Сравнение

SOC 2 и NIS2: отчёт для клиентов и законодательство ЕС

SOC 2 (Trust Services Criteria) · NIS2 Implementing Regulation (EU) 2024/2690 · данные на 2026-10-27

По параметру «Paul Gillet» · Обновлено 2026-10-17

SOC 2 и NIS2 редко сравнивают напрямую, однако компании из США, расширяющиеся в ЕС, всё чаще сталкиваются с обоими. SOC 2 — это добровольный отчёт об аттестации, который запрашивают клиенты; NIS2 — законодательство ЕС для существенных и важных субъектов, а для цифровых провайдеров его меры детально описаны в Имплементирующем регламенте (ЕС) 2024/2690.

При переходе от SOC 2 к NIS2 почти каждый пункт требований соотносится с критерием SOC 2 в наших данных: управление, оценка рисков, контроль доступа, управление изменениями, реагирование на инциденты, управление поставщиками и обеспечение непрерывности деятельности — всё это совпадает. Чего SOC 2 не даёт, так это правовых механизмов NIS2: отчётов об инцидентах через 24 часа, 72 часа и один месяц, обучения и ответственности руководства, а также регистрации в национальном органе.

При переходе от NIS2 к SOC 2 пробелы связаны с необязательными категориями SOC 2 — Конфиденциальностью и Целостностью обработки, которые NIS2 не охватывает. Все ссылки на SOC 2 здесь — редакционные материалы ControlMapping, поскольку открыто лицензированного соответствия SOC 2 не существует.

Основные выводы

Набор контролей SOC 2 — хорошая основа для мер NIS2; новая работа связана с правовыми обязательствами.
Добавьте процедуру уведомления о значительных инцидентах со сроками 24 часа и 72 часа.
Проверьте, какое национальное законодательство применяется к вам и нужно ли вам пройти регистрацию.

Скачать это сравнение (CSV) Открыть в анализе разрывов →

Есть SOC 2 → нужен NIS2

49 треб.

сопоставлено: 47 · · 1 без сопоставления Открыть в представлении разрывов →

Из 49 требований NIS2 Implementing Regulation (EU) 2024/2690 47 сопоставлены с чем-либо в SOC 2, 1 связаны лишь косвенно, а для 1 в наших данных нет сопоставления.

NIS2 в этом справочнике — это технические меры Имплементирующего регламента (ЕС) 2024/2690, который напрямую применяется к поставщикам цифровой инфраструктуры и ИКТ-услуг; другие субъекты NIS2 руководствуются национальной транспозицией статьи 21. Сроки уведомления об инцидентах (статья 23) не входят в область охвата. Сопоставление ENISA не является обязательным.

Вероятно, новая работа: требования NIS2 без сопоставления с SOC 2 (1)

NIS2	Требование	Совпадение	SOC 2	Доказательства
12. Asset management · 1
12.5	Deposit, return or deletion of assets upon termination of employment	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.

Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (1)

NIS2	Требование	Совпадение	SOC 2	Доказательства
10. Human resources security · 1
10.1	Human resources security	Косвенно связано	CC1.4 CC2.2	Совпадает только CSF PR.AT-02: связь косвенная, это не сопоставление

Сопоставлено (47)

