--- id: CP-378 slug: nist-csf-2-ramy-cyberbezpieczenstwa lang: pl title: Ramy NIST CSF 2.0 description: "NIST Cybersecurity Framework 2.0, opublikowane w lutym 2024 roku: sześć funkcji i zmiany, jakie przynoszą pracownikom oraz zarządowi." canonical_url: https://startbrain.io/cyberpedia/pl/articles/nist-csf-2-ramy-cyberbezpieczenstwa/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/nist-csf-2-ramy-cyberbezpieczenstwa.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Ramy NIST CSF 2.0”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/nist-csf-2-ramy-cyberbezpieczenstwa/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-033 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/nist-csf-2-ramy-cyberbezpieczenstwa/ fr: https://startbrain.io/cyberpedia/fr/articles/nist-csf-2-cadre-cybersecurite/ en: https://startbrain.io/cyberpedia/en/articles/nist-csf-2-cybersecurity-framework/ de: https://startbrain.io/cyberpedia/de/articles/nist-csf-2-cybersicherheit-rahmenwerk/ es: https://startbrain.io/cyberpedia/es/articles/nist-csf-2-marco-ciberseguridad/ it: https://startbrain.io/cyberpedia/it/articles/nist-csf-2-quadro-cybersicurezza/ nl: https://startbrain.io/cyberpedia/nl/articles/nist-csf-2-cyberbeveiliging-raamwerk/ pt: https://startbrain.io/cyberpedia/pt/articles/nist-csf-2-quadro-ciberseguranca/ sources: - "n": 1 title: NIST Releases Version 2.0 of Landmark Cybersecurity Framework publisher: NIST url: https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework published: "2024-02-26" accessed: "2026-11-03" - "n": 2 title: The NIST Cybersecurity Framework (CSF) 2.0 publisher: NIST url: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf published: "2024-02-26" accessed: "2026-11-03" - "n": 3 title: Getting Started with CSF 1.1 publisher: NIST url: https://www.nist.gov/cyberframework/getting-started-csf-11 published: "2018-02-05" accessed: "2026-11-03" - "n": 4 title: Les 10 mesures essentielles pour votre cybersécurité publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique published: "2021-01-06" accessed: "2026-11-03" - "n": 5 title: National Online Informative References Program OLIR publisher: NIST url: https://csrc.nist.gov/projects/olir accessed: "2026-11-03" - "n": 6 title: Cyber Assessment Framework publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/cyber-assessment-framework accessed: "2026-11-03" - "n": 7 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" --- # Ramy NIST CSF 2.0 NIST Cybersecurity Framework, często skracany do CSF, to dokument referencyjny opublikowany przez NIST, amerykański instytut norm i technologii. Opisuje rezultaty, które organizacja chce osiągnąć, aby zarządzać ryzykiem cyberbezpieczeństwa. Wersja 2.0 ukazała się 26 lutego 2024 roku [1]. Pracownik nie musi czytać go w całości. Najbardziej przydaje się do zrozumienia, dlaczego firma ustala zasady dotyczące haseł, kopii zapasowych czy zgłaszania incydentów: te zasady odpowiadają konkretnym funkcjom ram. Ta karta przedstawia ich strukturę i to, co zmieniają, zależnie od tego, czy jest się pracownikiem, czy osobą zarządzającą firmą. ## W 30 sekund - Co to jest: ramy referencyjne z sześcioma funkcjami (Zarządzanie, Identyfikacja, Ochrona, Wykrywanie, Reagowanie, Odzyskiwanie), opublikowane w wersji 2.0 dnia 26 lutego 2024 roku [1]. - Status: wersja 1.1 jest przedstawiana jako dobrowolny przewodnik [3]; wersja 2.0 „may be adopted voluntarily and through governmental policies and mandates” [2]. Ramy nie mówią, jak osiągnąć te rezultaty [2]. - Dla zarządu: funkcja Zarządzanie, dodana w wersji 2.0, umieszcza cyberbezpieczeństwo wśród ryzyk firmy [1]. - Odruch: stosować zasady bezpieczeństwa swojej firmy i zgłaszać zespołowi bezpieczeństwa nietypową wiadomość lub nietypowe zachowanie. Ramy przewidują ze