NIS2 Vorlagen und SOC 2 Richtlinien: Maßnahmen nach Artikel 21, ausgefüllt

SOC 2 und NIS-2 verlangen vielfach dieselben schriftlichen Richtlinien: Zugangssteuerung, Behandlung von Sicherheitsvorfällen, Datensicherung, Lieferanten, Änderungsmanagement und Verschlüsselung. Das ISO-27001-Paket schreibt sie einmal aus Ihren Angaben, auf Deutsch, Englisch, Spanisch, Französisch, Polnisch oder Italienisch, und ordnet jede Richtlinie den SOC-2-Kriterien, den Maßnahmen aus Anhang A der ISO/IEC 27001 und den Buchstaben von Artikel 21 Absatz 2 NIS-2 zu.

Am 25. Oktober 2026 mit den Quellen abgeglichen

AICPA: 2017 Trust Services Criteria (mit überarbeiteten Points of Focus, 2022), Englisch

Am 25. Oktober 2026 mit den Quellen abgeglichen

SOC 2 kurz erklärt

SOC 2 ist ein Bericht, kein Zertifikat: Eine unabhängige CPA-Prüfungsgesellschaft prüft die Kontrollen eines Dienstleisters anhand der Trust Services Criteria des AICPA und erstellt den Bericht. Ein Bericht Typ 1 betrifft die Ausgestaltung der Kontrollen zu einem Stichtag, ein Bericht Typ 2 auch ihre Wirksamkeit über einen Zeitraum. Sicherheit, also die gemeinsamen Kriterien CC1 bis CC9, gehört immer dazu; Verfügbarkeit, Vertraulichkeit, Integrität der Verarbeitung und Datenschutz kommen hinzu, wenn der Dienst sie braucht.

Artikel 21 NIS-2 kurz erklärt

Nach Artikel 21 der Richtlinie (EU) 2022/2555 ergreifen wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen, um Cybersicherheitsrisiken zu beherrschen. Absatz 2 nennt, was die Maßnahmen mindestens umfassen:

a) Konzepte zur Risikoanalyse und zur Sicherheit der Informationssysteme;
b) Bewältigung von Sicherheitsvorfällen;
c) Aufrechterhaltung des Betriebs, etwa Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement;
d) Sicherheit der Lieferkette;
e) Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Management und Offenlegung von Schwachstellen;
f) Konzepte und Verfahren, um die Wirksamkeit der Maßnahmen zu bewerten;
g) grundlegende Cyberhygiene und Schulungen zur Cybersicherheit;
h) Kryptografie und gegebenenfalls Verschlüsselung;
i) Sicherheit des Personals, Zugriffskontrolle und Management von Anlagen;
j) Multi-Faktor- oder kontinuierliche Authentifizierung und gesicherte Kommunikation, wo angebracht.

Artikel 23 regelt die Meldung erheblicher Sicherheitsvorfälle an das CSIRT oder die zuständige Behörde: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht spätestens einen Monat nach der Meldung. Ob eine Organisation eine wesentliche oder wichtige Einrichtung ist, entscheidet das nationale Gesetz zur Umsetzung der Richtlinie.

Was das Paket schreibt

Dateien	Inhalt
07 bis 13	Sieben Richtlinien: zulässige Nutzung, Zugangssteuerung, Änderungsmanagement, Behandlung von Sicherheitsvorfällen, Lieferantensicherheit, Datensicherung und Betriebskontinuität, Kryptografie. Jede mit Zweck, Geltungsbereich, Regeln, Verantwortlichen, Ausnahmen, Überprüfungsintervall und einer Tabelle ihrer SOC-2-Kriterien, Maßnahmen aus Anhang A und NIS-2-Buchstaben.
14	Arbeitsblatt zu den SOC-2-Kriterien: die Kriterien nach Nummer mit unseren eigenen Themenbezeichnungen, für Sicherheit und die von Ihnen gewählten Kategorien, mit Spalten für Ihre Maßnahmen und den Nachweis, den ein Prüfer einsehen kann; auch als CSV.
15	Nachweis zu Artikel 21 NIS-2: jeder der zehn Buchstaben im Wortlaut des Amtsblatts in der Sprache des Dokuments, die Dateien des Pakets dazu und der Stand der zugehörigen Maßnahmen aus Anhang A laut Ihrer Erklärung zur Anwendbarkeit; dann die Fristen nach Artikel 23 Absatz 4. Unter jedem Buchstaben die Zuordnung der ENISA (Version 1.2, CC BY 4.0) der passenden Nummern der Durchführungsverordnung (EU) 2024/2690 zur ISO/IEC 27001:2022.
00 bis 06	„Zuerst lesen“, dann der ISO-27001-Kern: Anwendungsbereich, Informationssicherheitspolitik, Risikobeurteilung mit Register, Risikobehandlungsplan, Erklärung zur Anwendbarkeit der 93 Maßnahmen aus Anhang A, Ziele.

Alle diese Dateien gibt es mit einem Kauf des ISO 27001 Starterpakets, für eine Organisation.

Welche Richtlinie was abdeckt

Richtlinie	SOC-2-Kriterien	ISO/IEC 27001 Anhang A	NIS-2 Artikel 21 Absatz 2
Richtlinie zur zulässigen Nutzung	CC1.1, CC2.2	5.10, 6.3, 6.7, 8.1	Buchstaben g, i
Richtlinie zur Zugangssteuerung	CC6.1, CC6.2, CC6.3	5.15, 5.16, 5.17, 5.18, 8.2, 8.3, 8.5	Buchstaben i, j
Richtlinie zum Änderungsmanagement	CC8.1	8.8, 8.25, 8.31, 8.32	Buchstabe e
Richtlinie zur Behandlung von Sicherheitsvorfällen	CC7.3, CC7.4, CC7.5	5.24, 5.25, 5.26, 5.27, 5.28, 6.8	Buchstabe b
Richtlinie zur Lieferantensicherheit	CC9.2	5.19, 5.20, 5.21, 5.22, 5.23	Buchstabe d
Richtlinie zu Datensicherung und Betriebskontinuität	CC9.1, A1.2, A1.3	5.29, 5.30, 8.13, 8.14	Buchstabe c
Richtlinie zur Kryptografie	CC6.1, CC6.7	8.24	Buchstabe h

Diese Bezüge sind unsere eigene Einschätzung, wo jede Richtlinie hilft; sie sind keine Zuordnung durch einen Prüfer und zeigen nicht, dass ein Kriterium oder eine Maßnahme erfüllt ist.

Was das Paket nicht tut

Es enthält weder den Text der AICPA-Kriterien noch den der ISO/IEC 27001: Kriterien und Maßnahmen sind mit Nummer und eigenen Worten bezeichnet. Es prüft Ihre Kontrollen nicht, erstellt keinen SOC-2-Bericht, entscheidet nicht, ob NIS-2 für Sie gilt, und meldet keine Vorfälle für Sie. Jede Lücke in den Dateien ist mit AUSZUFÜLLEN gekennzeichnet.

Nichts, was Sie eingeben, verlässt Ihren Browser; die Dateien entstehen auf Ihrem Gerät. Vorlagen, keine Rechtsberatung.

Prüfen, welche anderen EU-Regeln gelten