O quadro NIST CSF 2.0
O NIST Cybersecurity Framework 2.0, publicado em fevereiro de 2024: as suas seis funções e o que muda para os colaboradores e a direção.
Em 30 segundos
- O que é
- Um quadro de referência com seis funções (Governar, Identificar, Proteger, Detetar, Responder, Recuperar), publicado na versão 2.0 a 26 de fevereiro de 20241.
- O seu estatuto
- A versão 1.1 é apresentada como um guia voluntário3; a 2.0 "may be adopted voluntarily and through governmental policies and mandates"2. O quadro não diz como alcançar os resultados2.
- Para a direção
- A função Governar, acrescentada na versão 2.0, coloca a cibersegurança entre os riscos da empresa1.
- O reflexo
- Cumprir as instruções de segurança da sua empresa e comunicar à equipa de segurança uma mensagem ou um comportamento anormal. Por seu lado, o quadro prevê a gestão, o reporte e a comunicação de um incidente, bem como a triagem dos relatórios de incidente2.
Do que se trata
O NIST Cybersecurity Framework, muitas vezes abreviado CSF, é um documento de referência publicado pelo NIST, o instituto norte-americano de normas e tecnologia. Descreve os resultados que uma organização procura alcançar para gerir os seus riscos de cibersegurança. A versão 2.0 foi publicada a 26 de fevereiro de 20241.
Um colaborador não precisa de o ler por inteiro. Serve sobretudo para perceber por que razão uma empresa define regras sobre palavras-passe, cópias de segurança ou comunicação de um incidente: essas regras correspondem a funções precisas do quadro. Esta ficha apresenta a sua estrutura e o que ele muda, consoante se seja colaborador ou dirigente.
Perguntas diretas
O CSF 2.0 é uma lei?
Não, segundo as fontes aqui citadas. O NIST descreve a versão 1.1 como um guia voluntário, baseado em normas e práticas existentes3. A versão 2.0 "may be adopted voluntarily and through governmental policies and mandates": um Estado ou uma organização pode, portanto, impô-la através da sua própria política, mas o documento em si não cria qualquer obrigação2. As fontes aqui citadas não tratam do direito francês: não permitem dizer se alguma lei francesa lhe faz referência.
Quem é abrangido?
Todas as organizações. A versão 2.0 destina-se a organizações de qualquer dimensão e setor, desde as mais pequenas escolas e associações até às maiores agências e empresas1. A primeira versão, publicada em 2014, visava em primeiro lugar as infraestruturas críticas1.
Quais são as seis funções?
Governar, Identificar, Proteger, Detetar, Responder e Recuperar. São detalhadas mais abaixo. O NIST representa-as como uma roda: Governar está ao centro, porque esta função orienta a forma de conduzir as outras cinco2.
O CSF diz o que fazer, ferramenta a ferramenta?
Não. O documento descreve resultados esperados e não prescreve nem os resultados nem os meios para os alcançar2. Os meios são descritos em recursos em linha: referências informativas, exemplos de implementação, guias de arranque rápido e perfis2.
Um colaborador tem um papel no CSF?
Sim, de forma indireta. Os resultados da função Proteger incluem a sensibilização e a formação, bem como a segurança dos dados, e os da função Responder incluem o reporte e a comunicação2. As ações concretas variam consoante a organização, tal como a pessoa responsável por elas2.
1O que muda para os colaboradores1 min
O quadro dirige-se, em primeiro lugar, a quem conduz um programa de cibersegurança2. O colaborador vê os seus efeitos nas regras internas. Três funções dizem-lhe respeito no dia a dia.
- Proteger: os resultados esperados abrangem a gestão de identidades, a autenticação e o controlo de acessos, a sensibilização e a formação, e a segurança dos dados2. Na vida corrente, isto coincide com as medidas da Cybermalveillance.gouv.fr: palavras-passe longas e diferentes, autenticação de dois fatores, atualizações logo que são propostas, cópias de segurança com um exemplar fora do dispositivo4.
- Detetar: o quadro visa a descoberta rápida de anomalias e de eventos que possam indicar um ataque2. Perante uma mensagem inesperada ou alarmista, a Cybermalveillance.gouv.fr aconselha a pedir confirmação ao remetente por outro meio4.
- Responder e Recuperar: a função Responder abrange a gestão do incidente, a análise, a limitação dos efeitos, o reporte e a comunicação, e Recuperar a reposição dos ativos e das atividades afetados2. As ações a realizar e as pessoas que as realizam dependem da organização2. Na prática, o colaborador segue o procedimento interno e avisa a pessoa certa.
A separação entre usos pessoais e profissionais, outra medida da Cybermalveillance.gouv.fr, evita que o comprometimento de um acesso pessoal prejudique a empresa, e vice-versa4.
