Il quadro NIST CSF 2.0
Il NIST Cybersecurity Framework 2.0, pubblicato a febbraio 2024: le sue sei funzioni e che cosa cambia per i dipendenti e la direzione.
In 30 secondi
- Che cos'è
- Un quadro di riferimento in sei funzioni (Governare, Identificare, Proteggere, Rilevare, Rispondere, Ripristinare), pubblicato in versione 2.0 il 26 febbraio 20241.
- Il suo status
- La versione 1.1 è presentata come una guida volontaria3; la 2.0 "may be adopted voluntarily and through governmental policies and mandates"2. Il quadro non dice come ottenere i risultati2.
- Per la direzione
- La funzione Governare, aggiunta nella versione 2.0, colloca la cybersicurezza tra i rischi dell'azienda1.
- Il riflesso
- Applicare le regole di sicurezza della propria azienda e segnalare al team sicurezza un messaggio o un comportamento anomalo. Il quadro prevede, per parte sua, la gestione, la segnalazione e la comunicazione di un incidente, oltre allo smistamento delle segnalazioni di incidente2.
Di cosa si tratta
Il NIST Cybersecurity Framework, spesso abbreviato in CSF, è un documento di riferimento pubblicato dal NIST, l'istituto statunitense per gli standard e la tecnologia. Descrive i risultati che un'organizzazione cerca di raggiungere per gestire i propri rischi di cybersicurezza. La versione 2.0 è stata pubblicata il 26 febbraio 20241.
Un dipendente non deve leggerlo per intero. Serve soprattutto a capire perché un'azienda stabilisce regole su password, backup o segnalazione di un incidente: queste regole corrispondono a funzioni precise del quadro. Questa scheda ne presenta la struttura e ciò che cambia, a seconda che si sia dipendenti o dirigenti.
Domande dirette
Il CSF 2.0 è una legge?
No, secondo le fonti citate qui. Il NIST descrive la versione 1.1 come una guida volontaria, basata su standard e pratiche esistenti3. La versione 2.0 "may be adopted voluntarily and through governmental policies and mandates": uno Stato o un'organizzazione può quindi imporla con una propria politica, ma il documento in sé non crea alcun obbligo2. Le fonti citate qui non trattano il diritto francese: non permettono di dire se una legge francese vi faccia riferimento.
Chi riguarda?
Tutte le organizzazioni. La versione 2.0 si rivolge a organizzazioni di ogni dimensione e settore, dalle scuole e associazioni più piccole alle agenzie e imprese più grandi1. La prima versione, pubblicata nel 2014, si rivolgeva in primo luogo alle infrastrutture critiche1.
Quali sono le sei funzioni?
Governare, Identificare, Proteggere, Rilevare, Rispondere e Ripristinare. Sono descritte più avanti. Il NIST le rappresenta come una ruota: Governare sta al centro, perché questa funzione orienta il modo di condurre le altre cinque2.
Il CSF dice che cosa fare, strumento per strumento?
No. Il documento descrive i risultati attesi e non prescrive né i risultati né i mezzi per raggiungerli2. I mezzi sono descritti in risorse online: riferimenti informativi, esempi di attuazione, guide di avvio rapido e profili2.
Un dipendente ha un ruolo nel CSF?
Sì, indirettamente. I risultati della funzione Proteggere comprendono la sensibilizzazione e la formazione e la sicurezza dei dati, e quelli della funzione Rispondere includono la segnalazione e la comunicazione2. Le azioni concrete variano da un'organizzazione all'altra, così come la persona che ne è responsabile2.
1Cosa cambia per i dipendenti1 min
Il quadro si rivolge in primo luogo alle persone che conducono un programma di cybersicurezza2. Il dipendente ne vede gli effetti nelle regole interne. Tre funzioni lo riguardano ogni giorno.
- Proteggere: i risultati attesi riguardano la gestione delle identità, l'autenticazione e il controllo degli accessi, la sensibilizzazione e la formazione, e la sicurezza dei dati2. Nella vita quotidiana questo si ricollega alle misure di Cybermalveillance.gouv.fr: password lunghe e diverse, autenticazione a due fattori, aggiornamenti appena vengono proposti, backup con una copia fuori dal dispositivo4.
- Rilevare: il quadro mira alla scoperta rapida di anomalie ed eventi che possono indicare un attacco2. Di fronte a un messaggio inatteso o allarmistico, Cybermalveillance.gouv.fr consiglia di chiedere conferma al mittente con un altro mezzo4.
- Rispondere e Ripristinare: la funzione Rispondere riguarda la gestione dell'incidente, l'analisi, la limitazione degli effetti, la segnalazione e la comunicazione, mentre Ripristinare riguarda il ripristino dei beni e delle attività colpiti2. Le azioni da svolgere e le persone che le svolgono dipendono dall'organizzazione2. In pratica, il dipendente segue la procedura interna e avvisa la persona giusta.
La separazione tra usi personali e professionali, un'altra misura di Cybermalveillance.gouv.fr, evita che la compromissione di un accesso personale danneggi l'azienda, e viceversa4.
