Função Governar do NIST CSF 2.0: quais frameworks já a cobrem?
A maior mudança do NIST CSF 2.0 foi a nova sexta função, Governar. Se você já segue outro framework, quanto dela você já tem? Depende muito de qual framework é.
Esta publicação abrange as 11 normas que a ControlMapping tinha mapeado quando foi escrita. Desde então, foram acrescentadas DORA, CPS 234, Cyber Essentials em 2026-10-27; as respetivas páginas e a matriz de cobertura já as incluem.
Quando o NIST publicou o CSF 2.0 em fevereiro de 2024, a principal mudança foi uma sexta função. Governar juntou-se a Identificar, Proteger, Detectar, Responder e Recuperar, e o NIST a posicionou no centro das demais: contexto organizacional, estratégia de gestão de riscos, papéis e responsabilidades, política, supervisão e gestão de riscos da cadeia de suprimentos de cibersegurança. Ela deslocou a governança de uma categoria dentro de Identificar para o elemento que orienta todo o restante.
Se você já segue outro framework, quanto da função Governar você já tem?
Cobertura de Governar por framework
O ControlMapping tem seis tópicos ancorados na função Governar. Veja quantos deles cada framework mapeia:
| Framework | Governar temas mapeados | Sem mapeamento para |
|---|---|---|
| ISO 27001 | 6 de 6 | — |
| SOC 2 | 6 de 6 | — |
| PCI DSS | 6 de 6 | — |
| 800-53 | 6 de 6 | — |
| GDPR | 6 de 6 | — |
| NIS2 | 6 de 6 | — |
| HIPAA | 5 de 6 | Risco na cadeia de suprimentos |
| CIS v8.1 | 2 de 6 | Política de governança, Gestão de Riscos, Funções e responsabilidades, Conformidade |
| CMMC | 2 de 6 | Política de governança, Risco na cadeia de suprimentos, Funções e responsabilidades, Gestão de Risco de Fornecedores |
| Essential Eight | 0 de 6 | Política de governança, Gestão de Riscos, Risco na cadeia de suprimentos, Funções e responsabilidades, Conformidade, Gestão de Risco de Fornecedores |
Tópicos: Política de governança, Gestão de Riscos, Risco na cadeia de suprimentos, Funções e responsabilidades, Conformidade, Gestão de Risco de Fornecedores.
Os frameworks que a cobrem
Frameworks de sistema de gestão e de catálogo de controles cobrem bem Governar. As cláusulas 4 a 6 e 9 da ISO 27001 tratam de governança: contexto, liderança, papéis, avaliação e tratamento de riscos, avaliação de desempenho e análise crítica pela direção. O SP 800-53 tem uma família inteira de gestão de programas (PM). Os critérios de ambiente de controle do SOC 2 (CC1 a CC5) vêm do framework COSO de controle interno, que é governança por concepção. O Requisito 12 do PCI DSS e os deveres do órgão de gestão previstos na NIS2 ocupam o mesmo espaço.
Os frameworks que não a cobrem
Linhas de base operacionais cobrem pouco dela. O Essential Eight são oito estratégias técnicas de mitigação e não possui nenhum conteúdo de governança; isso é uma escolha de design, não um descuido. Os CIS Controls v8.1 tocam em governança principalmente por meio de seus processos de gestão de provedores de serviços e de gestão de dados. O CMMC Nível 2 herda o foco do SP 800-171 em proteger CUI nos sistemas, o que deixa de fora a maior parte dos resultados de estratégia de riscos e de programa de cadeia de suprimentos.
Cadeia de suprimentos: a parte mais difícil de Governar
Governar inclui dez subcategorias sobre gestão de riscos da cadeia de suprimentos de cibersegurança, desde ter um programa até gerenciar fornecedores ao longo do ciclo de vida do relacionamento. Muitos frameworks tocam na segurança de fornecedores (A.5.19 a A.5.23 da ISO 27001, CC9.2 do SOC 2, 12.8 do PCI DSS), mas poucos a tratam como um programa com critérios de risco, níveis e monitoramento. Se a cobertura de Governar no seu framework é alta, verifique se ela é alta especificamente em cadeia de suprimentos.
Principais conclusões
- Governar é a nova função do CSF 2.0 para contexto, estratégia de riscos, papéis, política, supervisão e risco da cadeia de suprimentos.
- Frameworks de sistema de gestão e de catálogo (ISO 27001, SP 800-53, SOC 2, PCI DSS, NIS2) a cobrem bem.
- Linhas de base operacionais (Essential Eight, CIS, CMMC) cobrem pouco dela, por design.
- O risco da cadeia de suprimentos é a parte de Governar em que a profundidade mais varia entre frameworks.
O que fazer
- Se você usa uma linha de base operacional (CIS, Essential Eight, CMMC), acrescente governança por cima: a função Governar do CSF ou o sistema de gestão da ISO 27001 oferece a estrutura.
- Se você usa ISO 27001 ou SOC 2, use Governar para aprimorar o reporte à diretoria: os resultados do CSF são escritos em linguagem que executivos entendem.
- Verifique os tópicos cadeia de suprimentos e risco de fornecedores, nos quais os frameworks mais diferem em profundidade.
A página do framework CSF 2.0 lista todas as subcategorias de Governar com seus mapeamentos, e a análise de lacunas mostra a cobertura do CSF a partir de qualquer framework que você tenha.
Perguntas
O que é a função Governar no NIST CSF 2.0?
Governar (GV), acrescentada no CSF 2.0 em 2024, abrange contexto organizacional, estratégia de gestão de riscos, papéis e responsabilidades, política, supervisão e gestão de riscos da cadeia de suprimentos de cibersegurança. O NIST a posiciona no centro das outras cinco funções.
A ISO 27001 cobre o Governar do CSF 2.0?
Em grande parte, sim: as cláusulas 4 a 6 e 9 da ISO 27001 (contexto, liderança, riscos, avaliação de desempenho) e seus controles de fornecedores correspondem à maioria dos resultados de Governar.
A função Governar do CSF 2.0 é só para grandes organizações?
Não. Organizações pequenas precisam dos mesmos fundamentos, em forma mais simples: quem é responsável, quais riscos são aceitáveis, quais são as políticas e como os fornecedores são gerenciados.
Dados atualizados em 2026-10-27: os números deste artigo são calculados a partir da correspondência atual e são atualizados quando ela muda. Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Não é aconselhamento de conformidade.
Publicações relacionadas
Análise · 2026-10-27APRA CPS 234 e ISO 27001: o que seu ISMS cobre e o que a APRA acrescentaUm ISMS ISO 27001 cobre quase todos os parágrafos da CPS 234 da APRA, mas a APRA acrescenta deveres do Conselho, garantia de terceiros e prazos rigorosos de notificação.
Análise · 2026-10-27Cyber Essentials vs Essential Eight: duas bases nacionaisO Cyber Essentials do Reino Unido e o Essential Eight da Austrália visam ataques comuns, mas cobrem terrenos diferentes. O que se sobrepõe, o que não se sobrepõe e por quê.
Análise · 2026-10-27DORA vs NIS2: o que um programa NIS2 já cobreDORA e NIS2 compartilham a maior parte do seu conteúdo de segurança, mas o DORA acrescenta um registro, cláusulas contratuais e testes orientados por ameaças. Artigo por artigo, veja o que se aproveita.