swojej strony zarządzanie incydentem, jego zgłaszanie i komunikację, a także sortowanie zgłoszeń incydentów [2]. ## Pytania wprost ### Czy CSF 2.0 jest prawem? Nie, według cytowanych tu źródeł. NIST opisuje wersję 1.1 jako dobrowolny przewodnik, oparty na istniejących normach i praktykach [3]. Wersja 2.0 „may be adopted voluntarily and through governmental policies and mandates”: państwo lub organizacja może więc narzucić ją własną polityką, ale sam dokument nie tworzy żadnego obowiązku [2]. Cytowane tu źródła nie dotyczą prawa francuskiego, więc nie pozwalają stwierdzić, czy jakaś ustawa francuska odwołuje się do CSF. ### Kogo to dotyczy? Wszystkich organizacji. Wersja 2.0 jest skierowana do organizacji każdej wielkości i z każdego sektora, od najmniejszych szkół i stowarzyszeń po największe agencje i przedsiębiorstwa [1]. Pierwsza wersja, opublikowana w 2014 roku, dotyczyła najpierw infrastruktury krytycznej [1]. ### Jakie to sześć funkcji? Zarządzanie, Identyfikacja, Ochrona, Wykrywanie, Reagowanie i Odzyskiwanie. Opisano je szczegółowo niżej. NIST przedstawia je jako koło: Zarządzanie znajduje się pośrodku, ponieważ ta funkcja wyznacza sposób realizacji pozostałych pięciu [2]. ### Czy CSF mówi, co robić, narzędzie po narzędziu? Nie. Dokument opisuje oczekiwane rezultaty i nie narzuca ani samych rezultatów, ani sposobów ich osiągnięcia [2]. Sposoby opisano w zasobach internetowych: odniesieniach informacyjnych, przykładach wdrożenia, krótkich przewodnikach na start i profilach [2]. ### Czy pracownik ma rolę w CSF? Tak, pośrednio. Rezultaty funkcji Ochrona obejmują uświadamianie i szkolenia oraz bezpieczeństwo danych, a rezultaty funkcji Reagowanie obejmują zgłaszanie i komunikację [2]. Konkretne działania różnią się w zależności od organizacji, podobnie jak osoba za nie odpowiedzialna [2]. ## Co się zmienia dla pracowników Ramy są adresowane przede wszystkim do osób prowadzących program cyberbezpieczeństwa [2]. Pracownik widzi ich skutki w zasadach wewnętrznych. Na co dzień dotyczą go trzy funkcje. - Ochrona: oczekiwane rezultaty obejmują zarządzanie tożsamościami, uwierzytelnianie i kontrolę dostępu, uświadamianie i szkolenia oraz bezpieczeństwo danych [2]. W codziennym życiu pokrywa się to ze środkami zalecanymi przez Cybermalveillance.gouv.fr: długie i różne hasła, uwierzytelnianie dwuskładnikowe, aktualizacje zaraz po ich udostępnieniu, kopie zapasowe z jedną kopią poza urządzeniem [4]. - Wykrywanie: ramy mają na celu szybkie odkrywanie anomalii i zdarzeń, które mogą wskazywać na atak [2]. W razie nieoczekiwanej lub alarmującej wiadomości Cybermalveillance.gouv.fr radzi poprosić nadawcę o potwierdzenie innym kanałem [4]. - Reagowanie i Odzyskiwanie: funkcja Reagowanie obejmuje zarządzanie incydentem, analizę, ograniczanie skutków, zgłaszanie i komunikację, a Odzyskiwanie przywracanie dotkniętych zasobów i działań [2]. Działania do podjęcia i osoby, które je podejmują, zależą od organizacji [2]. W praktyce pracownik postępuje zgodnie z procedurą wewnętrzną i informuje właściwą osobę. Rozdzielenie użytku prywatnego i służbowego, kolejny środek zalecany przez Cybermalveillance.gouv.fr, sprawia, że przejęcie prywatnego dostępu nie szkodzi firmie, i odwrotnie [4]. ## Co się zmienia dla zarządu CSF 2.0 dodaje funkcję Zarządzanie. Dotyczy ona strategii, oczekiwań i polityki zarządzania ryzykiem cybernetycznym, które mają być ustalone, przekazane i monitorowane [2]. Obejmuje kontekst organizacji, strategię, zarządzanie ryzykiem związanym z dostawcami, role, obowiązki i uprawnienia, politykę oraz nadzór [2]. NIST podkreśla, że cyberbezpieczeństwo jest ważnym źródłem ryzyka dla przedsiębiorstwa, które kierownictwo musi rozważać obok innych ryzyk, takich jak ryzyko finansowe i reputacyjne [1]. Ramy przewidują też profile: