SOC 2-beleidssjablonen en NIS2-maatregelen van artikel 21, ingevuld
SOC 2 en NIS2 vragen grotendeels om hetzelfde schriftelijke beleid: toegangsbeheer, incidentrespons, back-up, leveranciers, wijzigingsbeheer en versleuteling. De ISO 27001-kit schrijft het één keer op basis van uw antwoorden (documenten in het Engels, Duits, Spaans, Frans, Pools of Italiaans) en koppelt elk beleid aan de SOC 2-criteria, de bijlage A-beheersmaatregelen van ISO/IEC 27001 en de punten van NIS2 artikel 21, lid 2.
Gecontroleerd aan de hand van de bronnen op 25 oktober 2026
AICPA: 2017 Trust Services Criteria (met herziene points of focus, 2022) (Engels)
Gecontroleerd aan de hand van de bronnen op 25 oktober 2026
SOC 2 in het kort
SOC 2 is een rapport, geen certificaat: een onafhankelijk CPA-kantoor onderzoekt de beheersmaatregelen van een dienstverlenende organisatie aan de hand van de Trust Services Criteria van het AICPA en geeft het rapport uit. Een type 1-rapport gaat over de opzet van de beheersmaatregelen op één datum; een type 2-rapport ook over hun werking gedurende een periode. Security, de gemeenschappelijke criteria CC1 tot en met CC9, valt altijd binnen de reikwijdte; beschikbaarheid, vertrouwelijkheid, integriteit van de verwerking en privacy komen erbij als de dienst ze nodig heeft.
NIS2 artikel 21 in het kort
Volgens artikel 21 van Richtlijn (EU) 2022/2555 nemen essentiële en belangrijke entiteiten passende en evenredige technische, operationele en organisatorische maatregelen om cyberbeveiligingsrisico's te beheersen. Lid 2 noemt wat de maatregelen ten minste omvatten:
- a) beleid inzake risicoanalyse en beveiliging van informatiesystemen;
- b) incidentenbehandeling;
- c) bedrijfscontinuïteit, zoals back-upbeheer, herstel na rampen en crisisbeheer;
- d) beveiliging van de toeleveringsketen;
- e) beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen, met inbegrip van de behandeling en bekendmaking van kwetsbaarheden;
- f) beleid en procedures om te beoordelen of de maatregelen werken;
- g) basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging;
- h) cryptografie en, in voorkomend geval, encryptie;
- i) beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa;
- j) multifactor- of continue authenticatie en beveiligde communicatie, waar passend.
Artikel 23 voegt de melding van significante incidenten aan het CSIRT of de bevoegde autoriteit toe: een vroegtijdige waarschuwing binnen 24 uur nadat de entiteit van het incident kennis heeft gekregen, een incidentmelding binnen 72 uur en een eindverslag binnen een maand na de incidentmelding. Of een organisatie een essentiële of belangrijke entiteit is, bepaalt de nationale wet die de richtlijn omzet.
Wat de kit schrijft
| Bestanden | Wat ze bevatten |
|---|---|
| 07 tot en met 13 | Zeven beleidsregels: aanvaardbaar gebruik, toegangsbeheer, wijzigingsbeheer, incidentrespons, beveiliging van leveranciers, back-up en bedrijfscontinuïteit, cryptografie. Elk met doel, reikwijdte, regels, eigenaar, uitzonderingen, herzieningstermijn en een tabel met de SOC 2-criteria, bijlage A-beheersmaatregelen en NIS2-punten. |
| 14 | Werkblad SOC 2-criteria: de criteria per nummer met onze eigen onderwerpwoorden, voor Security en de categorieën die u aanvinkt, met kolommen voor uw beheersmaatregelen en het bewijs dat een auditor kan inzien; ook als CSV. |
| 15 | NIS2-register van artikel 21: elk van de tien punten geciteerd uit het Publicatieblad in de taal van het document, de kitbestanden die het behandelen en de status van de bijbehorende bijlage A-beheersmaatregelen uit uw verklaring van toepasselijkheid; daarna de termijnen van artikel 23, lid 4. Onder elk punt de koppeling van ENISA (versie 1.2, CC BY 4.0) van de overeenkomende punten van Uitvoeringsverordening (EU) 2024/2690 aan ISO/IEC 27001:2022. |
| 00 tot en met 06 | Eerst lezen, dan de ISO 27001-kern: reikwijdte, informatiebeveiligingsbeleid, risicobeoordeling en -register, behandelplan, verklaring van toepasselijkheid van de 93 bijlage A-beheersmaatregelen, doelstellingen. |
Al deze bestanden krijgt u met één aankoop van de ISO 27001-starterkit, voor één organisatie.
Welk beleid wat dekt
| Beleid | SOC 2-criteria | ISO/IEC 27001 bijlage A | NIS2 artikel 21, lid 2 |
|---|---|---|---|
| Beleid voor aanvaardbaar gebruik | CC1.1, CC2.2 | 5.10, 6.3, 6.7, 8.1 | punten g), i) |
| Beleid voor toegangsbeheer | CC6.1, CC6.2, CC6.3 | 5.15, 5.16, 5.17, 5.18, 8.2, 8.3, 8.5 | punten i), j) |
| Beleid voor wijzigingsbeheer | CC8.1 | 8.8, 8.25, 8.31, 8.32 | punt e) |
| Beleid voor incidentrespons | CC7.3, CC7.4, CC7.5 | 5.24, 5.25, 5.26, 5.27, 5.28, 6.8 | punt b) |
| Beleid voor beveiliging van leveranciers | CC9.2 | 5.19, 5.20, 5.21, 5.22, 5.23 | punt d) |
| Beleid voor back-up en bedrijfscontinuïteit | CC9.1, A1.2, A1.3 | 5.29, 5.30, 8.13, 8.14 | punt c) |
| Cryptografiebeleid | CC6.1, CC6.7 | 8.24 | punt h) |
Deze verwijzingen zijn onze eigen lezing van waar elk beleid helpt; ze zijn geen koppeling van een auditor en tonen niet aan dat aan een criterium of maatregel is voldaan.
Wat de kit niet doet
Hij bevat niet de tekst van de AICPA-criteria of van ISO/IEC 27001: criteria en beheersmaatregelen worden per nummer genoemd, met onze eigen woorden. Hij onderzoekt uw beheersmaatregelen niet, geeft geen SOC 2-rapport uit, beslist niet of NIS2 op u van toepassing is en meldt geen incidenten voor u. Elke leemte in de bestanden staat er als TO COMPLETE.
Niets wat u typt verlaat uw browser; de bestanden worden op uw apparaat gemaakt. Sjablonen, geen juridisch advies.
Bronnen
- AICPA: 2017 Trust Services Criteria (met herziene points of focus, 2022) (Engels)
- Richtlijn (EU) 2022/2555 (NIS2), artikelen 21 en 23
- Uitvoeringsverordening (EU) 2024/2690 van de Commissie: technische en methodologische eisen voor cloud-, datacentrum-, beheerde diensten-, DNS- en de andere aanbieders die zij noemt