Cyberpediaod Brain
PLDEENESFRITNLPT

Ramy NIST CSF 2.0

NIST Cybersecurity Framework 2.0, opublikowane w lutym 2024 roku: sześć funkcji i zmiany, jakie przynoszą pracownikom oraz zarządowi.

W 30 sekund

Co to jest
Ramy referencyjne z sześcioma funkcjami (Zarządzanie, Identyfikacja, Ochrona, Wykrywanie, Reagowanie, Odzyskiwanie), opublikowane w wersji 2.0 dnia 26 lutego 2024 roku1.
Status
Wersja 1.1 jest przedstawiana jako dobrowolny przewodnik3; wersja 2.0 „may be adopted voluntarily and through governmental policies and mandates”2. Ramy nie mówią, jak osiągnąć te rezultaty2.
Dla zarządu
Funkcja Zarządzanie, dodana w wersji 2.0, umieszcza cyberbezpieczeństwo wśród ryzyk firmy1.
Odruch
Stosować zasady bezpieczeństwa swojej firmy i zgłaszać zespołowi bezpieczeństwa nietypową wiadomość lub nietypowe zachowanie. Ramy przewidują ze swojej strony zarządzanie incydentem, jego zgłaszanie i komunikację, a także sortowanie zgłoszeń incydentów2.

O co chodzi

NIST Cybersecurity Framework, często skracany do CSF, to dokument referencyjny opublikowany przez NIST, amerykański instytut norm i technologii. Opisuje rezultaty, które organizacja chce osiągnąć, aby zarządzać ryzykiem cyberbezpieczeństwa. Wersja 2.0 ukazała się 26 lutego 2024 roku1.

Pracownik nie musi czytać go w całości. Najbardziej przydaje się do zrozumienia, dlaczego firma ustala zasady dotyczące haseł, kopii zapasowych czy zgłaszania incydentów: te zasady odpowiadają konkretnym funkcjom ram. Ta karta przedstawia ich strukturę i to, co zmieniają, zależnie od tego, czy jest się pracownikiem, czy osobą zarządzającą firmą.

Pytania wprost

Czy CSF 2.0 jest prawem?

Nie, według cytowanych tu źródeł. NIST opisuje wersję 1.1 jako dobrowolny przewodnik, oparty na istniejących normach i praktykach3. Wersja 2.0 „may be adopted voluntarily and through governmental policies and mandates”: państwo lub organizacja może więc narzucić ją własną polityką, ale sam dokument nie tworzy żadnego obowiązku2. Cytowane tu źródła nie dotyczą prawa francuskiego, więc nie pozwalają stwierdzić, czy jakaś ustawa francuska odwołuje się do CSF.

Kogo to dotyczy?

Wszystkich organizacji. Wersja 2.0 jest skierowana do organizacji każdej wielkości i z każdego sektora, od najmniejszych szkół i stowarzyszeń po największe agencje i przedsiębiorstwa1. Pierwsza wersja, opublikowana w 2014 roku, dotyczyła najpierw infrastruktury krytycznej1.

Jakie to sześć funkcji?

Zarządzanie, Identyfikacja, Ochrona, Wykrywanie, Reagowanie i Odzyskiwanie. Opisano je szczegółowo niżej. NIST przedstawia je jako koło: Zarządzanie znajduje się pośrodku, ponieważ ta funkcja wyznacza sposób realizacji pozostałych pięciu2.

Czy CSF mówi, co robić, narzędzie po narzędziu?

Nie. Dokument opisuje oczekiwane rezultaty i nie narzuca ani samych rezultatów, ani sposobów ich osiągnięcia2. Sposoby opisano w zasobach internetowych: odniesieniach informacyjnych, przykładach wdrożenia, krótkich przewodnikach na start i profilach2.

Czy pracownik ma rolę w CSF?

Tak, pośrednio. Rezultaty funkcji Ochrona obejmują uświadamianie i szkolenia oraz bezpieczeństwo danych, a rezultaty funkcji Reagowanie obejmują zgłaszanie i komunikację2. Konkretne działania różnią się w zależności od organizacji, podobnie jak osoba za nie odpowiedzialna2.

1Co się zmienia dla pracowników1 min

Ramy są adresowane przede wszystkim do osób prowadzących program cyberbezpieczeństwa2. Pracownik widzi ich skutki w zasadach wewnętrznych. Na co dzień dotyczą go trzy funkcje.

  • Ochrona: oczekiwane rezultaty obejmują zarządzanie tożsamościami, uwierzytelnianie i kontrolę dostępu, uświadamianie i szkolenia oraz bezpieczeństwo danych2. W codziennym życiu pokrywa się to ze środkami zalecanymi przez Cybermalveillance.gouv.fr: długie i różne hasła, uwierzytelnianie dwuskładnikowe, aktualizacje zaraz po ich udostępnieniu, kopie zapasowe z jedną kopią poza urządzeniem4.
  • Wykrywanie: ramy mają na celu szybkie odkrywanie anomalii i zdarzeń, które mogą wskazywać na atak2. W razie nieoczekiwanej lub alarmującej wiadomości Cybermalveillance.gouv.fr radzi poprosić nadawcę o potwierdzenie innym kanałem4.
  • Reagowanie i Odzyskiwanie: funkcja Reagowanie obejmuje zarządzanie incydentem, analizę, ograniczanie skutków, zgłaszanie i komunikację, a Odzyskiwanie przywracanie dotkniętych zasobów i działań2. Działania do podjęcia i osoby, które je podejmują, zależą od organizacji2. W praktyce pracownik postępuje zgodnie z procedurą wewnętrzną i informuje właściwą osobę.