profil bieżący opisuje osiągnięte rezultaty, a profil docelowy opisuje te, które organizacja wybrała i uszeregowała według priorytetu [2]. Porównanie obu pozwala wskazać luki [2]. Poziomy (Tiers) charakteryzują rygor ładu organizacyjnego (governance) i zarządzania ryzykiem [2]. ## Co mówi tekst Dokument składa się z trzech elementów: rdzenia (Core), który grupuje funkcje, kategorie i podkategorie rezultatów; profili organizacji; poziomów (Tiers) [2]. Oto sześć funkcji w definicji NIST. - Zarządzanie: strategia, oczekiwania i polityka zarządzania ryzykiem są ustalone, przekazane i monitorowane [2]. - Identyfikacja: aktualne ryzyka są zrozumiane, co wymaga znajomości zasobów (danych, sprzętu, oprogramowania, systemów, lokali, usług, osób) oraz dostawców [2]. - Ochrona: wdrożone są środki ochrony [2]. - Wykrywanie: możliwe ataki i naruszenia są znajdowane i analizowane [2]. - Reagowanie: podejmowane są działania w odpowiedzi na wykryty incydent [2]. - Odzyskiwanie: zasoby i działania dotknięte incydentem są przywracane [2]. Rezultaty nie tworzą listy zadań: kolejność i rozmiar funkcji nie oznaczają ani następstwa, ani ważności [2]. Funkcje realizuje się równolegle. Zarządzanie, Identyfikacja, Ochrona i Wykrywanie prowadzi się w sposób ciągły, a Reagowanie i Odzyskiwanie muszą być gotowe w każdej chwili [2]. Ramy mają zastosowanie do wszystkich technologii informacyjno-komunikacyjnych, w tym chmury, urządzeń mobilnych i sztucznej inteligencji [2]. ## Stan wdrożenia CSF 2.0 jest opublikowane od 26 lutego 2024 roku [1]. NIST dodał krótkie przewodniki na start dla określonych odbiorców, w tym małych firm, a także katalog odniesień, który łączy ramy z ponad 50 innymi dokumentami o cyberbezpieczeństwie [1]. Jego strona główna wspomina w 2026 roku o tłumaczeniu na arabski i o drugiej rocznicy przypadającej 24 lutego 2026 roku [7]. O powiązaniach z innymi tekstami cytowane tu źródła mówią niewiele. NIST wskazuje, że jego praca z ISO i IEC pozwala budować ramy cyberbezpieczeństwa i porządkować środki według funkcji CSF [1]. Program OLIR instytutu NIST publikuje odwzorowania między elementami dokumentów podmiotów trzecich a elementami dokumentów NIST [5]. Cytowane tu źródła nie wymieniają z nazwy ani ISO 27001, ani NIS 2: ta karta nie rozstrzyga więc nic w sprawie tych dwóch tekstów. Inny kraj zbudował własne ramy. Cyber Assessment Framework brytyjskiego NCSC opiera się na czterech celach, wśród których są zarządzanie ryzykiem, ochrona, wykrywanie i ograniczanie skutków incydentów [6]. Stosuje się go w sektorach regulowanych na podstawie brytyjskich przepisów NIS [6]. Te ramy są odrębne od CSF. ## Źródła 1. NIST, „NIST Releases Version 2.0 of Landmark Cybersecurity Framework”, 26 lutego 2024. https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework (dostęp 3 listopada 2026) 2. NIST, „The NIST Cybersecurity Framework (CSF) 2.0”, 26 lutego 2024. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf (dostęp 3 listopada 2026) 3. NIST, „Getting Started with CSF 1.1”, 5 lutego 2018. https://www.nist.gov/cyberframework/getting-started-csf-11 (dostęp 3 listopada 2026) 4. Cybermalveillance.gouv.fr, „Les 10 mesures essentielles pour votre cybersécurité”, 6 stycznia 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique (dostęp 3 listopada 2026) 5. NIST, „National Online Informative References Program OLIR”. https://csrc.nist.gov/projects/olir (dostęp 3 listopada 2026) 6. NCSC (Royaume-Uni), „Cyber Assessment Framework”. https://www.ncsc.gov.uk/collection/cyber-assessment-framework (dostęp 3 listopada 2026) 7. NIST, „Cybersecurity Framework”. https://www.nist.gov/cyberframework (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/nist-csf-2-ramy-cyberbezpieczenstwa/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.