--- id: CP-378 slug: nist-csf-2-quadro-cybersicurezza lang: it title: Il quadro NIST CSF 2.0 description: "Il NIST Cybersecurity Framework 2.0, pubblicato a febbraio 2024: le sue sei funzioni e che cosa cambia per i dipendenti e la direzione." canonical_url: https://startbrain.io/cyberpedia/it/articles/nist-csf-2-quadro-cybersicurezza/ markdown_url: https://startbrain.io/cyberpedia/it/articles/nist-csf-2-quadro-cybersicurezza.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Il quadro NIST CSF 2.0», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/nist-csf-2-quadro-cybersicurezza/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-033 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/nist-csf-2-quadro-cybersicurezza/ fr: https://startbrain.io/cyberpedia/fr/articles/nist-csf-2-cadre-cybersecurite/ en: https://startbrain.io/cyberpedia/en/articles/nist-csf-2-cybersecurity-framework/ de: https://startbrain.io/cyberpedia/de/articles/nist-csf-2-cybersicherheit-rahmenwerk/ es: https://startbrain.io/cyberpedia/es/articles/nist-csf-2-marco-ciberseguridad/ nl: https://startbrain.io/cyberpedia/nl/articles/nist-csf-2-cyberbeveiliging-raamwerk/ sources: - "n": 1 title: NIST Releases Version 2.0 of Landmark Cybersecurity Framework publisher: NIST url: https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework published: "2024-02-26" accessed: "2026-11-03" - "n": 2 title: The NIST Cybersecurity Framework (CSF) 2.0 publisher: NIST url: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf published: "2024-02-26" accessed: "2026-11-03" - "n": 3 title: Getting Started with CSF 1.1 publisher: NIST url: https://www.nist.gov/cyberframework/getting-started-csf-11 published: "2018-02-05" accessed: "2026-11-03" - "n": 4 title: Les 10 mesures essentielles pour votre cybersécurité publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique published: "2021-01-06" accessed: "2026-11-03" - "n": 5 title: National Online Informative References Program OLIR publisher: NIST url: https://csrc.nist.gov/projects/olir accessed: "2026-11-03" - "n": 6 title: Cyber Assessment Framework publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/cyber-assessment-framework accessed: "2026-11-03" - "n": 7 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" --- # Il quadro NIST CSF 2.0 Il NIST Cybersecurity Framework, spesso abbreviato in CSF, è un documento di riferimento pubblicato dal NIST, l'istituto statunitense per gli standard e la tecnologia. Descrive i risultati che un'organizzazione cerca di raggiungere per gestire i propri rischi di cybersicurezza. La versione 2.0 è stata pubblicata il 26 febbraio 2024 [1]. Un dipendente non deve leggerlo per intero. Serve soprattutto a capire perché un'azienda stabilisce regole su password, backup o segnalazione di un incidente: queste regole corrispondono a funzioni precise del quadro. Questa scheda ne presenta la struttura e ciò che cambia, a seconda che si sia dipendenti o dirigenti. ## In 30 secondi - Che cos'è: un quadro di riferimento in sei funzioni (Governare, Identificare, Proteggere, Rilevare, Rispondere, Ripristinare), pubblicato in versione 2.0 il 26 febbraio 2024 [1]. - Il suo status: la versione 1.1 è presentata come una guida volontaria [3]; la 2.0 "may be adopted voluntarily and through governmental policies and mandates" [2]. Il quadro non dice come ottenere i risultati [2]. - Per la direzione: la funzione Governare, aggiunta nella versione 2.0, colloca la cybersicurezza tra i rischi dell'azienda [1]. - Il riflesso: applicare le regole di sicurezza della propria azienda e segnalare al team sicurezza un messaggio o un comportamento anomalo. Il quadro prevede, per parte sua, la gestione, la segnalazione e la comunicazione di un incidente, oltre allo smistamento delle segnalazioni di incidente [2]. ## Domande dirette ### Il CSF 2.0 è una legge? No, secondo le fonti citate