A1.3+2	Mesmo tópico: Continuidade de Negócios, Recuperação de desastres, Planejamento de Recuperação (escolha do editor)
4.2	Backup management	Editorial	A1.2 A1.3	Mesmo tópico: Backup e recuperação, Recuperação de desastres (escolha do editor)
4.3	Crisis management	Editorial	A1.1 A1.2 CC2.3+2	Mesmo tópico: Continuidade de Negócios, Comunicação, Comunicação e restauração (escolha do editor)
5. Supply chain security · 2
5.1	Supply chain security policy	Editorial	CC9.2	Mesmo tópico: Risco na cadeia de suprimentos, Gestão de Risco de Fornecedores (escolha do editor)
5.2	Directory of suppliers and service providers	Editorial	CC9.2	Mesmo tópico: Gestão de Risco de Fornecedores (escolha do editor)
6. Security in acquisition, development and maintenance · 10
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Editorial	CC9.2	Mesmo tópico: Risco na cadeia de suprimentos, Segurança em Nuvem, Gestão de Risco de Fornecedores (escolha do editor)
6.2	Secure development life cycle	Editorial	CC8.1	Mesmo tópico: Desenvolvimento Seguro (escolha do editor)
6.3	Configuration management	Editorial	CC5.2 CC7.1	Mesmo tópico: Configuração Segura (escolha do editor)
6.4	Change management, repairs and maintenance	Editorial	CC8.1	Análise editorial da ControlMapping: Change management: SOC 2 requires changes to be authorised, tested and approved; NIS2 point 6.4 requires change management, repairs and maintenance procedures.
6.5	Security testing	Editorial	CC7.1	Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor)
6.6	Security patch management	Editorial	CC7.1	Mesmo tópico: Gestão de Patches (escolha do editor)
6.7	Network security	Editorial	CC6.6	Mesmo tópico: Firewall / Segmentação de rede (escolha do editor)
6.8	Network segmentation	Editorial	CC6.6	Mesmo tópico: Firewall / Segmentação de rede, Confiança Zero (escolha do editor)
6.9	Protection against malicious and unauthorised software	Editorial	CC6.8	Mesmo tópico: Proteção de endpoints, Segurança de e-mail (escolha do editor)
6.10	Vulnerability handling and disclosure	Editorial	CC7.1	Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor)
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Editorial	CC3.1 CC5.1 CC9.1	Mesmo tópico: Gestão de Riscos (escolha do editor)
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	Editorial	CC1.4 CC2.2	Mesmo tópico: Conscientização e treinamento (escolha do editor)
8.2	Security training	Editorial	CC1.4 CC2.2	Mesmo tópico: Conscientização e treinamento (escolha do editor)
9. Cryptography · 1
9.1	Cryptography	Editorial	CC6.1 CC6.7	Mesmo tópico: Criptografia (escolha do editor)
10. Human resources security · 3
10.2	Verification of Background	Editorial	CC1.4	Análise editorial da ControlMapping: Background verification: SOC 2's commitment to competence includes screening; NIS2 point 10.2 requires background checks where appropriate.
10.3	Termination or change of employment procedures	Editorial	CC6.2	Análise editorial da ControlMapping: Leavers and movers: SOC 2 requires access to be removed when no longer needed; NIS2 point 10.3 covers termination or change of employment.
10.4	Disciplinary process	Editorial	CC1.5	Análise editorial da ControlMapping: Accountability: SOC 2 holds people accountable for their responsibilities; NIS2 point 10.4 requires a disciplinary process for violations.
11. Access control · 7
11.1	Access control policy	Editorial	CC6.1 CC6.2 CC6.3+1	Mesmo tópico: Controle de acesso (escolha do editor)
11.2	Management of access rights	Editorial	CC6.1 CC6.2 CC6.3	Mesmo tópico: Controle de acesso (escolha do editor)
11.3	Privileged accounts and system administration accounts	Editorial	CC6.3	Mesmo tópico: Acesso privilegiado (escolha do editor)
11.4	Administration systems	Editorial	CC6.3	Mesmo tópico: Acesso privilegiado (escolha do editor)
11.5	Identification	Editorial	CC6.1 CC6.2 CC6.3	Mesmo tópico: Controle de acesso (escolha do editor)
11.6	Authentication	Editorial	CC6.1 CC6.6	Mesmo tópico: Autenticação multifator, Confiança Zero (escolha do editor)
11.7	Multi-factor authentication	Editorial	CC6.1	Mesmo tópico: Autenticação multifator (escolha do editor)
12. Asset management · 4
12.1	Asset classification	Editorial	C1.1	Mesmo tópico: Classificação de Dados (escolha do editor)
12.2	Handling of assets	Editorial	C1.2 CC6.5	Mesmo tópico: Proteção de Dados (escolha do editor)
12.3	Removable media policy	Editorial	C1.2 CC6.5 CC6.7	Mesmo tópico: Proteção de Dados, DLP (escolha do editor)
12.4	Asset inventory	Editorial	CC6.1	Mesmo tópico: Gestão de Ativos (escolha do editor)
13. Environmental and physical security · 3
13.1	Supporting utilities	Editorial	CC6.4	Mesmo tópico: Segurança Física (escolha do editor)
13.2	Protection against physical and environmental threats	Editorial	CC6.4	Mesmo tópico: Segurança Física (escolha do editor)
13.3	Perimeter and physical access control	Editorial	CC6.4	Mesmo tópico: Segurança Física (escolha do editor)