2O que muda para a direçãoDireção1 min
O CSF 2.0 acrescenta a função Governar. Incide sobre a estratégia, as expectativas e a política de gestão do risco cibernético, que devem ser estabelecidas, comunicadas e acompanhadas2. Abrange o contexto da organização, a estratégia, a gestão do risco ligado aos fornecedores, as funções, responsabilidades e poderes, a política e a supervisão2.
O NIST sublinha que a cibersegurança é uma fonte importante de risco para a empresa, que os dirigentes devem considerar a par de outros riscos, como os financeiros e os de reputação1. O quadro prevê também perfis: um perfil atual descreve os resultados alcançados, um perfil-alvo descreve os que a organização escolheu e classificou por prioridade2. Comparar os dois permite identificar as lacunas2. Níveis (Tiers) caracterizam o rigor da governação e da gestão dos riscos2.
3O que diz o textoTexto oficial1 min
O documento está organizado em três componentes: o núcleo (Core), que reúne funções, categorias e subcategorias de resultados; os perfis de organização; os níveis (Tiers)2. Seguem-se as seis funções, tal como o NIST as define.
- Governar: a estratégia, as expectativas e a política de gestão do risco são estabelecidas, comunicadas e acompanhadas2.
- Identificar: os riscos atuais são compreendidos, o que pressupõe conhecer os ativos (dados, equipamentos, software, sistemas, instalações, serviços, pessoas) e os fornecedores2.
- Proteger: são aplicadas medidas de proteção2.
- Detetar: os ataques e os possíveis comprometimentos são encontrados e analisados2.
- Responder: são tomadas medidas perante um incidente detetado2.
- Recuperar: os ativos e as atividades afetados por um incidente são restaurados2.
Os resultados não formam uma lista de tarefas: a ordem e a dimensão das funções não implicam sequência nem importância2. As funções tratam-se em paralelo. Governar, Identificar, Proteger e Detetar fazem-se de forma contínua, e Responder e Recuperar devem estar prontas a qualquer momento2.
O quadro aplica-se a todas as tecnologias da informação e da comunicação, incluindo a nuvem, os dispositivos móveis e a inteligência artificial2.
4Em que ponto está a aplicação1 min
O CSF 2.0 está publicado desde 26 de fevereiro de 20241. O NIST acrescentou guias de arranque rápido para públicos específicos, entre os quais as pequenas empresas, bem como um catálogo de referências que liga o quadro a mais de 50 outros documentos de cibersegurança1. A sua página inicial menciona, em 2026, uma tradução em árabe e um aniversário de dois anos a 24 de fevereiro de 20267.
Quanto à relação com outros textos, as fontes aqui citadas dizem pouco. O NIST indica que o seu trabalho com a ISO e a IEC permite construir quadros de cibersegurança e organizar medidas segundo as funções do CSF1. O programa OLIR do NIST publica correspondências entre os elementos de documentos de terceiros e os de documentos do NIST5. As fontes aqui citadas não mencionam a ISO 27001 nem a NIS 2 pelo nome: esta ficha não se pronuncia, por isso, sobre esses dois textos.
Outro país construiu o seu próprio quadro. O Cyber Assessment Framework do NCSC britânico organiza-se em torno de quatro objetivos, entre os quais a gestão do risco, a proteção, a deteção e a redução do impacto dos incidentes6. É utilizado nos setores regulados ao abrigo da regulamentação NIS britânica6. Este quadro é distinto do CSF.
Ficha
- Identificador
- CP-378
- Ala
- 6. Governação e GRC
- Competência Brain
- Proteger os dados (safeguard_data)
- Reflexo Brain
- cr-033
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 7 fontes verificadas em 3 de novembro de 2026
Fontes7 fontes
- NIST, «NIST Releases Version 2.0 of Landmark Cybersecurity Framework», 26 de fevereiro de 2024. https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework (consultado em 3 de novembro de 2026)
- NIST, «The NIST Cybersecurity Framework (CSF) 2.0», 26 de fevereiro de 2024. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf (consultado em 3 de novembro de 2026)
- NIST, «Getting Started with CSF 1.1», 5 de fevereiro de 2018. https://www.nist.gov/cyberframework/getting-started-csf-11 (consultado em 3 de novembro de 2026)
- Cybermalveillance.gouv.fr, «Les 10 mesures essentielles pour votre cybersécurité», 6 de janeiro de 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique (consultado em 3 de novembro de 2026)
- NIST, «National Online Informative References Program OLIR». https://csrc.nist.gov/projects/olir (consultado em 3 de novembro de 2026)
- NCSC (Royaume-Uni), «Cyber Assessment Framework». https://www.ncsc.gov.uk/collection/cyber-assessment-framework (consultado em 3 de novembro de 2026)
- NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «O quadro NIST CSF 2.0», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp378_pt_2026,
author = {Brain},
title = {O quadro NIST CSF 2.0},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/nist-csf-2-quadro-ciberseguranca/},
note = {CC BY 4.0}
}