本文へ移動
EU ルールファインダー
日本語 (言語)

SOC2 セキュリティ方針テンプレートと NIS2 指令第21条の措置記録

SOC 2 と NIS2 が求める文書化された方針の多くは共通です。アクセス制御、インシデント対応、バックアップ、供給者、変更管理、暗号化などです。ISO 27001 キットは回答をもとにこれらを一度で作成し（文書の言語は英語、ドイツ語、スペイン語、フランス語、ポーランド語、イタリア語から選択）、各方針を SOC 2 の規準、ISO/IEC 27001 附属書 A の管理策、NIS2 第21条第2項の各号に対応付けます。

2026年10月25日に出典と照合

SOC 2 の概要

SOC 2 は証明書ではなく報告書です。独立した米国公認会計士（CPA）事務所が、AICPA のトラストサービス規準（Trust Services Criteria）に照らしてサービス提供組織の統制を検証し、報告書を発行します。タイプ1報告書はある時点の統制のデザインを、タイプ2報告書は一定期間の統制の運用状況も対象とします。セキュリティ（共通規準 CC1〜CC9）は常に対象で、可用性、機密保持、処理のインテグリティ、プライバシーはサービスに応じて追加されます。

NIS2 第21条の概要

指令 (EU) 2022/2555 第21条により、不可欠な主体と重要な主体は、サイバーセキュリティのリスクを管理するため、適切かつ比例した技術的、運用的及び組織的措置を講じます。第2項は、措置に少なくとも含めるものとして次を挙げています。

  • (a) リスク分析と情報システムセキュリティに関する方針
  • (b) インシデントへの対処
  • (c) バックアップ管理、災害復旧、危機管理などの事業継続
  • (d) サプライチェーンのセキュリティ
  • (e) 脆弱性の取扱い及び開示を含む、システムの取得、開発及び保守におけるセキュリティ
  • (f) 措置の有効性を評価する方針と手順
  • (g) 基本的なサイバー衛生の実践とサイバーセキュリティ研修
  • (h) 暗号技術と、適切な場合の暗号化
  • (i) 人的資源のセキュリティ、アクセス制御、資産管理
  • (j) 適切な場合の多要素認証又は継続的認証と、保護された通信

第23条は、重大なインシデントの CSIRT 又は所轄当局への報告を定めています。認識してから24時間以内の早期警告、72時間以内のインシデント通知、通知から1か月以内の最終報告です。組織がこれらの主体に当たるかどうかは、指令を国内法化した各加盟国の法律が決めます。

キットが作成するファイル

ファイル内容
07〜137つの方針：許容される利用、アクセス制御、変更管理、インシデント対応、供給者セキュリティ、バックアップ及び事業継続、暗号。それぞれ目的、適用範囲、規則、責任者、例外、見直し間隔、対応する SOC 2 規準・附属書 A の管理策・NIS2 の各号の表を含みます。
14SOC 2 規準ワークシート：規準を番号順に当社独自のテーマ名で並べたもの。セキュリティと選択したカテゴリが対象で、自社の管理策と監査人が確認できる証跡の欄があります。CSV でも出力します。
15NIS2 第21条の措置記録：10の各号を文書の言語で EU 官報から引用し、対応するキットのファイルと、適用宣言書に基づく附属書 A の管理策の状況を示します。続けて第23条第4項の期限を記載します。各号の下には、実施規則 (EU) 2024/2690 の該当項目と ISO/IEC 27001:2022 との ENISA の対応表（バージョン1.2、CC BY 4.0）も載せます。
00〜06最初に読む説明ファイルと、ISO 27001 の中核文書：適用範囲、情報セキュリティ方針、リスクアセスメントと登録簿、リスク対応計画、附属書 A の93の管理策の適用宣言書、目的。

これらのファイルはすべて、ISO 27001 スターターキット を1回購入すると1組織分が手に入ります。

各方針の対応関係

方針SOC 2 規準ISO/IEC 27001 附属書 ANIS2 第21条第2項
許容される利用に関する方針CC1.1, CC2.25.10, 6.3, 6.7, 8.1(g)、(i)
アクセス制御方針CC6.1, CC6.2, CC6.35.15, 5.16, 5.17, 5.18, 8.2, 8.3, 8.5(i)、(j)
変更管理方針CC8.18.8, 8.25, 8.31, 8.32(e)
インシデント対応方針CC7.3, CC7.4, CC7.55.24, 5.25, 5.26, 5.27, 5.28, 6.8(b)
供給者セキュリティ方針CC9.25.19, 5.20, 5.21, 5.22, 5.23(d)
バックアップ及び事業継続方針CC9.1, A1.2, A1.35.29, 5.30, 8.13, 8.14(c)
暗号方針CC6.1, CC6.78.24(h)

この対応関係は、各方針が役立つ箇所についての当社独自の解釈です。監査人による対応表ではなく、規準や措置を満たしていることを示すものでもありません。

キットが行わないこと

AICPA の規準や ISO/IEC 27001 の本文は含みません。規準と管理策は番号と当社独自の言葉で示します。統制の検証、SOC 2 報告書の発行、NIS2 が適用されるかどうかの判断、インシデントの代理報告は行いません。ファイル内の空欄はすべて TO COMPLETE（選んだ文書の言語で表示）と記されます。文書は英語、ドイツ語、スペイン語、フランス語、ポーランド語、イタリア語のみです。

入力した内容はブラウザの外に送られません。ファイルはお使いの端末で作成されます。テンプレートであり、法的助言ではありません。

他に適用される EU ルールを確認

出典