NIS2 y SOC 2: plantillas de políticas de seguridad y medidas del artículo 21

SOC 2 es un informe, no un certificado: una firma independiente de contadores públicos (CPA) examina los controles de una organización de servicios frente a los Trust Services Criteria del AICPA y emite el informe. Un informe tipo 1 cubre el diseño de los controles en una fecha; uno tipo 2 cubre también su funcionamiento durante un periodo. La seguridad, es decir, los criterios comunes CC1 a CC9, siempre forma parte del alcance; la disponibilidad, la confidencialidad, la integridad del procesamiento y la privacidad se añaden cuando el servicio las necesita.

Según el artículo 21 de la Directiva (UE) 2022/2555, las entidades esenciales e importantes toman medidas técnicas, operativas y de organización adecuadas y proporcionadas para gestionar los riesgos de ciberseguridad. El apartado 2 indica lo que esas medidas incluyen al menos:

• a) políticas de seguridad de los sistemas de información y de análisis de riesgos;
• b) gestión de incidentes;
• c) continuidad de las actividades, como la gestión de copias de seguridad, la recuperación en caso de catástrofe y la gestión de crisis;
• d) seguridad de la cadena de suministro;
• e) seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluida la gestión y divulgación de vulnerabilidades;
• f) políticas y procedimientos para evaluar la eficacia de las medidas;
• g) prácticas básicas de ciberhigiene y formación en ciberseguridad;
• h) criptografía y, en su caso, cifrado;
• i) seguridad de los recursos humanos, control de acceso y gestión de activos;
• j) autenticación multifactorial o continua y comunicaciones seguras, cuando proceda.

El artículo 23 añade la notificación de incidentes significativos al CSIRT o a la autoridad competente: una alerta temprana en veinticuatro horas desde que se tiene constancia, una notificación del incidente en setenta y dos horas y un informe final a más tardar un mes después de la notificación. Si una organización es una entidad esencial o importante lo decide la ley nacional que transpone la Directiva.

Todos estos archivos se obtienen con una sola compra del kit de inicio ISO 27001, para una organización.

Estas referencias son nuestra propia lectura de dónde ayuda cada política; no son la correspondencia de un auditor ni muestran que se cumpla un criterio o una medida.

No contiene el texto de los criterios del AICPA ni el de ISO/IEC 27001: criterios y controles se nombran por su número con palabras propias. No examina sus controles, no emite un informe SOC 2, no decide si NIS2 le aplica ni notifica incidentes por usted. Cada hueco en los archivos figura como POR COMPLETAR.

Nada de lo que escribe sale de su navegador; los archivos se crean en su dispositivo. Plantillas, no asesoramiento jurídico.