2Cosa cambia per la direzioneDirezione1 min
Il CSF 2.0 aggiunge la funzione Governare. Riguarda la strategia, le aspettative e la politica di gestione del rischio informatico, che devono essere stabilite, comunicate e monitorate2. Copre il contesto dell'organizzazione, la strategia, la gestione del rischio legato ai fornitori, i ruoli, le responsabilità e i poteri, la politica e la supervisione2.
Il NIST sottolinea che la cybersicurezza è una fonte importante di rischio per l'impresa, che i dirigenti devono considerare accanto ad altri rischi, come quelli finanziari e reputazionali1. Il quadro prevede anche dei profili: un profilo attuale descrive i risultati raggiunti, un profilo obiettivo descrive quelli che l'organizzazione ha scelto e classificato per priorità2. Confrontare i due permette di individuare gli scarti2. I livelli (Tiers) caratterizzano il rigore della governance e della gestione dei rischi2.
3Cosa dice il testoTesto ufficiale1 min
Il documento è organizzato in tre componenti: il nucleo (Core), che raggruppa funzioni, categorie e sottocategorie di risultati; i profili di organizzazione; i livelli (Tiers)2. Ecco le sei funzioni, come le definisce il NIST.
- Governare: la strategia, le aspettative e la politica di gestione del rischio sono stabilite, comunicate e monitorate2.
- Identificare: i rischi attuali sono compresi, il che presuppone di conoscere i beni (dati, hardware, software, sistemi, locali, servizi, persone) e i fornitori2.
- Proteggere: vengono attuate misure di protezione2.
- Rilevare: gli attacchi e le possibili compromissioni sono individuati e analizzati2.
- Rispondere: vengono svolte azioni a fronte di un incidente rilevato2.
- Ripristinare: i beni e le attività colpiti da un incidente sono ripristinati2.
I risultati non formano un elenco di compiti: l'ordine e la dimensione delle funzioni non implicano né una sequenza né un'importanza2. Le funzioni si trattano in parallelo. Governare, Identificare, Proteggere e Rilevare si svolgono in modo continuo, Rispondere e Ripristinare devono essere pronte in ogni momento2.
Il quadro si applica a tutte le tecnologie dell'informazione e della comunicazione, compresi il cloud, il mobile e l'intelligenza artificiale2.
4A che punto è l'applicazione1 min
Il CSF 2.0 è pubblicato dal 26 febbraio 20241. Il NIST ha aggiunto guide di avvio rapido per pubblici specifici, tra cui le piccole imprese, e un catalogo di riferimenti che collega il quadro a più di 50 altri documenti di cybersicurezza1. La sua pagina iniziale menziona nel 2026 una traduzione in arabo e un anniversario dei due anni il 24 febbraio 20267.
Sul rapporto con altri testi, le fonti citate qui dicono poco. Il NIST indica che il suo lavoro con ISO e IEC permette di costruire quadri di cybersicurezza e di organizzare le misure secondo le funzioni del CSF1. Il programma OLIR del NIST pubblica corrispondenze tra gli elementi di documenti di terzi e quelli di documenti del NIST5. Le fonti citate qui non menzionano per nome né ISO 27001 né NIS 2: questa scheda non prende quindi posizione su questi due testi.
Un altro paese ha costruito un proprio quadro. Il Cyber Assessment Framework dell'NCSC britannico è organizzato intorno a quattro obiettivi, tra cui la gestione del rischio, la protezione, il rilevamento e la riduzione dell'impatto degli incidenti6. È utilizzato nei settori regolamentati ai sensi della normativa NIS britannica6. Questo quadro è distinto dal CSF.
Scheda
- Identificativo
- CP-378
- Ala
- 6. Governance e GRC
- Competenza Brain
- Proteggere i dati (safeguard_data)
- Riflesso Brain
- cr-033
- Schema
- G3 · Sezione anatomica
- Lingue
- de, en, es, fr, it
- Fonti
- 7 fonti verificate il 3 novembre 2026
Fonti7 fonti
- NIST, «NIST Releases Version 2.0 of Landmark Cybersecurity Framework», 26 febbraio 2024. https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework (consultato il 3 novembre 2026)
- NIST, «The NIST Cybersecurity Framework (CSF) 2.0», 26 febbraio 2024. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf (consultato il 3 novembre 2026)
- NIST, «Getting Started with CSF 1.1», 5 febbraio 2018. https://www.nist.gov/cyberframework/getting-started-csf-11 (consultato il 3 novembre 2026)
- Cybermalveillance.gouv.fr, «Les 10 mesures essentielles pour votre cybersécurité», 6 gennaio 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique (consultato il 3 novembre 2026)
- NIST, «National Online Informative References Program OLIR». https://csrc.nist.gov/projects/olir (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Cyber Assessment Framework». https://www.ncsc.gov.uk/collection/cyber-assessment-framework (consultato il 3 novembre 2026)
- NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Il quadro NIST CSF 2.0», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp378_it_2026,
author = {Brain},
title = {Il quadro NIST CSF 2.0},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/nist-csf-2-quadro-cybersicurezza/},
note = {CC BY 4.0}
}