Modelos de política SOC 2 e medidas do artigo 21.º NIS2, preenchidos
O SOC 2 e a NIS2 pedem muitas das mesmas políticas escritas: controle de acesso, resposta a incidentes, backup, fornecedores, gestão de mudanças e criptografia. O kit ISO 27001 as redige uma vez a partir das suas respostas, em inglês, alemão, espanhol, francês, polonês ou italiano, e liga cada política aos critérios SOC 2, aos controles do Anexo A da ISO/IEC 27001 e às alíneas do artigo 21.º, n.º 2, da NIS2.
Verificado em relação às fontes em 25 de outubro de 2026
AICPA: 2017 Trust Services Criteria (with revised points of focus, 2022) (inglês)
Verificado em relação às fontes em 25 de outubro de 2026
O SOC 2 em resumo
O SOC 2 é um relatório, não um certificado: uma firma independente de CPA examina os controles de uma organização de serviços segundo os Trust Services Criteria do AICPA e emite o relatório. Um relatório de tipo 1 cobre o desenho dos controles numa data; um de tipo 2 cobre também como funcionaram durante um período. A segurança, os critérios comuns CC1 a CC9, está sempre no escopo; disponibilidade, confidencialidade, integridade do processamento e privacidade entram quando o serviço precisa delas.
O artigo 21.º da NIS2 em resumo
Pelo artigo 21.º da Diretiva (UE) 2022/2555, as entidades essenciais e importantes tomam medidas técnicas, operacionais e organizativas adequadas e proporcionadas para gerir os riscos de cibersegurança. O n.º 2 lista o que as medidas incluem pelo menos:
- a) políticas de análise de riscos e de segurança dos sistemas de informação;
- b) tratamento de incidentes;
- c) continuidade das atividades, como a gestão de cópias de segurança, a recuperação de desastres e a gestão de crises;
- d) segurança da cadeia de abastecimento;
- e) segurança na aquisição, desenvolvimento e manutenção de sistemas, incluindo o tratamento e a divulgação de vulnerabilidades;
- f) políticas e procedimentos para avaliar se as medidas são eficazes;
- g) práticas básicas de ciber-higiene e formação em cibersegurança;
- h) criptografia e, se for caso disso, cifragem;
- i) segurança dos recursos humanos, controle do acesso e gestão de ativos;
- j) autenticação multifator ou contínua e comunicações protegidas, se for caso disso.
O artigo 23.º acrescenta a notificação de incidentes significativos à CSIRT ou à autoridade competente: um alerta rápido no prazo de 24 horas após tomar conhecimento do incidente, uma notificação do incidente em 72 horas e um relatório final no prazo de um mês após a notificação. Se uma organização é uma entidade essencial ou importante, decide-o a lei nacional que transpõe a Diretiva.
O que o kit escreve
| Arquivos | O que contêm |
|---|---|
| 07 a 13 | Sete políticas: uso aceitável, controle de acesso, gestão de mudanças, resposta a incidentes, segurança de fornecedores, backup e continuidade do negócio, criptografia. Cada uma com objetivo, escopo, regras, responsável, exceções, intervalo de revisão e uma tabela dos seus critérios SOC 2, controles do Anexo A e alíneas da NIS2. |
| 14 | Planilha dos critérios SOC 2: os critérios por número com as nossas próprias palavras de tema, para a Segurança e as categorias que você marcar, com colunas para os seus controles e as evidências que um auditor pode inspecionar; também em CSV. |
| 15 | Registro do artigo 21.º da NIS2: cada uma das dez alíneas citada do Jornal Oficial no idioma do documento, os arquivos do kit que tratam dela e o estado dos seus controles do Anexo A, retirado da sua Declaração de Aplicabilidade; depois os prazos do artigo 23.º, n.º 4. Debaixo de cada alínea, o mapeamento da ENISA (versão 1.2, CC BY 4.0) dos pontos correspondentes do Regulamento de Execução (UE) 2024/2690 para a ISO/IEC 27001:2022. |
| 00 a 06 | Leia primeiro, depois o núcleo ISO 27001: escopo, política de segurança da informação, avaliação e registro de riscos, plano de tratamento, Declaração de Aplicabilidade dos 93 controles do Anexo A, objetivos. |
Todos estes arquivos vêm com uma única compra do kit inicial ISO 27001, para uma organização.
Que política cobre o quê
| Política | Critérios SOC 2 | ISO/IEC 27001 Anexo A | NIS2 artigo 21.º, n.º 2 |
|---|---|---|---|
| Política de uso aceitável | CC1.1, CC2.2 | 5.10, 6.3, 6.7, 8.1 | alíneas g), i) |
| Política de controle de acesso | CC6.1, CC6.2, CC6.3 | 5.15, 5.16, 5.17, 5.18, 8.2, 8.3, 8.5 | alíneas i), j) |
| Política de gestão de mudanças | CC8.1 | 8.8, 8.25, 8.31, 8.32 | alínea e) |
| Política de resposta a incidentes | CC7.3, CC7.4, CC7.5 | 5.24, 5.25, 5.26, 5.27, 5.28, 6.8 | alínea b) |
| Política de segurança de fornecedores | CC9.2 | 5.19, 5.20, 5.21, 5.22, 5.23 | alínea d) |
| Política de backup e continuidade do negócio | CC9.1, A1.2, A1.3 | 5.29, 5.30, 8.13, 8.14 | alínea c) |
| Política de criptografia | CC6.1, CC6.7 | 8.24 | alínea h) |
Estas referências são a nossa própria leitura de onde cada política ajuda; não são um mapeamento de auditor e não mostram que um critério ou uma medida está cumprido.
O que o kit não faz
Não contém o texto dos critérios do AICPA nem da ISO/IEC 27001: critérios e controles são indicados por número, com as nossas próprias palavras. Não examina os seus controles, não emite um relatório SOC 2, não decide se a NIS2 se aplica a você nem notifica incidentes por você. Cada lacuna nos arquivos aparece como TO COMPLETE.
Nada do que você digita sai do seu navegador; os arquivos são gerados no seu dispositivo. Modelos, não aconselhamento jurídico.
Fontes
- AICPA: 2017 Trust Services Criteria (with revised points of focus, 2022) (inglês)
- Diretiva (UE) 2022/2555 (NIS2), artigos 21.º e 23.º
- Regulamento de Execução (UE) 2024/2690 da Comissão: requisitos técnicos e metodológicos para prestadores de serviços de computação em nuvem, de centros de dados, de serviços geridos, de DNS e os outros que enumera