NIS2	Требование	Совпадение	SOC 2	Доказательства
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	Редакционные материалы	CC1.1 CC5.3	Та же тема: Политика управления (выбор редакции)
1.2	Roles, responsibilities and authorities	Редакционные материалы	CC1.2 CC1.3 CC1.5	Та же тема: Роли и обязанности (выбор редакции)
2. Risk management policy · 3
2.1	Risk management framework	Редакционные материалы	CC3.1 CC3.2 CC3.3+3	Та же тема: Управление рисками, Оценка рисков (выбор редакции)
2.2	Compliance monitoring	Редакционные материалы	CC4.1 CC4.2	Та же тема: Соответствие требованиям (выбор редакции)
2.3	Independent review of information and network security	Редакционные материалы	CC4.1 CC4.2	Та же тема: Соответствие требованиям (выбор редакции)
3. Incident handling · 6
3.1	Incident handling policy	Редакционные материалы	CC7.3 CC7.4	Та же тема: Реагирование на инциденты (выбор редакции)
3.2	Monitoring and logging	Редакционные материалы	CC7.2 CC7.3	Та же тема: Непрерывный мониторинг, Логирование и аудит, Обнаружение вторжений, SIEM / SOC (выбор редакции)
3.3	Event reporting	Редакционные материалы	CC2.3	Та же тема: Отчётность (выбор редакции)
3.4	Event assessment and classification	Редакционные материалы	CC7.2 CC7.3	Та же тема: Обнаружение аномалий, SIEM / SOC (выбор редакции)
3.5	Incident response	Редакционные материалы	CC7.3 CC7.4	Та же тема: Реагирование на инциденты, Криминалистический анализ, Митигация (выбор редакции)
3.6	Post-incident reviews	Редакционные материалы	CC7.5	Та же тема: Извлечённые уроки (выбор редакции)
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	Редакционные материалы	A1.1 A1.2 A1.3+2	Та же тема: Непрерывность бизнеса, Аварийное восстановление, Планирование восстановления (выбор редакции)
4.2	Backup management	Редакционные материалы	A1.2 A1.3	Та же тема: Резервное копирование и восстановление, Аварийное восстановление (выбор редакции)
4.3	Crisis management	Редакционные материалы	A1.1 A1.2 CC2.3+2	Та же тема: Непрерывность бизнеса, Коммуникация, Коммуникации и восстановление (выбор редакции)
5. Supply chain security · 2
5.1	Supply chain security policy	Редакционные материалы	CC9.2	Та же тема: Управление рисками цепочки поставок, Управление рисками поставщиков (выбор редакции)
5.2	Directory of suppliers and service providers	Редакционные материалы	CC9.2	Та же тема: Управление рисками поставщиков (выбор редакции)
6. Security in acquisition, development and maintenance · 10
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Редакционные материалы	CC9.2	Та же тема: Управление рисками цепочки поставок, Безопасность облачных сред, Управление рисками поставщиков (выбор редакции)
6.2	Secure development life cycle	Редакционные материалы	CC8.1	Та же тема: Безопасная разработка (выбор редакции)
6.3	Configuration management	Редакционные материалы	CC5.2 CC7.1	Та же тема: Безопасная конфигурация (выбор редакции)
6.4	Change management, repairs and maintenance	Редакционные материалы	CC8.1	Редакторское решение ControlMapping: Change management: SOC 2 requires changes to be authorised, tested and approved; NIS2 point 6.4 requires change management, repairs and maintenance procedures.
6.5	Security testing	Редакционные материалы	CC7.1	Та же тема: Управление уязвимостями (выбор редакции)
6.6	Security patch management	Редакционные материалы	CC7.1	Та же тема: Управление исправлениями (выбор редакции)
6.7	Network security	Редакционные материалы	CC6.6	Та же тема: Межсетевой экран / сегментация сети (выбор редакции)
6.8	Network segmentation	Редакционные материалы	CC6.6	Та же тема: Межсетевой экран / сегментация сети, Нулевое доверие (выбор редакции)
6.9	Protection against malicious and unauthorised software	Редакционные материалы	CC6.8	Та же тема: Защита конечных точек, Безопасность электронной почты (выбор редакции)
6.10	Vulnerability handling and disclosure	Редакционные материалы	CC7.1	Та же тема: Управление уязвимостями (выбор редакции)
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Редакционные материалы	CC3.1 CC5.1 CC9.1	Та же тема: Управление рисками (выбор редакции)
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	Редакционные материалы	CC1.4 CC2.2	Та же тема: Осведомлённость и обучение (выбор редакции)
8.2	Security training	Редакционные материалы	CC1.4 CC2.2	Та же тема: Осведомлённость и обучение (выбор редакции)
9. Cryptography · 1
9.1	Cryptography	Редакционные материалы	CC6.1 CC6.7	Та же тема: Шифрование (выбор редакции)
10. Human resources security · 3
10.2	Verification of Background	Редакционные материалы	CC1.4	Редакторское решение ControlMapping: Background verification: SOC 2's commitment to competence includes screening; NIS2 point 10.2 requires background checks where appropriate.
10.3	Termination or change of employment procedures	Редакционные материалы	CC6.2	Редакторское решение ControlMapping: Leavers and movers: SOC 2 requires access to be removed when no longer needed; NIS2 point 10.3 covers termination or change of employment.
10.4	Disciplinary process	Редакционные материалы	CC1.5	Редакторское решение ControlMapping: Accountability: SOC 2 holds people accountable for their responsibilities; NIS2 point 10.4 requires a disciplinary process for violations.
11. Access control · 7
11.1	Access control policy	Редакционные материалы	CC6.1 CC6.2 CC6.3+1	Та же тема: Контроль доступа (выбор редакции)
11.2	Management of access rights	Редакционные материалы	CC6.1 CC6.2 CC6.3	Та же тема: Контроль доступа (выбор редакции)
11.3	Privileged accounts and system administration accounts	Редакционные материалы	CC6.3	Та же тема: Привилегированный доступ (выбор редакции)
11.4	Administration systems	Редакционные материалы	CC6.3	Та же тема: Привилегированный доступ (выбор редакции)
11.5	Identification	Редакционные материалы	CC6.1 CC6.2 CC6.3	Та же тема: Контроль доступа (выбор редакции)
11.6	Authentication	Редакционные материалы	CC6.1 CC6.6	Та же тема: Многофакторная аутентификация, Нулевое доверие (выбор редакции)
11.7	Multi-factor authentication	Редакционные материалы	CC6.1	Та же тема: Многофакторная аутентификация (выбор редакции)
12. Asset management · 4
12.1	Asset classification	Редакционные материалы	C1.1	Та же тема: Классификация данных (выбор редакции)
12.2	Handling of assets	Редакционные материалы	C1.2 CC6.5	Та же тема: Защита данных (выбор редакции)
12.3	Removable media policy	Редакционные материалы	C1.2 CC6.5 CC6.7	Та же тема: Защита данных, DLP (выбор редакции)
12.4	Asset inventory	Редакционные материалы	CC6.1	Та же тема: Управление активами (выбор редакции)
13. Environmental and physical security · 3
13.1	Supporting utilities	Редакционные материалы	CC6.4	Та же тема: Физическая безопасность (выбор редакции)
13.2	Protection against physical and environmental threats	Редакционные материалы	CC6.4	Та же тема: Физическая безопасность (выбор редакции)
13.3	Perimeter and physical access control	Редакционные материалы	CC6.4	Та же тема: Физическая безопасность (выбор редакции)