Tem NIS2 → precisa de SOC 2

61 req.

37 mapeados · · 24 sem mapeamento Abrir na visão de lacunas →

Dos 61 requisitos de SOC 2 (Trust Services Criteria), 37 mapeiam para algo em NIS2, 0 são apenas vagamente relacionados e 24 não têm mapeamento em nossos dados.

Os mapeamentos da AICPA para o SOC 2 não têm licença aberta, por isso todo link SOC 2 aqui é uma análise editorial da ControlMapping: critérios que ainda não mapeámos não podem ser correspondidos. Os critérios de integridade de processamento (PI) e a maioria dos critérios de privacidade (P) não têm equivalente em frameworks de segurança.

Provável trabalho novo: requisitos de SOC 2 sem mapeamento para NIS2 (24)

SOC 2	Requisito	Correspondência	NIS2	Evidências
CC2 Communication and information · 1
CC2.1	Quality information to support internal control	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P Privacy · 18
P1.1	Privacy notice	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P2.1	Choice and consent	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P3.1	Collection limited to privacy objectives	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P3.2	Explicit consent where required	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P4.1	Use limited to privacy objectives	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P4.2	Retention of personal information	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P4.3	Disposal of personal information	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P5.1	Data subject access	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P5.2	Correction of personal information	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P6.1	Disclosure to third parties with consent	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P6.2	Record of authorized disclosures	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P6.3	Record of unauthorized disclosures	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P6.4	Privacy commitments from third parties	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P6.5	Notification by third parties of unauthorized disclosures	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P6.6	Breach notification to affected individuals	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P6.7	Accounting of disclosures to data subjects	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P7.1	Quality of personal information	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
P8.1	Handling privacy inquiries, complaints and disputes	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
PI1 Processing integrity · 5
PI1.1	Information about processing objectives	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
PI1.2	Controls over system inputs	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
PI1.3	Controls over system processing	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
PI1.4	Controls over system outputs	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
PI1.5	Storing inputs, items in processing and outputs	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.