qui. Il NIST descrive la versione 1.1 come una guida volontaria, basata su standard e pratiche esistenti [3]. La versione 2.0 "may be adopted voluntarily and through governmental policies and mandates": uno Stato o un'organizzazione può quindi imporla con una propria politica, ma il documento in sé non crea alcun obbligo [2]. Le fonti citate qui non trattano il diritto francese: non permettono di dire se una legge francese vi faccia riferimento. ### Chi riguarda? Tutte le organizzazioni. La versione 2.0 si rivolge a organizzazioni di ogni dimensione e settore, dalle scuole e associazioni più piccole alle agenzie e imprese più grandi [1]. La prima versione, pubblicata nel 2014, si rivolgeva in primo luogo alle infrastrutture critiche [1]. ### Quali sono le sei funzioni? Governare, Identificare, Proteggere, Rilevare, Rispondere e Ripristinare. Sono descritte più avanti. Il NIST le rappresenta come una ruota: Governare sta al centro, perché questa funzione orienta il modo di condurre le altre cinque [2]. ### Il CSF dice che cosa fare, strumento per strumento? No. Il documento descrive i risultati attesi e non prescrive né i risultati né i mezzi per raggiungerli [2]. I mezzi sono descritti in risorse online: riferimenti informativi, esempi di attuazione, guide di avvio rapido e profili [2]. ### Un dipendente ha un ruolo nel CSF? Sì, indirettamente. I risultati della funzione Proteggere comprendono la sensibilizzazione e la formazione e la sicurezza dei dati, e quelli della funzione Rispondere includono la segnalazione e la comunicazione [2]. Le azioni concrete variano da un'organizzazione all'altra, così come la persona che ne è responsabile [2]. ## Cosa cambia per i dipendenti Il quadro si rivolge in primo luogo alle persone che conducono un programma di cybersicurezza [2]. Il dipendente ne vede gli effetti nelle regole interne. Tre funzioni lo riguardano ogni giorno. - Proteggere: i risultati attesi riguardano la gestione delle identità, l'autenticazione e il controllo degli accessi, la sensibilizzazione e la formazione, e la sicurezza dei dati [2]. Nella vita quotidiana questo si ricollega alle misure di Cybermalveillance.gouv.fr: password lunghe e diverse, autenticazione a due fattori, aggiornamenti appena vengono proposti, backup con una copia fuori dal dispositivo [4]. - Rilevare: il quadro mira alla scoperta rapida di anomalie ed eventi che possono indicare un attacco [2]. Di fronte a un messaggio inatteso o allarmistico, Cybermalveillance.gouv.fr consiglia di chiedere conferma al mittente con un altro mezzo [4]. - Rispondere e Ripristinare: la funzione Rispondere riguarda la gestione dell'incidente, l'analisi, la limitazione degli effetti, la segnalazione e la comunicazione, mentre Ripristinare riguarda il ripristino dei beni e delle attività colpiti [2]. Le azioni da svolgere e le persone che le svolgono dipendono dall'organizzazione [2]. In pratica, il dipendente segue la procedura interna e avvisa la persona giusta. La separazione tra usi personali e professionali, un'altra misura di Cybermalveillance.gouv.fr, evita che la compromissione di un accesso personale danneggi l'azienda, e viceversa [4]. ## Cosa cambia per la direzione Il CSF 2.0 aggiunge la funzione Governare. Riguarda la strategia, le aspettative e la politica di gestione del rischio informatico, che devono essere stabilite, comunicate e monitorate [2]. Copre il contesto dell'organizzazione, la strategia, la gestione del rischio legato ai fornitori, i ruoli, le responsabilità e i poteri, la politica e la supervisione [2]. Il NIST sottolinea che la cybersicurezza è una fonte importante di rischio per l'impresa, che i dirigenti devono considerare accanto ad altri rischi, come quelli finanziari e reputazionali [1]. Il quadro prevede anche dei profili: un profilo attuale descrive i risultati raggiunti, un profilo obiettivo descrive quelli che