Confronto
NIS2 vs NIST CSF 2.0: un requisito giuridico UE attraverso la lente del NIST
NIST Cybersecurity Framework 2.0 · NIS2 Implementing Regulation (EU) 2024/2690 · dati al 2026-10-27
Per le organizzazioni che gestiscono il proprio programma di sicurezza sul NIST CSF 2.0, spesso aziende con sede negli Stati Uniti e attività nell'UE, la domanda è quanto il CSF le avvicini alla NIS2. La guida tecnica di implementazione di ENISA mappa ciascun requisito del Regolamento di esecuzione (UE) 2024/2690 sui sottocategorie del CSF 2.0, oltre che sull'ISO 27001.
La risposta è: gran parte della strada per le misure tecniche. Quasi ogni punto della NIS2 è coperto dai risultati del CSF, con pochi punti solo debolmente correlati. L'unico punto senza corrispondenza riguarda la restituzione o la cancellazione degli asset alla cessazione del rapporto di lavoro, che ENISA mappa sull'ISO ma non sul CSF.
Passando dalla NIS2 al CSF, i risultati del CSF privi di corrispondenza sono per lo più elementi strategici di governance che la NIS2 non specifica: riesame della missione e della strategia organizzativa, indirizzi sulla propensione al rischio, linee di comunicazione per il rischio e verifica dell'identità.
Come nel caso dell'ISO, la mappatura non equivale alla conformità. Gli obblighi giuridici della NIS2 (responsabilità e formazione dell'organo di gestione, scadenze di notifica degli incidenti di cui all'Art. 23, registrazione, recepimento nazionale) restano al di fuori di qualsiasi framework di controllo.
Punti chiave
- Un Target Profile del CSF che includa le sottocategorie mappate sulla NIS2 costituisce un buon piano di implementazione della NIS2.
- Aggiungete esplicitamente gli obblighi specifici dell'UE: tempistiche di notifica ai CSIRT, formazione della direzione, registrazione nazionale.
- Se vi serve anche la certificazione, la strada è l'ISO 27001; il CSF non è certificabile.
Dei 49 requisiti di NIS2 Implementing Regulation (EU) 2024/2690, 45 corrispondono a qualcosa in NIST CSF 2.0, 3 sono solo debolmente correlati e 1 non hanno mappature nei nostri dati.
Qui NIS2 indica le misure tecniche del Regolamento di esecuzione (UE) 2024/2690, che si applica direttamente ai fornitori di infrastrutture digitali e servizi ICT; gli altri soggetti NIS2 seguono il recepimento nazionale dell'articolo 21. Le scadenze per la notifica degli incidenti (articolo 23) non rientrano nell'ambito. La mappatura di ENISA non è vincolante.
Probabile lavoro aggiuntivo: requisiti di NIS2 senza mappature verso NIST CSF 2.0 (1)
| NIS2 | Requisito | Corrispondenza | NIST CSF 2.0 | Evidenze |
|---|---|---|---|---|
| 12. Asset management · 1 | ||||
| 12.5 | Deposit, return or deletion of assets upon termination of employment | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIST CSF 2.0 nei nostri dati. |
Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (3)
| NIS2 | Requisito | Corrispondenza | NIST CSF 2.0 | Evidenze |
|---|---|---|---|---|
| 6. Security in acquisition, development and maintenance · 1 | ||||
| 6.4 | Change management, repairs and maintenance | ID.RA-07 | Condivide solo le sottocategorie CSF ID.RA-07: correlato, non una mappatura | |
| 10. Human resources security · 2 | ||||
| 10.1 | Human resources security | GV.RR-04PR.AT-02 | Condivide solo le sottocategorie CSF GV.RR-04, PR.AT-02: correlato, non una mappatura | |
