Ce qu’est NIS2
NIS2 est une directive européenne sur la cybersécurité. Les obligations concernent les entités relevant des secteurs, critères et dispositions nationales applicables. En Belgique, la loi du 26 avril 2024 et son arrêté royal du 9 juin 2024 précisent le cadre.
Ce qu’est SOC 2
SOC 2 est une mission d’attestation et un rapport réalisés par un professionnel habilité selon les critères de l’AICPA. Il examine des contrôles relatifs à la sécurité et, selon le périmètre, à la disponibilité, l’intégrité du traitement, la confidentialité et la vie privée.
Pourquoi ils ne sont pas interchangeables
Un rapport SOC 2 ne dispense pas une organisation soumise à NIS2 de ses obligations. Inversement, déclarer des mesures NIS2 ne remplace pas un rapport d’assurance destiné aux clients. Les preuves peuvent néanmoins être réutilisées si les périmètres correspondent.
Exemple opérationnel
Un fournisseur SaaS peut recevoir une demande SOC 2 d’un client international alors qu’un opérateur essentiel doit satisfaire à la loi NIS2 nationale. On cartographie les actifs, responsabilités, preuves et contrôles une seule fois, puis on construit deux dossiers distincts.
En un tableau
| Critère | NIS2 | SOC 2 |
|---|---|---|
| Nature | Directive et droit national | Rapport d’attestation |
| Public | Entités réglementées | Clients, partenaires, acheteurs |
| Résultat | Obligations et éventuelle supervision | Opinion et rapport d’un auditeur |
Ce que SFERE peut accompagner
SFERE : cartographie de périmètre, analyse d’écarts techniques, registre de preuves et plan de remédiation. Pas de rapport SOC 2, de certification ni d’avis juridique.
Textes officiels, normes & ressources éditeurs
Cette fiche est une synthèse documentaire. Le texte légal consolidé, les normes applicables et leur interprétation doivent être vérifiés pour votre activité, pays et date. Les normes complètes peuvent être soumises à licence.