l'organizzazione ha scelto e classificato per priorità [2]. Confrontare i due permette di individuare gli scarti [2]. I livelli (Tiers) caratterizzano il rigore della governance e della gestione dei rischi [2]. ## Cosa dice il testo Il documento è organizzato in tre componenti: il nucleo (Core), che raggruppa funzioni, categorie e sottocategorie di risultati; i profili di organizzazione; i livelli (Tiers) [2]. Ecco le sei funzioni, come le definisce il NIST. - Governare: la strategia, le aspettative e la politica di gestione del rischio sono stabilite, comunicate e monitorate [2]. - Identificare: i rischi attuali sono compresi, il che presuppone di conoscere i beni (dati, hardware, software, sistemi, locali, servizi, persone) e i fornitori [2]. - Proteggere: vengono attuate misure di protezione [2]. - Rilevare: gli attacchi e le possibili compromissioni sono individuati e analizzati [2]. - Rispondere: vengono svolte azioni a fronte di un incidente rilevato [2]. - Ripristinare: i beni e le attività colpiti da un incidente sono ripristinati [2]. I risultati non formano un elenco di compiti: l'ordine e la dimensione delle funzioni non implicano né una sequenza né un'importanza [2]. Le funzioni si trattano in parallelo. Governare, Identificare, Proteggere e Rilevare si svolgono in modo continuo, Rispondere e Ripristinare devono essere pronte in ogni momento [2]. Il quadro si applica a tutte le tecnologie dell'informazione e della comunicazione, compresi il cloud, il mobile e l'intelligenza artificiale [2]. ## A che punto è l'applicazione Il CSF 2.0 è pubblicato dal 26 febbraio 2024 [1]. Il NIST ha aggiunto guide di avvio rapido per pubblici specifici, tra cui le piccole imprese, e un catalogo di riferimenti che collega il quadro a più di 50 altri documenti di cybersicurezza [1]. La sua pagina iniziale menziona nel 2026 una traduzione in arabo e un anniversario dei due anni il 24 febbraio 2026 [7]. Sul rapporto con altri testi, le fonti citate qui dicono poco. Il NIST indica che il suo lavoro con ISO e IEC permette di costruire quadri di cybersicurezza e di organizzare le misure secondo le funzioni del CSF [1]. Il programma OLIR del NIST pubblica corrispondenze tra gli elementi di documenti di terzi e quelli di documenti del NIST [5]. Le fonti citate qui non menzionano per nome né ISO 27001 né NIS 2: questa scheda non prende quindi posizione su questi due testi. Un altro paese ha costruito un proprio quadro. Il Cyber Assessment Framework dell'NCSC britannico è organizzato intorno a quattro obiettivi, tra cui la gestione del rischio, la protezione, il rilevamento e la riduzione dell'impatto degli incidenti [6]. È utilizzato nei settori regolamentati ai sensi della normativa NIS britannica [6]. Questo quadro è distinto dal CSF. ## Fonti 1. NIST, «NIST Releases Version 2.0 of Landmark Cybersecurity Framework», 26 febbraio 2024. https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework (consultato il 3 novembre 2026) 2. NIST, «The NIST Cybersecurity Framework (CSF) 2.0», 26 febbraio 2024. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf (consultato il 3 novembre 2026) 3. NIST, «Getting Started with CSF 1.1», 5 febbraio 2018. https://www.nist.gov/cyberframework/getting-started-csf-11 (consultato il 3 novembre 2026) 4. Cybermalveillance.gouv.fr, «Les 10 mesures essentielles pour votre cybersécurité», 6 gennaio 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique (consultato il 3 novembre 2026) 5. NIST, «National Online Informative References Program OLIR». https://csrc.nist.gov/projects/olir (consultato il 3 novembre 2026) 6. NCSC (Royaume-Uni), «Cyber Assessment Framework». https://www.ncsc.gov.uk/collection/cyber-assessment-framework (consultato il 3 novembre 2026) 7. NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/nist-csf-2-quadro-cybersicurezza/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.