Есть NIS2 → нужен SOC 2

61 треб.

сопоставлено: 37 · · 24 без сопоставления Открыть в представлении разрывов →

Из 61 требований SOC 2 (Trust Services Criteria) 37 сопоставлены с чем-либо в NIS2, 0 связаны лишь косвенно, а для 24 в наших данных нет сопоставления.

Сопоставления AICPA для SOC 2 не распространяются под открытой лицензией, поэтому все ссылки SOC 2 здесь являются редакторскими решениями ControlMapping: критерии, которые мы не сопоставили, не могут совпадать. Критерии целостности обработки (PI) и большинство критериев конфиденциальности (P) не имеют аналогов в фреймворках по информационной безопасности.

Вероятно, новая работа: требования SOC 2 без сопоставления с NIS2 (24)

SOC 2	Требование	Совпадение	NIS2	Доказательства
CC2 Communication and information · 1
CC2.1	Quality information to support internal control	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P Privacy · 18
P1.1	Privacy notice	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P2.1	Choice and consent	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P3.1	Collection limited to privacy objectives	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P3.2	Explicit consent where required	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P4.1	Use limited to privacy objectives	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P4.2	Retention of personal information	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P4.3	Disposal of personal information	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P5.1	Data subject access	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P5.2	Correction of personal information	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P6.1	Disclosure to third parties with consent	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P6.2	Record of authorized disclosures	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P6.3	Record of unauthorized disclosures	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P6.4	Privacy commitments from third parties	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P6.5	Notification by third parties of unauthorized disclosures	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P6.6	Breach notification to affected individuals	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P6.7	Accounting of disclosures to data subjects	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P7.1	Quality of personal information	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
P8.1	Handling privacy inquiries, complaints and disputes	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
PI1 Processing integrity · 5
PI1.1	Information about processing objectives	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
PI1.2	Controls over system inputs	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
PI1.3	Controls over system processing	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
PI1.4	Controls over system outputs	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
PI1.5	Storing inputs, items in processing and outputs	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.

