SOC2 安全政策範本與 NIS2 指令第 21 條措施紀錄
SOC 2 和 NIS2 要求的書面政策大多相同：存取控制、事件應變、備份、供應商、變更管理和加密。ISO 27001 套件依您的回答一次寫好這些政策，文件語言可選英文、德文、西班牙文、法文、波蘭文或義大利文，並將每項政策對應到 SOC 2 準則、ISO/IEC 27001 附錄 A 的控制措施，以及 NIS2 第 21 條第 2 項的各款。
已於 2026年10月25日 與來源核對
AICPA：2017 Trust Services Criteria（含 2022 年修訂的關注重點），英文
已於 2026年10月25日 與來源核對
SOC 2 簡介
SOC 2 是一份報告，而不是證書：由獨立的美國執業會計師（CPA）事務所依 AICPA 的信任服務準則（Trust Services Criteria）查核服務機構的控制並出具報告。第一類報告針對某一日期的控制設計；第二類報告還涵蓋一段期間內控制的運作情形。安全類別（共同準則 CC1 至 CC9）一律包含在內；可用性、機密性、處理完整性和隱私則視服務需要加入。
NIS2 第 21 條簡介
依歐盟指令 (EU) 2022/2555 第 21 條，基本實體與重要實體應採取適當且相稱的技術、營運和組織措施來管理資安風險。第 2 項列出這些措施至少包括：
- (a) 風險分析與資訊系統安全政策；
- (b) 事件處理；
- (c) 營運持續，例如備份管理、災難復原和危機管理；
- (d) 供應鏈安全；
- (e) 系統取得、開發和維護的安全，包括弱點處理與揭露；
- (f) 評估措施有效性的政策和程序；
- (g) 基本網路衛生實務與資安訓練；
- (h) 密碼技術，以及適當時的加密；
- (i) 人力資源安全、存取控制和資產管理；
- (j) 適當時採用多因子或持續身分驗證，以及安全的通訊。
第 23 條另規定向 CSIRT 或主管機關通報重大事件：知悉事件後 24 小時內提出早期預警，72 小時內提出事件通報，並於通報後一個月內提出最終報告。組織是否屬於上述實體，由各會員國轉化該指令的國內法決定。
套件產生的文件
| 文件 | 內容 |
|---|---|
| 07 至 13 | 七項政策：可接受使用、存取控制、變更管理、事件應變、供應商安全、備份與營運持續、密碼技術。每項均含目的、範圍、規則、負責人、例外、審查週期，以及其對應的 SOC 2 準則、附錄 A 控制措施和 NIS2 各款的表格。 |
| 14 | SOC 2 準則工作表：依編號列出準則並附我們自己的主題說明，涵蓋安全類別和您勾選的類別，留有填寫您的控制措施與查核人員可檢視證據的欄位；另附 CSV。 |
| 15 | NIS2 第 21 條措施紀錄：十款內容均依文件語言引用歐盟官方公報原文，列出套件中對應的文件，以及依您的適用性聲明得出的相關附錄 A 控制措施狀態；接著是第 23 條第 4 項的期限。每一款下另附 ENISA 將施行規則 (EU) 2024/2690 相應條目對應到 ISO/IEC 27001:2022 的對照表（1.2 版，CC BY 4.0）。 |
| 00 至 06 | 說明文件（read me first），以及 ISO 27001 核心文件：範圍、資訊安全政策、風險評鑑與登錄表、風險處理計畫、附錄 A 全部 93 項控制措施的適用性聲明、目標。 |
購買一次 ISO 27001 入門套件 即可取得以上全部文件，適用於一個組織。
各項政策的對應關係
| 政策 | SOC 2 準則 | ISO/IEC 27001 附錄 A | NIS2 第 21 條第 2 項 |
|---|---|---|---|
| 可接受使用政策 | CC1.1, CC2.2 | 5.10, 6.3, 6.7, 8.1 | (g)、(i) |
| 存取控制政策 | CC6.1, CC6.2, CC6.3 | 5.15, 5.16, 5.17, 5.18, 8.2, 8.3, 8.5 | (i)、(j) |
| 變更管理政策 | CC8.1 | 8.8, 8.25, 8.31, 8.32 | (e) |
| 事件應變政策 | CC7.3, CC7.4, CC7.5 | 5.24, 5.25, 5.26, 5.27, 5.28, 6.8 | (b) |
| 供應商安全政策 | CC9.2 | 5.19, 5.20, 5.21, 5.22, 5.23 | (d) |
| 備份與營運持續政策 | CC9.1, A1.2, A1.3 | 5.29, 5.30, 8.13, 8.14 | (c) |
| 密碼技術政策 | CC6.1, CC6.7 | 8.24 | (h) |
這些對應關係是我們對各項政策作用的理解，並非查核人員的對照表，也不表示某項準則或措施已經符合。
套件不做的事
套件不包含 AICPA 準則或 ISO/IEC 27001 的原文：準則與控制措施只以編號和我們自己的文字表示。套件不查核您的控制，不出具 SOC 2 報告，不判斷 NIS2 是否適用於您，也不代您通報事件。文件中所有空缺都標為 TO COMPLETE（以所選文件語言顯示）。文件只有英文、德文、西班牙文、法文、波蘭文和義大利文版本。
您輸入的內容不會離開瀏覽器；文件在您的裝置上產生。這些是範本，不是法律意見。