Mapeado (37)

SOC 2	Requisito	Correspondência	NIS2	Evidências
A1 Availability · 3
A1.1	Capacity management to meet availability commitments	Editorial	4.1 4.3	Mesmo tópico: Continuidade de Negócios (escolha do editor)
A1.2	Environmental protections, backups and recovery infrastructure	Editorial	4.1 4.2 4.3	Mesmo tópico: Continuidade de Negócios, Recuperação de desastres, Backup e recuperação (escolha do editor)
A1.3	Testing recovery plan procedures	Editorial	4.1 4.2	Mesmo tópico: Planejamento de Recuperação, Recuperação de desastres (escolha do editor)
C1 Confidentiality · 2
C1.1	Identifying and protecting confidential information	Editorial	12.1	Mesmo tópico: Classificação de Dados (escolha do editor)
C1.2	Disposing of confidential information	Editorial	12.2 12.3	Mesmo tópico: Proteção de Dados (escolha do editor)
CC1 Control environment · 5
CC1.1	Commitment to integrity and ethical values	Editorial	1.1	Mesmo tópico: Política de governança (escolha do editor)
CC1.2	Board independence and oversight of internal control	Editorial	1.2	Mesmo tópico: Funções e responsabilidades (escolha do editor)
CC1.3	Structures, reporting lines, authorities and responsibilities	Editorial	1.2	Mesmo tópico: Funções e responsabilidades (escolha do editor)
CC1.4	Commitment to attracting, developing and retaining competent people	Editorial	8.1 8.2 10.2	Mesmo tópico: Conscientização e treinamento (escolha do editor)
CC1.5	Accountability for internal control responsibilities	Editorial	1.2 10.4	Mesmo tópico: Funções e responsabilidades (escolha do editor)
CC2 Communication and information · 2
CC2.2	Internal communication of objectives and responsibilities	Editorial	8.1 8.2	Mesmo tópico: Conscientização e treinamento (escolha do editor)
CC2.3	Communication with external parties	Editorial	3.3 4.3	Mesmo tópico: Notificação, Comunicação, Comunicação e restauração (escolha do editor)
CC3 Risk assessment · 4
CC3.1	Objectives specified clearly enough to identify risks	Editorial	2.1 7.1	Mesmo tópico: Gestão de Riscos (escolha do editor)
CC3.2	Risk identification and analysis	Editorial	2.1	Mesmo tópico: Avaliação de riscos (escolha do editor)
CC3.3	Considering the potential for fraud	Editorial	2.1	Mesmo tópico: Avaliação de riscos (escolha do editor)
CC3.4	Identifying and assessing significant changes	Editorial	2.1	Mesmo tópico: Avaliação de riscos (escolha do editor)
CC4 Monitoring activities · 2
CC4.1	Ongoing and/or separate evaluations of controls	Editorial	2.2 2.3	Mesmo tópico: Conformidade (escolha do editor)
CC4.2	Communicating and remediating control deficiencies	Editorial	2.2 2.3	Mesmo tópico: Conformidade (escolha do editor)
CC5 Control activities · 3
CC5.1	Control activities that mitigate risks	Editorial	2.1 7.1	Mesmo tópico: Gestão de Riscos (escolha do editor)
CC5.2	General controls over technology	Editorial	6.3	Mesmo tópico: Configuração Segura (escolha do editor)
CC5.3	Control activities deployed through policies and procedures	Editorial	1.1	Mesmo tópico: Política de governança (escolha do editor)
CC6 Logical and physical access · 8
CC6.1	Logical access security over information assets	Editorial	9.1 11.1 11.2+4	Mesmo tópico: Criptografia, Controle de acesso (escolha do editor)
CC6.2	User registration, authorization and removal	Editorial	11.1 11.2 11.5+1	Mesmo tópico: Controle de acesso (escolha do editor)
CC6.3	Role-based access, least privilege and segregation of duties	Editorial	11.1 11.2 11.3+2	Mesmo tópico: Controle de acesso, Acesso privilegiado (escolha do editor)
CC6.4	Physical access restrictions	Editorial	13.1 13.2 13.3	Mesmo tópico: Segurança Física (escolha do editor)
CC6.5	Protection of data when assets are disposed of	Editorial	12.2 12.3	Mesmo tópico: Proteção de Dados (escolha do editor)
CC6.6	Protection against threats from outside system boundaries	Editorial	6.7 6.8 11.1+1	Mesmo tópico: Firewall / Segmentação de rede, Confiança Zero (escolha do editor)
CC6.7	Restricting transmission, movement and removal of information	Editorial	9.1 12.3	Mesmo tópico: Criptografia, DLP (escolha do editor)
CC6.8	Preventing or detecting unauthorized or malicious software	Editorial	6.9	Mesmo tópico: Proteção de endpoints, Segurança de e-mail (escolha do editor)
CC7 System operations · 5
CC7.1	Detecting configuration changes and new vulnerabilities	Editorial	6.3 6.5 6.6+1	Mesmo tópico: Configuração Segura, Gestão de Vulnerabilidades, Gestão de Patches (escolha do editor)
CC7.2	Monitoring system components for anomalies	Editorial	3.2 3.4	Mesmo tópico: Monit. contínuo, Registro e Auditoria, Detecção de intrusão, Detecção de Anomalias (escolha do editor)
CC7.3	Evaluating security events to determine if they are incidents	Editorial	3.1 3.2 3.4+1	Mesmo tópico: Resposta a Incidentes, SIEM / SOC (escolha do editor)
CC7.4	Responding to identified security incidents	Editorial	3.1 3.5	Mesmo tópico: Resposta a Incidentes, Perícia forense, Mitigação (escolha do editor)
CC7.5	Recovering from identified security incidents	Editorial	3.6 4.1 4.3	Mesmo tópico: Lições Aprendidas, Planejamento de Recuperação, Comunicação e restauração (escolha do editor)
CC8 Change management · 1
CC8.1	Change management for infrastructure, data and software	Editorial	6.2 6.4	Mesmo tópico: Desenvolvimento Seguro (escolha do editor)
CC9 Risk mitigation · 2
CC9.1	Mitigating risks from business disruptions	Editorial	2.1 4.1 4.3+1	Mesmo tópico: Gestão de Riscos, Continuidade de Negócios (escolha do editor)
CC9.2	Managing vendor and business partner risk	Editorial	5.1 5.2 6.1	Mesmo tópico: Risco na cadeia de suprimentos, Gestão de Risco de Fornecedores, Segurança em Nuvem (escolha do editor)

