--- id: CP-378 slug: nist-csf-2-quadro-ciberseguranca lang: pt title: O quadro NIST CSF 2.0 description: "O NIST Cybersecurity Framework 2.0, publicado em fevereiro de 2024: as suas seis funções e o que muda para os colaboradores e a direção." canonical_url: https://startbrain.io/cyberpedia/pt/articles/nist-csf-2-quadro-ciberseguranca/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/nist-csf-2-quadro-ciberseguranca.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «O quadro NIST CSF 2.0», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/nist-csf-2-quadro-ciberseguranca/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-033 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/nist-csf-2-quadro-ciberseguranca/ fr: https://startbrain.io/cyberpedia/fr/articles/nist-csf-2-cadre-cybersecurite/ en: https://startbrain.io/cyberpedia/en/articles/nist-csf-2-cybersecurity-framework/ de: https://startbrain.io/cyberpedia/de/articles/nist-csf-2-cybersicherheit-rahmenwerk/ es: https://startbrain.io/cyberpedia/es/articles/nist-csf-2-marco-ciberseguridad/ it: https://startbrain.io/cyberpedia/it/articles/nist-csf-2-quadro-cybersicurezza/ nl: https://startbrain.io/cyberpedia/nl/articles/nist-csf-2-cyberbeveiliging-raamwerk/ sources: - "n": 1 title: NIST Releases Version 2.0 of Landmark Cybersecurity Framework publisher: NIST url: https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework published: "2024-02-26" accessed: "2026-11-03" - "n": 2 title: The NIST Cybersecurity Framework (CSF) 2.0 publisher: NIST url: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf published: "2024-02-26" accessed: "2026-11-03" - "n": 3 title: Getting Started with CSF 1.1 publisher: NIST url: https://www.nist.gov/cyberframework/getting-started-csf-11 published: "2018-02-05" accessed: "2026-11-03" - "n": 4 title: Les 10 mesures essentielles pour votre cybersécurité publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique published: "2021-01-06" accessed: "2026-11-03" - "n": 5 title: National Online Informative References Program OLIR publisher: NIST url: https://csrc.nist.gov/projects/olir accessed: "2026-11-03" - "n": 6 title: Cyber Assessment Framework publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/cyber-assessment-framework accessed: "2026-11-03" - "n": 7 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" --- # O quadro NIST CSF 2.0 O NIST Cybersecurity Framework, muitas vezes abreviado CSF, é um documento de referência publicado pelo NIST, o instituto norte-americano de normas e tecnologia. Descreve os resultados que uma organização procura alcançar para gerir os seus riscos de cibersegurança. A versão 2.0 foi publicada a 26 de fevereiro de 2024 [1]. Um colaborador não precisa de o ler por inteiro. Serve sobretudo para perceber por que razão uma empresa define regras sobre palavras-passe, cópias de segurança ou comunicação de um incidente: essas regras correspondem a funções precisas do quadro. Esta ficha apresenta a sua estrutura e o que ele muda, consoante se seja colaborador ou dirigente. ## Em 30 segundos - O que é: um quadro de referência com seis funções (Governar, Identificar, Proteger, Detetar, Responder, Recuperar), publicado na versão 2.0 a 26 de fevereiro de 2024 [1]. - O seu estatuto: a versão 1.1 é apresentada como um guia voluntário [3]; a 2.0 "may be adopted voluntarily and through governmental policies and mandates" [2]. O quadro não diz como alcançar os resultados [2]. - Para a direção: a função Governar, acrescentada na versão 2.0, coloca a cibersegurança entre os riscos da empresa [1]. - O reflexo: cumprir as instruções de segurança da sua empresa e comunicar à equipa de segurança uma mensagem ou um comportamento anormal. Por seu lado, o quadro prevê a gestão, o reporte e a comunicação de um incidente, bem como a triagem dos relatórios de incidente [2]. ## Perguntas