Сопоставлено (37)

SOC 2	Требование	Совпадение	NIS2	Доказательства
A1 Availability · 3
A1.1	Capacity management to meet availability commitments	Редакционные материалы	4.1 4.3	Та же тема: Непрерывность бизнеса (выбор редакции)
A1.2	Environmental protections, backups and recovery infrastructure	Редакционные материалы	4.1 4.2 4.3	Та же тема: Непрерывность бизнеса, Аварийное восстановление, Резервное копирование и восстановление (выбор редакции)
A1.3	Testing recovery plan procedures	Редакционные материалы	4.1 4.2	Та же тема: Планирование восстановления, Аварийное восстановление (выбор редакции)
C1 Confidentiality · 2
C1.1	Identifying and protecting confidential information	Редакционные материалы	12.1	Та же тема: Классификация данных (выбор редакции)
C1.2	Disposing of confidential information	Редакционные материалы	12.2 12.3	Та же тема: Защита данных (выбор редакции)
CC1 Control environment · 5
CC1.1	Commitment to integrity and ethical values	Редакционные материалы	1.1	Та же тема: Политика управления (выбор редакции)
CC1.2	Board independence and oversight of internal control	Редакционные материалы	1.2	Та же тема: Роли и обязанности (выбор редакции)
CC1.3	Structures, reporting lines, authorities and responsibilities	Редакционные материалы	1.2	Та же тема: Роли и обязанности (выбор редакции)
CC1.4	Commitment to attracting, developing and retaining competent people	Редакционные материалы	8.1 8.2 10.2	Та же тема: Осведомлённость и обучение (выбор редакции)
CC1.5	Accountability for internal control responsibilities	Редакционные материалы	1.2 10.4	Та же тема: Роли и обязанности (выбор редакции)
CC2 Communication and information · 2
CC2.2	Internal communication of objectives and responsibilities	Редакционные материалы	8.1 8.2	Та же тема: Осведомлённость и обучение (выбор редакции)
CC2.3	Communication with external parties	Редакционные материалы	3.3 4.3	Та же тема: Отчётность, Коммуникация, Коммуникации и восстановление (выбор редакции)
CC3 Risk assessment · 4
CC3.1	Objectives specified clearly enough to identify risks	Редакционные материалы	2.1 7.1	Та же тема: Управление рисками (выбор редакции)
CC3.2	Risk identification and analysis	Редакционные материалы	2.1	Та же тема: Оценка рисков (выбор редакции)
CC3.3	Considering the potential for fraud	Редакционные материалы	2.1	Та же тема: Оценка рисков (выбор редакции)
CC3.4	Identifying and assessing significant changes	Редакционные материалы	2.1	Та же тема: Оценка рисков (выбор редакции)
CC4 Monitoring activities · 2
CC4.1	Ongoing and/or separate evaluations of controls	Редакционные материалы	2.2 2.3	Та же тема: Соответствие требованиям (выбор редакции)
CC4.2	Communicating and remediating control deficiencies	Редакционные материалы	2.2 2.3	Та же тема: Соответствие требованиям (выбор редакции)
CC5 Control activities · 3
CC5.1	Control activities that mitigate risks	Редакционные материалы	2.1 7.1	Та же тема: Управление рисками (выбор редакции)
CC5.2	General controls over technology	Редакционные материалы	6.3	Та же тема: Безопасная конфигурация (выбор редакции)
CC5.3	Control activities deployed through policies and procedures	Редакционные материалы	1.1	Та же тема: Политика управления (выбор редакции)
CC6 Logical and physical access · 8
CC6.1	Logical access security over information assets	Редакционные материалы	9.1 11.1 11.2+4	Та же тема: Шифрование, Контроль доступа (выбор редакции)
CC6.2	User registration, authorization and removal	Редакционные материалы	11.1 11.2 11.5+1	Та же тема: Контроль доступа (выбор редакции)
CC6.3	Role-based access, least privilege and segregation of duties	Редакционные материалы	11.1 11.2 11.3+2	Та же тема: Контроль доступа, Привилегированный доступ (выбор редакции)
CC6.4	Physical access restrictions	Редакционные материалы	13.1 13.2 13.3	Та же тема: Физическая безопасность (выбор редакции)
CC6.5	Protection of data when assets are disposed of	Редакционные материалы	12.2 12.3	Та же тема: Защита данных (выбор редакции)
CC6.6	Protection against threats from outside system boundaries	Редакционные материалы	6.7 6.8 11.1+1	Та же тема: Межсетевой экран / сегментация сети, Нулевое доверие (выбор редакции)
CC6.7	Restricting transmission, movement and removal of information	Редакционные материалы	9.1 12.3	Та же тема: Шифрование, DLP (выбор редакции)
CC6.8	Preventing or detecting unauthorized or malicious software	Редакционные материалы	6.9	Та же тема: Защита конечных точек, Безопасность электронной почты (выбор редакции)
CC7 System operations · 5
CC7.1	Detecting configuration changes and new vulnerabilities	Редакционные материалы	6.3 6.5 6.6+1	Та же тема: Безопасная конфигурация, Управление уязвимостями, Управление исправлениями (выбор редакции)
CC7.2	Monitoring system components for anomalies	Редакционные материалы	3.2 3.4	Та же тема: Непрерывный мониторинг, Логирование и аудит, Обнаружение вторжений, Обнаружение аномалий (выбор редакции)
CC7.3	Evaluating security events to determine if they are incidents	Редакционные материалы	3.1 3.2 3.4+1	Та же тема: Реагирование на инциденты, SIEM / SOC (выбор редакции)
CC7.4	Responding to identified security incidents	Редакционные материалы	3.1 3.5	Та же тема: Реагирование на инциденты, Криминалистический анализ, Митигация (выбор редакции)
CC7.5	Recovering from identified security incidents	Редакционные материалы	3.6 4.1 4.3	Та же тема: Извлечённые уроки, Планирование восстановления, Коммуникации и восстановление (выбор редакции)
CC8 Change management · 1
CC8.1	Change management for infrastructure, data and software	Редакционные материалы	6.2 6.4	Та же тема: Безопасная разработка (выбор редакции)
CC9 Risk mitigation · 2
CC9.1	Mitigating risks from business disruptions	Редакционные материалы	2.1 4.1 4.3+1	Та же тема: Управление рисками, Непрерывность бизнеса (выбор редакции)
CC9.2	Managing vendor and business partner risk	Редакционные материалы	5.1 5.2 6.1	Та же тема: Управление рисками цепочки поставок, Управление рисками поставщиков, Безопасность облачных сред (выбор редакции)