Por tópico

Ambos cobrem (42):

Política de governança Conscientização e treinamento Gestão de Riscos Risco na cadeia de suprimentos Funções e responsabilidades Conformidade Gestão de Ativos Avaliação de riscos Classificação de Dados Gestão de Vulnerabilidades Controle de acesso Autenticação multifator Criptografia Proteção de Dados Backup e recuperação Acesso privilegiado Firewall / Segmentação de rede Proteção de endpoints Gestão de Patches Configuração Segura Desenvolvimento Seguro Segurança de e-mail Confiança Zero Segurança em Nuvem DLP Monit. contínuo Registro e Auditoria Detecção de intrusão Detecção de Anomalias SIEM / SOC Resposta a Incidentes Perícia forense Comunicação Mitigação Notificação Planejamento de Recuperação Continuidade de Negócios Lições Aprendidas Comunicação e restauração Recuperação de desastres Gestão de Risco de Fornecedores Segurança Física

Apenas SOC 2 (4):

Ambiente de Negócios Segurança Web Segurança Móvel WAF

Apenas NIS2 (1):

Ameaça interna

Perguntas

Um relatório SOC 2 comprova a conformidade com a NIS2?

Ele é uma evidência útil das medidas de segurança, mas a conformidade com a NIS2 é avaliada pelas autoridades nacionais com base na lei, incluindo os deveres de notificação e de governança que o SOC 2 não testa.

Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.

Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · Vagamente relacionado compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Mapeado = curado em conjunto em um tema da ControlMapping, ou vinculado diretamente. Crosswalks não comprovam conformidade. Metodologia · Descarregar os dados · Relatar um erro.