| 10.3 | Termination or change of employment procedures | GV.RR-04 | Condivide solo le sottocategorie CSF GV.RR-04: correlato, non una mappatura | |
Mappato (45)
| NIS2 | Requisito | Corrispondenza | NIST CSF 2.0 | Evidenze |
|---|---|---|---|---|
| 1. Policy on the security of network and information systems · 2 | ||||
| 1.1 | Policy on the security of network and information systems | Crosswalk | GV.PO-01GV.PO-02 | Stesso argomento: Politica di governance |
| 1.2 | Roles, responsibilities and authorities | Crosswalk | GV.RR-01GV.RR-02GV.RR-03 | Stesso argomento: Ruoli e responsabilità |
| 2. Risk management policy · 3 | ||||
| 2.1 | Risk management framework | Crosswalk | GV.RM-01GV.RM-02GV.RM-03+5 | Stesso argomento: Gestione del rischio |
| 2.2 | Compliance monitoring | Crosswalk | GV.OC-03GV.OV-03 | Stesso argomento: Conformità |
| 2.3 | Independent review of information and network security | Redazione | GV.OC-03GV.OV-03 | Stesso argomento: Conformità (selezione della redazione) |
| 3. Incident handling · 6 | ||||
| 3.1 | Incident handling policy | Crosswalk | ID.IM-04RS.MA-01RS.MA-02+2 | Stesso argomento: Gestione degli incidenti |
| 3.2 | Monitoring and logging | Crosswalk | DE.AE-02DE.AE-03DE.AE-06+5 | Stesso argomento: Intrusion Detection, Logging e audit, SIEM / SOC |
| 3.3 | Event reporting | Crosswalk | RS.CO-02 | Stesso argomento: Segnalazione |
| 3.4 | Event assessment and classification | Crosswalk | DE.AE-02DE.AE-03DE.AE-04+3 | Stesso argomento: Rilevamento delle anomalie, SIEM / SOC |
| 3.5 | Incident response | Crosswalk | ID.IM-04RS.AN-03RS.AN-06+7 | Stesso argomento: Gestione degli incidenti, Analisi forense |
| 3.6 | Post-incident reviews | Crosswalk | ID.IM-03RC.RP-06 | Stesso argomento: Lezioni apprese |
| 4. Business continuity and crisis management · 3 | ||||
| 4.1 | Business continuity and disaster recovery plan | Crosswalk | GV.OC-04ID.IM-04PR.IR-03+4 | Stesso argomento: Continuità operativa, Pianificazione del ripristino, Disaster Recovery |
| 4.2 | Backup management | Crosswalk | PR.DS-11PR.IR-03RC.RP-02+2 | Stesso argomento: Backup e ripristino, Disaster Recovery |
| 4.3 | Crisis management | Crosswalk | GV.OC-04PR.IR-03RC.CO-03+4 | Stesso argomento: Continuità operativa, Comunicazioni e ripristino |
| 5. Supply chain security · 2 | ||||
| 5.1 | Supply chain security policy | Crosswalk | DE.CM-06GV.SC-01GV.SC-03+7 | Stesso argomento: Gestione del rischio dei fornitori, Gestione del rischio della supply chain |
| 5.2 | Directory of suppliers and service providers | Crosswalk | DE.CM-06GV.SC-04GV.SC-06+2 | Stesso argomento: Gestione del rischio dei fornitori |
| 6. Security in acquisition, development and maintenance · 9 | ||||
| 6.1 | Security in acquisition of ICT services, ICT systems or ICT products | Crosswalk | DE.CM-06GV.SC-01GV.SC-03+10 | Stesso argomento: Gestione del rischio dei fornitori, Gestione del rischio della supply chain |
| 6.2 | Secure development life cycle | Crosswalk | PR.PS-06 | Stesso argomento: Sviluppo sicuro |
| 6.3 | Configuration management | Crosswalk | PR.PS-01 | Stesso argomento: Configurazione sicura |
| 6.5 | Security testing | Crosswalk | ID.RA-01ID.RA-08 | Stesso argomento: Gestione delle vulnerabilità |
| 6.6 | Security patch management | Crosswalk | PR.PS-02 | Stesso argomento: Gestione delle patch |
| 6.7 | Network security | Crosswalk | ID.AM-03PR.IR-01 | Stesso argomento: Firewall / Segmentazione di rete |