По темам

Охватывают оба (42):

Политика управления Осведомлённость и обучение Управление рисками Управление рисками цепочки поставок Роли и обязанности Соответствие требованиям Управление активами Оценка рисков Классификация данных Управление уязвимостями Контроль доступа Многофакторная аутентификация Шифрование Защита данных Резервное копирование и восстановление Привилегированный доступ Межсетевой экран / сегментация сети Защита конечных точек Управление исправлениями Безопасная конфигурация Безопасная разработка Безопасность электронной почты Нулевое доверие Безопасность облачных сред DLP Непрерывный мониторинг Логирование и аудит Обнаружение вторжений Обнаружение аномалий SIEM / SOC Реагирование на инциденты Криминалистический анализ Коммуникация Митигация Отчётность Планирование восстановления Непрерывность бизнеса Извлечённые уроки Коммуникации и восстановление Аварийное восстановление Управление рисками поставщиков Физическая безопасность

Только SOC 2 (4):

Бизнес-среда Безопасность веб-приложений Безопасность мобильных устройств WAF

Только NIS2 (1):

Внутренние угрозы

Вопросы

Показывает ли отчёт SOC 2 соответствие NIS2?

Он является полезным доказательством наличия мер безопасности, однако соответствие NIS2 оценивают национальные органы на основании закона, включая обязанности по отчётности и управлению, которые SOC 2 не проверяет.

Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.

Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · Косвенно связано есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Сопоставлено = собрано вместе в одной теме ControlMapping или связано напрямую. Таблицы соответствия не подтверждают соблюдение требований. Методология · Скачать данные · Сообщить об ошибке.