NIS2 wymagania: wzory polityk bezpieczeństwa z art. 21 i SOC 2, wypełnione
SOC 2 i NIS2 wymagają w dużej mierze tych samych pisemnych polityk: kontroli dostępu, reagowania na incydenty, kopii zapasowych, dostawców, zarządzania zmianami i szyfrowania. Pakiet ISO 27001 pisze je raz na podstawie odpowiedzi, po polsku, angielsku, niemiecku, hiszpańsku, francusku lub włosku, i przypisuje każdą politykę do kryteriów SOC 2, zabezpieczeń z załącznika A ISO/IEC 27001 oraz liter art. 21 ust. 2 NIS2.
Sprawdzono ze źródłami dnia 25 października 2026
AICPA: 2017 Trust Services Criteria (ze zmienionymi points of focus z 2022 r.), po angielsku
Sprawdzono ze źródłami dnia 25 października 2026
SOC 2 w skrócie
SOC 2 to raport, a nie certyfikat: niezależna firma biegłych rewidentów z uprawnieniami CPA bada kontrole organizacji usługowej według Trust Services Criteria AICPA i wydaje raport. Raport typu 1 dotyczy projektu kontroli na dany dzień, raport typu 2 także ich działania w pewnym okresie. Bezpieczeństwo, czyli kryteria wspólne CC1–CC9, jest zawsze w zakresie; dostępność, poufność, integralność przetwarzania i prywatność dochodzą, gdy wymaga tego usługa.
Art. 21 NIS2 w skrócie
Zgodnie z art. 21 dyrektywy (UE) 2022/2555 podmioty kluczowe i ważne wprowadzają odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykiem w cyberbezpieczeństwie. Ust. 2 wskazuje, co te środki obejmują co najmniej:
- a) politykę analizy ryzyka i bezpieczeństwa systemów informatycznych;
- b) obsługę incydentów;
- c) ciągłość działania, np. zarządzanie kopiami zapasowymi, przywracanie po sytuacji nadzwyczajnej i zarządzanie kryzysowe;
- d) bezpieczeństwo łańcucha dostaw;
- e) bezpieczeństwo nabywania, rozwoju i utrzymania systemów, w tym postępowanie w przypadku podatności i ich ujawnianie;
- f) polityki i procedury oceny skuteczności środków;
- g) podstawowe praktyki cyberhigieny i szkolenia z cyberbezpieczeństwa;
- h) kryptografię i, w stosownych przypadkach, szyfrowanie;
- i) bezpieczeństwo zasobów ludzkich, kontrolę dostępu i zarządzanie aktywami;
- j) w stosownych przypadkach uwierzytelnianie wieloskładnikowe lub ciągłe oraz zabezpieczoną łączność.
Art. 23 dodaje zgłaszanie poważnych incydentów do CSIRT lub właściwego organu: wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiedzy, zgłoszenie incydentu w ciągu 72 godzin i sprawozdanie końcowe nie później niż miesiąc po zgłoszeniu. O tym, czy organizacja jest podmiotem kluczowym lub ważnym, decyduje krajowa ustawa wdrażająca dyrektywę.
Co pisze pakiet
| Pliki | Zawartość |
|---|---|
| 07–13 | Siedem polityk: dopuszczalne użytkowanie, kontrola dostępu, zarządzanie zmianami, reagowanie na incydenty, bezpieczeństwo dostawców, kopie zapasowe i ciągłość działania, kryptografia. Każda z celem, zakresem, zasadami, właścicielem, wyjątkami, okresem przeglądu i tabelą kryteriów SOC 2, zabezpieczeń z załącznika A i liter NIS2. |
| 14 | Arkusz kryteriów SOC 2: kryteria według numerów z naszymi własnymi opisami, dla bezpieczeństwa i zaznaczonych kategorii, z kolumnami na zabezpieczenia i dowód, który może sprawdzić audytor; także jako CSV. |
| 15 | Zestawienie środków z art. 21 NIS2: każda z dziesięciu liter zacytowana z Dziennika Urzędowego w języku dokumentu, pliki pakietu, które jej dotyczą, i stan powiązanych zabezpieczeń z załącznika A według deklaracji stosowania; dalej terminy z art. 23 ust. 4. Pod każdą literą przyporządkowanie ENISA (wersja 1.2, CC BY 4.0) punktów rozporządzenia wykonawczego (UE) 2024/2690 do ISO/IEC 27001:2022. |
| 00–06 | „Przeczytaj najpierw”, potem rdzeń ISO 27001: zakres, polityka bezpieczeństwa informacji, szacowanie ryzyka z rejestrem, plan postępowania z ryzykiem, deklaracja stosowania 93 zabezpieczeń z załącznika A, cele. |
Wszystkie te pliki są w jednym zakupie pakietu startowego ISO 27001, dla jednej organizacji.
Co obejmuje każda polityka
| Polityka | Kryteria SOC 2 | ISO/IEC 27001 załącznik A | NIS2 art. 21 ust. 2 |
|---|---|---|---|
| Polityka dopuszczalnego użytkowania | CC1.1, CC2.2 | 5.10, 6.3, 6.7, 8.1 | lit. g), i) |
| Polityka kontroli dostępu | CC6.1, CC6.2, CC6.3 | 5.15, 5.16, 5.17, 5.18, 8.2, 8.3, 8.5 | lit. i), j) |
| Polityka zarządzania zmianami | CC8.1 | 8.8, 8.25, 8.31, 8.32 | lit. e) |
| Polityka reagowania na incydenty | CC7.3, CC7.4, CC7.5 | 5.24, 5.25, 5.26, 5.27, 5.28, 6.8 | lit. b) |
| Polityka bezpieczeństwa dostawców | CC9.2 | 5.19, 5.20, 5.21, 5.22, 5.23 | lit. d) |
| Polityka kopii zapasowych i ciągłości działania | CC9.1, A1.2, A1.3 | 5.29, 5.30, 8.13, 8.14 | lit. c) |
| Polityka kryptografii | CC6.1, CC6.7 | 8.24 | lit. h) |
Te odniesienia to nasza własna ocena, w czym pomaga każda polityka; nie są przypisaniem dokonanym przez audytora i nie pokazują, że kryterium lub środek jest spełniony.
Czego pakiet nie robi
Nie zawiera treści kryteriów AICPA ani normy ISO/IEC 27001: kryteria i zabezpieczenia są podane z numerem i naszymi słowami. Nie bada kontroli, nie wydaje raportu SOC 2, nie rozstrzyga, czy NIS2 dotyczy organizacji, i nie zgłasza za nią incydentów. Każda luka w plikach jest oznaczona DO UZUPEŁNIENIA.
Nic, co wpiszesz, nie opuszcza przeglądarki; pliki powstają na Twoim urządzeniu. Wzory, nie porada prawna.
Źródła
- AICPA: 2017 Trust Services Criteria (ze zmienionymi points of focus z 2022 r.), po angielsku
- Dyrektywa (UE) 2022/2555 (NIS2), art. 21 i 23
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690: wymogi techniczne i metodologiczne dla dostawców usług chmurowych, ośrodków przetwarzania danych, usług zarządzanych, DNS i innych w nim wymienionych