| 6.8 | Network segmentation | Crosswalk | ID.AM-03PR.AA-03PR.AA-04+2 | Stesso argomento: Firewall / Segmentazione di rete, Zero Trust |
| 6.9 | Protection against malicious and unauthorised software | Crosswalk | DE.CM-09PR.DS-02PR.PS-05 | Stesso argomento: Protezione degli endpoint, Sicurezza della posta elettronica |
| 6.10 | Vulnerability handling and disclosure | Crosswalk | ID.RA-01ID.RA-08 | Stesso argomento: Gestione delle vulnerabilità |
| 7. Assessing the effectiveness of cybersecurity risk-management measures · 1 | ||||
| 7.1 | Policies and procedures to assess the effectiveness of cybersecurity risk-management measures | Crosswalk | GV.RM-01GV.RM-02GV.RM-03+1 | Stesso argomento: Gestione del rischio |
| 8. Basic cyber hygiene practices and security training · 2 | ||||
| 8.1 | Awareness raising and basic cyber hygiene practices | Crosswalk | PR.AT-01PR.AT-02 | Stesso argomento: Consapevolezza e formazione |
| 8.2 | Security training | Crosswalk | PR.AT-01PR.AT-02 | Stesso argomento: Consapevolezza e formazione |
| 9. Cryptography · 1 | ||||
| 9.1 | Cryptography | Crosswalk | PR.DS-01PR.DS-02 | Stesso argomento: Crittografia |
| 10. Human resources security · 2 | ||||
| 10.2 | Verification of Background | Crosswalk | DE.CM-03GV.RR-04 | Stesso argomento: Minaccia interna |
| 10.4 | Disciplinary process | Crosswalk | DE.CM-03GV.RR-04 | Stesso argomento: Minaccia interna |
| 11. Access control · 7 | ||||
| 11.1 | Access control policy | Crosswalk | PR.AA-01PR.AA-03PR.AA-04+2 | Stesso argomento: Controllo degli accessi, Zero Trust |
| 11.2 | Management of access rights | Crosswalk | PR.AA-01PR.AA-05 | Stesso argomento: Controllo degli accessi |
| 11.3 | Privileged accounts and system administration accounts | Crosswalk | PR.AA-05 | Stesso argomento: Accesso privilegiato |
| 11.4 | Administration systems | Crosswalk | PR.AA-05 | Stesso argomento: Accesso privilegiato |
| 11.5 | Identification | Crosswalk | PR.AA-01PR.AA-05 | Stesso argomento: Controllo degli accessi |
| 11.6 | Authentication | Crosswalk | PR.AA-03PR.AA-04PR.AA-05+1 | Stesso argomento: Autenticazione a più fattori, Zero Trust |
| 11.7 | Multi-factor authentication | Crosswalk | PR.AA-03 | Stesso argomento: Autenticazione a più fattori |
| 12. Asset management · 4 | ||||
| 12.1 | Asset classification | Crosswalk | ID.AM-05ID.AM-07 | Stesso argomento: Classificazione dei dati |
| 12.2 | Handling of assets | Crosswalk | PR.DS-01PR.DS-02PR.DS-10 | Stesso argomento: Protezione dei dati |
| 12.3 | Removable media policy | Crosswalk | PR.DS-01PR.DS-02PR.DS-10 | Stesso argomento: Protezione dei dati, DLP |
| 12.4 | Asset inventory | Crosswalk | ID.AM-01ID.AM-02ID.AM-04+1 | Stesso argomento: Gestione degli asset |
| 13. Environmental and physical security · 3 | ||||
| 13.1 | Supporting utilities | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Stesso argomento: Sicurezza fisica |
| 13.2 | Protection against physical and environmental threats | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Stesso argomento: Sicurezza fisica |
| 13.3 | Perimeter and physical access control | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Stesso argomento: Sicurezza fisica |
Dei 106 requisiti di NIST Cybersecurity Framework 2.0, 85 corrispondono a qualcosa in NIS2, 12 sono solo debolmente correlati e 9 non hanno mappature nei nostri dati.
