SOC2 安全政策模板与 NIS2 指令第 21 条措施记录
SOC 2 和 NIS2 要求的书面政策大多相同：访问控制、事件响应、备份、供应商、变更管理和加密。ISO 27001 套件根据您的回答一次写好这些政策，文件语言可选英语、德语、西班牙语、法语、波兰语或意大利语，并把每项政策对应到 SOC 2 准则、ISO/IEC 27001 附录 A 的控制措施以及 NIS2 第 21 条第 2 款的各项。
已于 2026年10月25日 与来源核对
AICPA：2017 Trust Services Criteria（含 2022 年修订的关注要点），英文
已于 2026年10月25日 与来源核对
SOC 2 简介
SOC 2 是一份报告，而不是证书：由独立的美国注册会计师（CPA）事务所依据 AICPA 的信任服务准则（Trust Services Criteria）审查服务机构的控制并出具报告。类型 1 报告针对某一日期的控制设计；类型 2 报告还涵盖一段期间内控制的运行情况。安全类别（通用准则 CC1 至 CC9）始终包含在内；可用性、保密性、处理完整性和隐私则视服务需要加入。
NIS2 第 21 条简介
根据欧盟指令 (EU) 2022/2555 第 21 条，基本实体和重要实体应采取适当且相称的技术、运营和组织措施来管理网络安全风险。第 2 款列出这些措施至少包括：
- (a) 风险分析和信息系统安全政策；
- (b) 事件处理；
- (c) 业务连续性，例如备份管理、灾难恢复和危机管理；
- (d) 供应链安全；
- (e) 系统采购、开发和维护中的安全，包括漏洞处理和披露；
- (f) 评估措施有效性的政策和程序；
- (g) 基本网络卫生实践和网络安全培训；
- (h) 密码技术，以及适当时的加密；
- (i) 人力资源安全、访问控制和资产管理；
- (j) 适当时采用多因素或持续身份验证以及安全通信。
第 23 条另规定向 CSIRT 或主管机关报告重大事件：知悉事件后 24 小时内发出早期预警，72 小时内提交事件通知，并在通知后一个月内提交最终报告。一个组织是否属于基本实体或重要实体，由各成员国转化该指令的国内法决定。
套件生成的文件
| 文件 | 内容 |
|---|---|
| 07 至 13 | 七项政策：可接受使用、访问控制、变更管理、事件响应、供应商安全、备份与业务连续性、密码技术。每项均含目的、范围、规则、负责人、例外、审查周期，以及其对应的 SOC 2 准则、附录 A 控制措施和 NIS2 各项的表格。 |
| 14 | SOC 2 准则工作表：按编号列出准则并附我们自己的主题说明，涵盖安全类别和您勾选的类别，留有填写您的控制措施和审计师可查验证据的栏位；另附 CSV。 |
| 15 | NIS2 第 21 条措施记录：十项内容均按文件语言引用欧盟官方公报原文，列出套件中对应的文件，以及根据您的适用性声明得出的相关附录 A 控制措施状态；随后是第 23 条第 4 款的时限。每一项下还附有 ENISA 将实施条例 (EU) 2024/2690 相应条目对应到 ISO/IEC 27001:2022 的对照表（1.2 版，CC BY 4.0）。 |
| 00 至 06 | 说明文件（read me first），以及 ISO 27001 核心文件：范围、信息安全方针、风险评估与登记册、风险处置计划、附录 A 全部 93 项控制措施的适用性声明、目标。 |
购买一次 ISO 27001 入门套件 即可获得以上全部文件，适用于一个组织。
各项政策的对应关系
| 政策 | SOC 2 准则 | ISO/IEC 27001 附录 A | NIS2 第 21 条第 2 款 |
|---|---|---|---|
| 可接受使用政策 | CC1.1, CC2.2 | 5.10, 6.3, 6.7, 8.1 | (g)、(i) |
| 访问控制政策 | CC6.1, CC6.2, CC6.3 | 5.15, 5.16, 5.17, 5.18, 8.2, 8.3, 8.5 | (i)、(j) |
| 变更管理政策 | CC8.1 | 8.8, 8.25, 8.31, 8.32 | (e) |
| 事件响应政策 | CC7.3, CC7.4, CC7.5 | 5.24, 5.25, 5.26, 5.27, 5.28, 6.8 | (b) |
| 供应商安全政策 | CC9.2 | 5.19, 5.20, 5.21, 5.22, 5.23 | (d) |
| 备份与业务连续性政策 | CC9.1, A1.2, A1.3 | 5.29, 5.30, 8.13, 8.14 | (c) |
| 密码技术政策 | CC6.1, CC6.7 | 8.24 | (h) |
这些对应关系是我们对各项政策作用的理解，并非审计师的对照表，也不表示某项准则或措施已得到满足。
套件不做的事
套件不包含 AICPA 准则或 ISO/IEC 27001 的原文：准则和控制措施只用编号和我们自己的文字表示。套件不审查您的控制，不出具 SOC 2 报告，不判断 NIS2 是否适用于您，也不代您报告事件。文件中所有空缺都标为 TO COMPLETE（以所选文件语言显示）。文件只有英语、德语、西班牙语、法语、波兰语和意大利语版本。
您输入的内容不会离开浏览器；文件在您的设备上生成。这些是模板，不是法律意见。