diretas ### O CSF 2.0 é uma lei? Não, segundo as fontes aqui citadas. O NIST descreve a versão 1.1 como um guia voluntário, baseado em normas e práticas existentes [3]. A versão 2.0 "may be adopted voluntarily and through governmental policies and mandates": um Estado ou uma organização pode, portanto, impô-la através da sua própria política, mas o documento em si não cria qualquer obrigação [2]. As fontes aqui citadas não tratam do direito francês: não permitem dizer se alguma lei francesa lhe faz referência. ### Quem é abrangido? Todas as organizações. A versão 2.0 destina-se a organizações de qualquer dimensão e setor, desde as mais pequenas escolas e associações até às maiores agências e empresas [1]. A primeira versão, publicada em 2014, visava em primeiro lugar as infraestruturas críticas [1]. ### Quais são as seis funções? Governar, Identificar, Proteger, Detetar, Responder e Recuperar. São detalhadas mais abaixo. O NIST representa-as como uma roda: Governar está ao centro, porque esta função orienta a forma de conduzir as outras cinco [2]. ### O CSF diz o que fazer, ferramenta a ferramenta? Não. O documento descreve resultados esperados e não prescreve nem os resultados nem os meios para os alcançar [2]. Os meios são descritos em recursos em linha: referências informativas, exemplos de implementação, guias de arranque rápido e perfis [2]. ### Um colaborador tem um papel no CSF? Sim, de forma indireta. Os resultados da função Proteger incluem a sensibilização e a formação, bem como a segurança dos dados, e os da função Responder incluem o reporte e a comunicação [2]. As ações concretas variam consoante a organização, tal como a pessoa responsável por elas [2]. ## O que muda para os colaboradores O quadro dirige-se, em primeiro lugar, a quem conduz um programa de cibersegurança [2]. O colaborador vê os seus efeitos nas regras internas. Três funções dizem-lhe respeito no dia a dia. - Proteger: os resultados esperados abrangem a gestão de identidades, a autenticação e o controlo de acessos, a sensibilização e a formação, e a segurança dos dados [2]. Na vida corrente, isto coincide com as medidas da Cybermalveillance.gouv.fr: palavras-passe longas e diferentes, autenticação de dois fatores, atualizações logo que são propostas, cópias de segurança com um exemplar fora do dispositivo [4]. - Detetar: o quadro visa a descoberta rápida de anomalias e de eventos que possam indicar um ataque [2]. Perante uma mensagem inesperada ou alarmista, a Cybermalveillance.gouv.fr aconselha a pedir confirmação ao remetente por outro meio [4]. - Responder e Recuperar: a função Responder abrange a gestão do incidente, a análise, a limitação dos efeitos, o reporte e a comunicação, e Recuperar a reposição dos ativos e das atividades afetados [2]. As ações a realizar e as pessoas que as realizam dependem da organização [2]. Na prática, o colaborador segue o procedimento interno e avisa a pessoa certa. A separação entre usos pessoais e profissionais, outra medida da Cybermalveillance.gouv.fr, evita que o comprometimento de um acesso pessoal prejudique a empresa, e vice-versa [4]. ## O que muda para a direção O CSF 2.0 acrescenta a função Governar. Incide sobre a estratégia, as expectativas e a política de gestão do risco cibernético, que devem ser estabelecidas, comunicadas e acompanhadas [2]. Abrange o contexto da organização, a estratégia, a gestão do risco ligado aos fornecedores, as funções, responsabilidades e poderes, a política e a supervisão [2]. O NIST sublinha que a cibersegurança é uma fonte importante de risco para a empresa, que os dirigentes devem considerar a par de outros riscos, como os financeiros e os de reputação [1]. O quadro prevê também perfis: um perfil atual descreve os resultados alcançados, um perfil-alvo descreve os que a organização escolheu e classificou por prioridade [2]. Comparar