Probabile lavoro aggiuntivo: requisiti di NIST CSF 2.0 senza mappature verso NIS2 (9)
| NIST CSF 2.0 | Requisito | Corrispondenza | NIS2 | Evidenze |
|---|---|---|---|---|
| Govern (GV) · 5 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIS2 nei nostri dati. |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIS2 nei nostri dati. |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIS2 nei nostri dati. |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIS2 nei nostri dati. |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIS2 nei nostri dati. |
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIS2 nei nostri dati. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIS2 nei nostri dati. |
| Protect (PR) · 2 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIS2 nei nostri dati. |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIS2 nei nostri dati. |
Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (12)
| NIST CSF 2.0 | Requisito | Corrispondenza | NIS2 | Evidenze |
|---|---|---|---|---|
| Detect (DE) · 1 | ||||
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | 4.3 | Condivide solo le sottocategorie CSF DE.AE-07: correlato, non una mappatura | |
| Govern (GV) · 6 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | 1.1 | Condivide solo le sottocategorie CSF GV.OC-02: correlato, non una mappatura | |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | 5.15.213.1 | Condivide solo le sottocategorie CSF GV.OC-05: correlato, non una mappatura | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | 2.22.3 | Condivide solo le sottocategorie CSF GV.OV-02: correlato, non una mappatura | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | 1.2 | Condivide solo le sottocategorie CSF GV.SC-02: correlato, non una mappatura | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | 3.14.1 | Condivide solo le sottocategorie CSF GV.SC-08: correlato, non una mappatura | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | 5.1 | Condivide solo le sottocategorie CSF GV.SC-10: correlato, non una mappatura | |
| Identify (ID) · 2 | ||||
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | 2.16.10 | Condivide solo le sottocategorie CSF ID.RA-02: correlato, non una mappatura | |
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | 6.4 | Condivide solo le sottocategorie CSF ID.RA-07: correlato, non una mappatura | |
| Protect (PR) · 1 | ||||
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | 6.10 | Condivide solo le sottocategorie CSF PR.PS-03: correlato, non una mappatura | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | 3.6 | Condivide solo le sottocategorie CSF RS.AN-08: correlato, non una mappatura | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | 3.1 | Condivide solo le sottocategorie CSF RS.MA-05: correlato, non una mappatura | |
Mappato (85)
| NIST CSF 2.0 | Requisito | Corrispondenza | NIS2 | Evidenze |
|---|---|---|---|---|
| Detect (DE) · 10 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | Crosswalk | 3.23.4 | Stesso argomento: Intrusion Detection, Rilevamento delle anomalie |
| DE.AE-03 | Information is correlated from multiple sources | Crosswalk | 3.23.4 | Stesso argomento: Logging e audit, SIEM / SOC |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Crosswalk | 3.4 | Stesso argomento: Rilevamento delle anomalie |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Crosswalk | 3.23.4 | Stesso argomento: SIEM / SOC |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Crosswalk | 3.23.4 | Stesso argomento: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Crosswalk | 3.2 | Stesso argomento: Monitoraggio continuo, Intrusion Detection |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Crosswalk | 13.113.213.3 | Stesso argomento: Sicurezza fisica |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Crosswalk | 3.210.210.4 | Stesso argomento: Monitoraggio continuo, Minaccia interna |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Crosswalk | 5.15.26.1 | Stesso argomento: Gestione del rischio dei fornitori |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Crosswalk | 3.23.46.9 | Stesso argomento: Monitoraggio continuo, Rilevamento delle anomalie, Protezione degli endpoint, Sicurezza della posta elettronica |
| Govern (GV) · 20 | ||||