Rozdzielenie użytku prywatnego i służbowego, kolejny środek zalecany przez Cybermalveillance.gouv.fr, sprawia, że przejęcie prywatnego dostępu nie szkodzi firmie, i odwrotnie4.

2Co się zmienia dla zarząduZarząd1 min

CSF 2.0 dodaje funkcję Zarządzanie. Dotyczy ona strategii, oczekiwań i polityki zarządzania ryzykiem cybernetycznym, które mają być ustalone, przekazane i monitorowane2. Obejmuje kontekst organizacji, strategię, zarządzanie ryzykiem związanym z dostawcami, role, obowiązki i uprawnienia, politykę oraz nadzór2.

NIST podkreśla, że cyberbezpieczeństwo jest ważnym źródłem ryzyka dla przedsiębiorstwa, które kierownictwo musi rozważać obok innych ryzyk, takich jak ryzyko finansowe i reputacyjne1. Ramy przewidują też profile: profil bieżący opisuje osiągnięte rezultaty, a profil docelowy opisuje te, które organizacja wybrała i uszeregowała według priorytetu2. Porównanie obu pozwala wskazać luki2. Poziomy (Tiers) charakteryzują rygor ładu organizacyjnego (governance) i zarządzania ryzykiem2.

3Co mówi tekstTekst urzędowy1 min

Dokument składa się z trzech elementów: rdzenia (Core), który grupuje funkcje, kategorie i podkategorie rezultatów; profili organizacji; poziomów (Tiers)2. Oto sześć funkcji w definicji NIST.

  • Zarządzanie: strategia, oczekiwania i polityka zarządzania ryzykiem są ustalone, przekazane i monitorowane2.
  • Identyfikacja: aktualne ryzyka są zrozumiane, co wymaga znajomości zasobów (danych, sprzętu, oprogramowania, systemów, lokali, usług, osób) oraz dostawców2.
  • Ochrona: wdrożone są środki ochrony2.
  • Wykrywanie: możliwe ataki i naruszenia są znajdowane i analizowane2.
  • Reagowanie: podejmowane są działania w odpowiedzi na wykryty incydent2.
  • Odzyskiwanie: zasoby i działania dotknięte incydentem są przywracane2.

Rezultaty nie tworzą listy zadań: kolejność i rozmiar funkcji nie oznaczają ani następstwa, ani ważności2. Funkcje realizuje się równolegle. Zarządzanie, Identyfikacja, Ochrona i Wykrywanie prowadzi się w sposób ciągły, a Reagowanie i Odzyskiwanie muszą być gotowe w każdej chwili2.

Ramy mają zastosowanie do wszystkich technologii informacyjno-komunikacyjnych, w tym chmury, urządzeń mobilnych i sztucznej inteligencji2.

4Stan wdrożenia1 min

CSF 2.0 jest opublikowane od 26 lutego 2024 roku1. NIST dodał krótkie przewodniki na start dla określonych odbiorców, w tym małych firm, a także katalog odniesień, który łączy ramy z ponad 50 innymi dokumentami o cyberbezpieczeństwie1. Jego strona główna wspomina w 2026 roku o tłumaczeniu na arabski i o drugiej rocznicy przypadającej 24 lutego 2026 roku7.

O powiązaniach z innymi tekstami cytowane tu źródła mówią niewiele. NIST wskazuje, że jego praca z ISO i IEC pozwala budować ramy cyberbezpieczeństwa i porządkować środki według funkcji CSF1. Program OLIR instytutu NIST publikuje odwzorowania między elementami dokumentów podmiotów trzecich a elementami dokumentów NIST5. Cytowane tu źródła nie wymieniają z nazwy ani ISO 27001, ani NIS 2: ta karta nie rozstrzyga więc nic w sprawie tych dwóch tekstów.

Inny kraj zbudował własne ramy. Cyber Assessment Framework brytyjskiego NCSC opiera się na czterech celach, wśród których są zarządzanie ryzykiem, ochrona, wykrywanie i ograniczanie skutków incydentów6. Stosuje się go w sektorach regulowanych na podstawie brytyjskich przepisów NIS6. Te ramy są odrębne od CSF.

Karta

Identyfikator
CP-378
Skrzydło
6. Ład korporacyjny i GRC
Kompetencja Brain
Chronić dane (safeguard_data)
Odruch Brain
cr-033
Schemat
G3 · Przekrój anatomiczny
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 7
ŹródłaŹródła: 7
  1. NIST, „NIST Releases Version 2.0 of Landmark Cybersecurity Framework”, 26 lutego 2024. https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework (dostęp 3 listopada 2026)
  2. NIST, „The NIST Cybersecurity Framework (CSF) 2.0”, 26 lutego 2024. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf (dostęp 3 listopada 2026)
  3. NIST, „Getting Started with CSF 1.1”, 5 lutego 2018. https://www.nist.gov/cyberframework/getting-started-csf-11 (dostęp 3 listopada 2026)
  4. Cybermalveillance.gouv.fr, „Les 10 mesures essentielles pour votre cybersécurité”, 6 stycznia 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique (dostęp 3 listopada 2026)
  5. NIST, „National Online Informative References Program OLIR”. https://csrc.nist.gov/projects/olir (dostęp 3 listopada 2026)
  6. NCSC (Royaume-Uni), „Cyber Assessment Framework”. https://www.ncsc.gov.uk/collection/cyber-assessment-framework (dostęp 3 listopada 2026)
  7. NIST, „Cybersecurity Framework”. https://www.nist.gov/cyberframework (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Ramy NIST CSF 2.0”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/nist-csf-2-ramy-cyberbezpieczenstwa/

BibTeX 
@misc{brain_cp378_pl_2026,
  author = {Brain},
  title = {Ramy NIST CSF 2.0},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/nist-csf-2-ramy-cyberbezpieczenstwa/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0