NIS 2 et SOC 2 : modèles de politiques de sécurité et mesures de l’article 21
SOC 2 et NIS 2 demandent souvent les mêmes politiques écrites : contrôle d’accès, réponse aux incidents, sauvegarde, fournisseurs, gestion des changements et chiffrement. Le kit ISO 27001 les rédige une fois à partir de vos réponses, en français, anglais, allemand, espagnol, polonais ou italien, et rattache chaque politique aux critères SOC 2, aux mesures de l’annexe A de l’ISO/IEC 27001 et aux points de l’article 21, paragraphe 2, de NIS 2.
Vérifié par rapport aux sources le 25 octobre 2026
AICPA : 2017 Trust Services Criteria (points of focus révisés en 2022), en anglais
Vérifié par rapport aux sources le 25 octobre 2026
SOC 2 en bref
SOC 2 est un rapport, pas un certificat : un cabinet indépendant d’experts-comptables agréés aux États-Unis (CPA) examine les contrôles d’un prestataire de services au regard des Trust Services Criteria de l’AICPA et émet le rapport. Un rapport de type 1 porte sur la conception des contrôles à une date ; un rapport de type 2 porte aussi sur leur fonctionnement pendant une période. La sécurité, c’est-à-dire les critères communs CC1 à CC9, est toujours incluse ; la disponibilité, la confidentialité, l’intégrité du traitement et la vie privée s’y ajoutent quand le service l’exige.
L’article 21 de NIS 2 en bref
Selon l’article 21 de la directive (UE) 2022/2555, les entités essentielles et importantes prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques de cybersécurité. Le paragraphe 2 indique ce que ces mesures comprennent au moins :
- a) les politiques d’analyse des risques et de sécurité des systèmes d’information ;
- b) la gestion des incidents ;
- c) la continuité des activités, par exemple la gestion des sauvegardes, la reprise des activités et la gestion des crises ;
- d) la sécurité de la chaîne d’approvisionnement ;
- e) la sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris le traitement et la divulgation des vulnérabilités ;
- f) des politiques et procédures pour évaluer l’efficacité des mesures ;
- g) les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ;
- h) la cryptographie et, le cas échéant, le chiffrement ;
- i) la sécurité des ressources humaines, le contrôle d’accès et la gestion des actifs ;
- j) l’authentification à plusieurs facteurs ou continue et les communications sécurisées, selon les besoins.
L’article 23 y ajoute la notification des incidents importants au CSIRT ou à l’autorité compétente : une alerte précoce dans les 24 heures après en avoir eu connaissance, une notification d’incident dans les 72 heures et un rapport final au plus tard un mois après la notification. C’est la loi nationale qui transpose la directive qui décide si un organisme est une entité essentielle ou importante.
Ce que le kit rédige
| Fichiers | Contenu |
|---|---|
| 07 à 13 | Sept politiques : utilisation acceptable, contrôle d’accès, gestion des changements, réponse aux incidents, sécurité des fournisseurs, sauvegarde et continuité d’activité, cryptographie. Chacune avec son objet, son domaine d’application, ses règles, son responsable, les exceptions, la fréquence de revue et un tableau de ses critères SOC 2, mesures de l’annexe A et points NIS 2. |
| 14 | Grille des critères SOC 2 : les critères par numéro avec nos propres intitulés, pour la sécurité et les catégories que vous cochez, avec des colonnes pour vos mesures et la preuve qu’un auditeur peut examiner ; aussi en CSV. |
| 15 | Relevé de l’article 21 de NIS 2 : chacun des dix points cité d’après le Journal officiel dans la langue du document, les fichiers du kit qui y répondent et l’état des mesures de l’annexe A correspondantes selon votre déclaration d’applicabilité ; puis les délais de l’article 23, paragraphe 4. Sous chaque point, la correspondance de l’ENISA (version 1.2, CC BY 4.0) entre les points du règlement d’exécution (UE) 2024/2690 et l’ISO/IEC 27001:2022. |
| 00 à 06 | « À lire en premier », puis le socle ISO 27001 : domaine d’application, politique de sécurité de l’information, appréciation et registre des risques, plan de traitement, déclaration d’applicabilité des 93 mesures de l’annexe A, objectifs. |
Tous ces fichiers sont fournis avec un seul achat du kit de démarrage ISO 27001, pour un organisme.
Quelle politique couvre quoi
| Politique | Critères SOC 2 | ISO/IEC 27001 annexe A | NIS 2 article 21, paragraphe 2 |
|---|---|---|---|
| Politique d’utilisation acceptable | CC1.1, CC2.2 | 5.10, 6.3, 6.7, 8.1 | points g), i) |
| Politique de contrôle d’accès | CC6.1, CC6.2, CC6.3 | 5.15, 5.16, 5.17, 5.18, 8.2, 8.3, 8.5 | points i), j) |
| Politique de gestion des changements | CC8.1 | 8.8, 8.25, 8.31, 8.32 | point e) |
| Politique de réponse aux incidents | CC7.3, CC7.4, CC7.5 | 5.24, 5.25, 5.26, 5.27, 5.28, 6.8 | point b) |
| Politique de sécurité des fournisseurs | CC9.2 | 5.19, 5.20, 5.21, 5.22, 5.23 | point d) |
| Politique de sauvegarde et de continuité d’activité | CC9.1, A1.2, A1.3 | 5.29, 5.30, 8.13, 8.14 | point c) |
| Politique de cryptographie | CC6.1, CC6.7 | 8.24 | point h) |
Ces références sont notre propre lecture de l’apport de chaque politique ; ce n’est pas la correspondance d’un auditeur et elles ne montrent pas qu’un critère ou une mesure est satisfait.
Ce que le kit ne fait pas
Il ne contient ni le texte des critères de l’AICPA ni celui de l’ISO/IEC 27001 : critères et mesures sont désignés par leur numéro avec nos propres mots. Il n’examine pas vos contrôles, n’émet pas de rapport SOC 2, ne décide pas si NIS 2 vous concerne et ne notifie pas les incidents à votre place. Chaque manque dans les fichiers est marqué À COMPLÉTER.
Rien de ce que vous saisissez ne quitte votre navigateur ; les fichiers sont créés sur votre appareil. Des modèles, pas un conseil juridique.
Sources
- AICPA : 2017 Trust Services Criteria (points of focus révisés en 2022), en anglais
- Directive (UE) 2022/2555 (NIS 2), articles 21 et 23
- Règlement d’exécution (UE) 2024/2690 de la Commission : exigences techniques et méthodologiques pour les fournisseurs d’informatique en nuage, de centres de données, de services gérés, de DNS et les autres qu’il énumère