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Crosswalk | 2.22.3 | Stesso argomento: Conformità |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Crosswalk | 4.14.3 | Stesso argomento: Continuità operativa |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Crosswalk | 2.22.3 | Stesso argomento: Conformità |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Crosswalk | 1.1 | Stesso argomento: Politica di governance |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Crosswalk | 1.1 | Stesso argomento: Politica di governance |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Crosswalk | 2.17.1 | Stesso argomento: Gestione del rischio |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Crosswalk | 2.17.1 | Stesso argomento: Gestione del rischio |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Crosswalk | 2.17.1 | Stesso argomento: Gestione del rischio |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Crosswalk | 2.17.1 | Stesso argomento: Gestione del rischio |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Crosswalk | 1.2 | Stesso argomento: Ruoli e responsabilità |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Crosswalk | 1.2 | Stesso argomento: Ruoli e responsabilità |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Crosswalk | 1.2 | Stesso argomento: Ruoli e responsabilità |
| GV.RR-04 | Cybersecurity is included in human resources practices | Crosswalk | 10.210.4 | Stesso argomento: Minaccia interna |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Crosswalk | 5.16.1 | Stesso argomento: Gestione del rischio della supply chain |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | Crosswalk | 5.16.1 | Stesso argomento: Gestione del rischio della supply chain |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Crosswalk | 5.15.26.1 | Stesso argomento: Gestione del rischio dei fornitori |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | Crosswalk | 5.16.1 | Stesso argomento: Gestione del rischio della supply chain |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Crosswalk | 5.15.26.1 | Stesso argomento: Gestione del rischio dei fornitori |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Crosswalk | 5.15.26.1 | Stesso argomento: Gestione del rischio dei fornitori |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | Crosswalk | 5.16.1 | Stesso argomento: Gestione del rischio della supply chain |
| Identify (ID) · 17 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Crosswalk | 12.4 | Stesso argomento: Gestione degli asset |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Crosswalk | 12.4 | Stesso argomento: Gestione degli asset |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | Crosswalk | 6.76.8 | Stesso argomento: Firewall / Segmentazione di rete |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Crosswalk | 6.112.4 | Stesso argomento: Sicurezza del cloud, Gestione degli asset |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | Crosswalk | 12.1 | Stesso argomento: Classificazione dei dati |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | Crosswalk | 12.1 | Stesso argomento: Classificazione dei dati |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Crosswalk | 12.4 | Stesso argomento: Gestione degli asset |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Crosswalk | 3.6 | Stesso argomento: Lezioni apprese |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Crosswalk | 3.13.54.1 | Stesso argomento: Gestione degli incidenti, Pianificazione del ripristino |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Crosswalk | 6.56.10 | Stesso argomento: Gestione delle vulnerabilità |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Crosswalk | 2.1 | Stesso argomento: Risk Assessment |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Crosswalk | 2.1 | Stesso argomento: Risk Assessment |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Crosswalk | 2.1 | Stesso argomento: Risk Assessment |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Crosswalk | 2.1 | Stesso argomento: Risk Assessment |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Crosswalk | 6.56.10 | Stesso argomento: Gestione delle vulnerabilità |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | Crosswalk | 5.16.1 | Stesso argomento: Gestione del rischio della supply chain |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Crosswalk | 5.15.26.1 | Stesso argomento: Gestione del rischio dei fornitori |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Crosswalk | 11.111.211.5 | Stesso argomento: Controllo degli accessi |
| PR.AA-03 | Users, services, and hardware are authenticated | Crosswalk | 6.811.111.6+1 | Stesso argomento: Zero Trust, Autenticazione a più fattori |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Crosswalk | 6.811.111.6 | Stesso argomento: Zero Trust |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Crosswalk | 6.811.111.2+4 | Stesso argomento: Zero Trust, Controllo degli accessi |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Crosswalk | 13.113.213.3 | Stesso argomento: Sicurezza fisica |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Crosswalk | 8.18.2 | Stesso argomento: Consapevolezza e formazione |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Crosswalk | 8.18.2 | Stesso argomento: Consapevolezza e formazione |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Crosswalk | 9.112.212.3 | Stesso argomento: Crittografia, Protezione dei dati, DLP |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Crosswalk | 6.99.112.2+1 | Stesso argomento: Sicurezza della posta elettronica, Crittografia, Protezione dei dati |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Crosswalk | 12.212.3 | Stesso argomento: Protezione dei dati, DLP |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Crosswalk | 4.2 | Stesso argomento: Backup e ripristino |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Crosswalk | 6.16.76.8+2 | Stesso argomento: Sicurezza del cloud, Firewall / Segmentazione di rete, Zero Trust |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Crosswalk | 13.113.213.3 | Stesso argomento: Sicurezza fisica |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Crosswalk | 4.14.24.3 | Stesso argomento: Continuità operativa, Disaster Recovery |
| PR.PS-01 | Configuration management practices are established and applied | Crosswalk | 6.16.3 | Stesso argomento: Sicurezza del cloud, Configurazione sicura |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Crosswalk | 6.6 | Stesso argomento: Gestione delle patch |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Crosswalk | 3.2 | Stesso argomento: Logging e audit |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Crosswalk | 6.9 | Stesso argomento: Protezione degli endpoint |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Crosswalk | 6.2 | Stesso argomento: Sviluppo sicuro |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | Crosswalk | 4.3 | Stesso argomento: Comunicazioni e ripristino |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | Crosswalk | 4.3 | Stesso argomento: Comunicazioni e ripristino |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Crosswalk | 4.1 | Stesso argomento: Pianificazione del ripristino |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Crosswalk | 4.14.2 | Stesso argomento: Pianificazione del ripristino, Disaster Recovery |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Crosswalk | 4.2 | Stesso argomento: Backup e ripristino |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Crosswalk | 4.14.3 | Stesso argomento: Continuità operativa |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Crosswalk | 4.14.24.3 | Stesso argomento: Disaster Recovery, Comunicazioni e ripristino |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | Crosswalk | 3.6 | Stesso argomento: Lezioni apprese |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | Crosswalk | 3.5 | Stesso argomento: Analisi forense |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | Crosswalk | 3.5 | Stesso argomento: Analisi forense |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | Crosswalk | 3.5 | Stesso argomento: Analisi forense |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Crosswalk | 3.3 | Stesso argomento: Segnalazione |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | Crosswalk | 4.3 | Stesso argomento: Comunicazione |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Crosswalk | 3.13.5 | Stesso argomento: Gestione degli incidenti |
| RS.MA-02 | Incident reports are triaged and validated | Crosswalk | 3.13.5 | Stesso argomento: Gestione degli incidenti |
| RS.MA-03 | Incidents are categorized and prioritized | Crosswalk | 3.13.5 | Stesso argomento: Gestione degli incidenti |
| RS.MA-04 | Incidents are escalated or elevated as needed | Crosswalk | 3.13.5 | Stesso argomento: Gestione degli incidenti |
| RS.MI-01 | Incidents are contained | Crosswalk | 3.5 | Stesso argomento: Mitigazione |
| RS.MI-02 | Incidents are eradicated | Crosswalk | 3.5 | Stesso argomento: Mitigazione |
Per tema
Coperti da entrambi (43):
Politica di governanceConsapevolezza e formazioneGestione del rischioGestione del rischio della supply chainRuoli e responsabilitàConformitàGestione degli assetRisk AssessmentClassificazione dei datiGestione delle vulnerabilitàControllo degli accessiAutenticazione a più fattoriCrittografiaProtezione dei datiBackup e ripristinoAccesso privilegiatoFirewall / Segmentazione di reteProtezione degli endpointGestione delle patchConfigurazione sicuraSviluppo sicuroSicurezza della posta elettronicaZero TrustSicurezza del cloudDLPMonitoraggio continuoLogging e auditIntrusion DetectionRilevamento delle anomalieSIEM / SOCGestione degli incidentiAnalisi forenseComunicazioneMitigazioneSegnalazionePianificazione del ripristinoContinuità operativaLezioni appreseComunicazioni e ripristinoDisaster RecoveryMinaccia internaGestione del rischio dei fornitoriSicurezza fisica
Solo NIST CSF 2.0 (7):
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Mappato = raccolto insieme in un argomento di ControlMapping o collegato direttamente. I crosswalk non dimostrano la conformità. Metodologia · Scarica i dati · Segnala un errore.