os dois permite identificar as lacunas [2]. Níveis (Tiers) caracterizam o rigor da governação e da gestão dos riscos [2]. ## O que diz o texto O documento está organizado em três componentes: o núcleo (Core), que reúne funções, categorias e subcategorias de resultados; os perfis de organização; os níveis (Tiers) [2]. Seguem-se as seis funções, tal como o NIST as define. - Governar: a estratégia, as expectativas e a política de gestão do risco são estabelecidas, comunicadas e acompanhadas [2]. - Identificar: os riscos atuais são compreendidos, o que pressupõe conhecer os ativos (dados, equipamentos, software, sistemas, instalações, serviços, pessoas) e os fornecedores [2]. - Proteger: são aplicadas medidas de proteção [2]. - Detetar: os ataques e os possíveis comprometimentos são encontrados e analisados [2]. - Responder: são tomadas medidas perante um incidente detetado [2]. - Recuperar: os ativos e as atividades afetados por um incidente são restaurados [2]. Os resultados não formam uma lista de tarefas: a ordem e a dimensão das funções não implicam sequência nem importância [2]. As funções tratam-se em paralelo. Governar, Identificar, Proteger e Detetar fazem-se de forma contínua, e Responder e Recuperar devem estar prontas a qualquer momento [2]. O quadro aplica-se a todas as tecnologias da informação e da comunicação, incluindo a nuvem, os dispositivos móveis e a inteligência artificial [2]. ## Em que ponto está a aplicação O CSF 2.0 está publicado desde 26 de fevereiro de 2024 [1]. O NIST acrescentou guias de arranque rápido para públicos específicos, entre os quais as pequenas empresas, bem como um catálogo de referências que liga o quadro a mais de 50 outros documentos de cibersegurança [1]. A sua página inicial menciona, em 2026, uma tradução em árabe e um aniversário de dois anos a 24 de fevereiro de 2026 [7]. Quanto à relação com outros textos, as fontes aqui citadas dizem pouco. O NIST indica que o seu trabalho com a ISO e a IEC permite construir quadros de cibersegurança e organizar medidas segundo as funções do CSF [1]. O programa OLIR do NIST publica correspondências entre os elementos de documentos de terceiros e os de documentos do NIST [5]. As fontes aqui citadas não mencionam a ISO 27001 nem a NIS 2 pelo nome: esta ficha não se pronuncia, por isso, sobre esses dois textos. Outro país construiu o seu próprio quadro. O Cyber Assessment Framework do NCSC britânico organiza-se em torno de quatro objetivos, entre os quais a gestão do risco, a proteção, a deteção e a redução do impacto dos incidentes [6]. É utilizado nos setores regulados ao abrigo da regulamentação NIS britânica [6]. Este quadro é distinto do CSF. ## Fontes 1. NIST, «NIST Releases Version 2.0 of Landmark Cybersecurity Framework», 26 de fevereiro de 2024. https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework (consultado em 3 de novembro de 2026) 2. NIST, «The NIST Cybersecurity Framework (CSF) 2.0», 26 de fevereiro de 2024. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf (consultado em 3 de novembro de 2026) 3. NIST, «Getting Started with CSF 1.1», 5 de fevereiro de 2018. https://www.nist.gov/cyberframework/getting-started-csf-11 (consultado em 3 de novembro de 2026) 4. Cybermalveillance.gouv.fr, «Les 10 mesures essentielles pour votre cybersécurité», 6 de janeiro de 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique (consultado em 3 de novembro de 2026) 5. NIST, «National Online Informative References Program OLIR». https://csrc.nist.gov/projects/olir (consultado em 3 de novembro de 2026) 6. NCSC (Royaume-Uni), «Cyber Assessment Framework». https://www.ncsc.gov.uk/collection/cyber-assessment-framework (consultado em 3 de novembro de 2026) 7. NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/nist-csf-2-quadro-ciberseguranca/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.