Comparação

NIS2 vs NIST CSF 2.0: um requisito legal da UE sob a ótica do NIST

NIST Cybersecurity Framework 2.0 · NIS2 Implementing Regulation (EU) 2024/2690 · dados de 2026-10-27

Para organizações que executam seu programa de segurança com base no NIST CSF 2.0, frequentemente empresas sediadas nos EUA com operações na UE, a questão é até que ponto o CSF as aproxima da NIS2. A orientação técnica de implementação da ENISA mapeia cada requisito do Regulamento de Execução (UE) 2024/2690 para as subcategorias do CSF 2.0, além de mapeá-lo para a ISO 27001.

A resposta é: a maior parte do caminho em medidas técnicas. Quase todos os pontos da NIS2 são cobertos pelos resultados do CSF, com alguns apenas vagamente relacionados. O único ponto sem correspondência trata da devolução ou exclusão de ativos quando o vínculo empregatício termina, que a ENISA mapeia para a ISO, mas não para o CSF.

Partindo da NIS2 para o CSF, os resultados do CSF sem correspondência são, em sua maioria, itens estratégicos de governança que a NIS2 não detalha: revisão da missão e da estratégia organizacionais, direcionamento do apetite a risco, canais de comunicação sobre riscos e comprovação de identidade.

Assim como ocorre com a ISO, mapeamento não é conformidade. As obrigações legais da NIS2 (responsabilização e treinamento do órgão de administração, prazos de notificação de incidentes do Artigo 23, registro e transposição nacional) estão fora de qualquer framework de controles.

Principais conclusões

Um Perfil Alvo do CSF que inclua as subcategorias mapeadas para a NIS2 é um bom plano de implementação da NIS2.
Acrescente explicitamente as obrigações específicas da UE: prazos de notificação às CSIRTs, treinamento da administração e registro nacional.
Se você também precisar de certificação, a ISO 27001 é o caminho; o CSF não é certificável.

Descarregar esta comparação (CSV) Abrir em análise de lacunas →

Tem NIST CSF 2.0 → precisa de NIS2

49 req.

45 mapeados · · 1 sem mapeamento Abrir na visão de lacunas →

Dos 49 requisitos de NIS2 Implementing Regulation (EU) 2024/2690, 45 mapeiam para algo em NIST CSF 2.0, 3 são apenas vagamente relacionados e 1 não têm mapeamento em nossos dados.

O NIS2 aqui corresponde às medidas técnicas do Regulamento de Execução (UE) 2024/2690, que se aplica diretamente a provedores de infraestrutura digital e de serviços de TIC; as demais entidades sob o NIS2 seguem a transposição de seu país para o Artigo 21. Prazos de notificação de incidentes (Artigo 23) não estão no escopo. O mapeamento da ENISA não é vinculante.

Provável trabalho novo: requisitos de NIS2 sem mapeamento para NIST CSF 2.0 (1)

NIS2	Requisito	Correspondência	NIST CSF 2.0	Evidências
12. Asset management · 1
12.5	Deposit, return or deletion of assets upon termination of employment	Sem mapeamento em nossos dados	—	Sem mapeamento para NIST CSF 2.0 em nossos dados.

Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (3)

NIS2	Requisito	Correspondência	NIST CSF 2.0	Evidências
6. Security in acquisition, development and maintenance · 1
6.4	Change management, repairs and maintenance	Vagamente relacionado	ID.RA-07	Compartilha apenas CSF ID.RA-07: relacionado, não um mapeamento
10. Human resources security · 2
10.1	Human resources security	Vagamente relacionado	GV.RR-04 PR.AT-02	Compartilha apenas CSF GV.RR-04, PR.AT-02: relacionado, não um mapeamento
10.3	Termination or change of employment procedures	Vagamente relacionado	GV.RR-04	Compartilha apenas CSF GV.RR-04: relacionado, não um mapeamento

Mapeado (45)

NIS2	Requisito	Correspondência	NIST CSF 2.0	Evidências
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	Correspondência	GV.PO-01 GV.PO-02	Mesmo tópico: Política de governança
1.2	Roles, responsibilities and authorities	Correspondência	GV.RR-01 GV.RR-02 GV.RR-03	Mesmo tópico: Funções e responsabilidades
2. Risk management policy · 3
2.1	Risk management framework	Correspondência	GV.RM-01 GV.RM-02 GV.RM-03+5	Mesmo tópico: Gestão de Riscos
2.2	Compliance monitoring	Correspondência	GV.OC-03 GV.OV-03	Mesmo tópico: Conformidade
2.3	Independent review of information and network security	Editorial	GV.OC-03 GV.OV-03	Mesmo tópico: Conformidade (escolha do editor)
3. Incident handling · 6
3.1	Incident handling policy	Correspondência	ID.IM-04 RS.MA-01 RS.MA-02+2	Mesmo tópico: Resposta a Incidentes
3.2	Monitoring and logging	Correspondência	DE.AE-02 DE.AE-03 DE.AE-06+5	Mesmo tópico: Detecção de intrusão, Registro e Auditoria, SIEM / SOC
3.3	Event reporting	Correspondência	RS.CO-02	Mesmo tópico: Notificação
3.4	Event assessment and classification	Correspondência	DE.AE-02 DE.AE-03 DE.AE-04+3	Mesmo tópico: Detecção de Anomalias, SIEM / SOC
3.5	Incident response	Correspondência	ID.IM-04 RS.AN-03 RS.AN-06+7	Mesmo tópico: Resposta a Incidentes, Perícia forense
3.6	Post-incident reviews	Correspondência	ID.IM-03 RC.RP-06	Mesmo tópico: Lições Aprendidas
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	Correspondência	GV.OC-04 ID.IM-04 PR.IR-03+4	Mesmo tópico: Continuidade de Negócios, Planejamento de Recuperação, Recuperação de desastres
4.2	Backup management	Correspondência	PR.DS-11 PR.IR-03 RC.RP-02+2	Mesmo tópico: Backup e recuperação, Recuperação de desastres
4.3	Crisis management	Correspondência	GV.OC-04 PR.IR-03 RC.CO-03+4	Mesmo tópico: Continuidade de Negócios, Comunicação e restauração
5. Supply chain security · 2
5.1	Supply chain security policy	Correspondência	DE.CM-06 GV.SC-01 GV.SC-03+7	Mesmo tópico: Gestão de Risco de Fornecedores, Risco na cadeia de suprimentos
5.2	Directory of suppliers and service providers	Correspondência	DE.CM-06 GV.SC-04 GV.SC-06+2	Mesmo tópico: Gestão de Risco de Fornecedores
6. Security in acquisition, development and maintenance · 9
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Correspondência	DE.CM-06 GV.SC-01 GV.SC-03+10	Mesmo tópico: Gestão de Risco de Fornecedores, Risco na cadeia de suprimentos
6.2	Secure development life cycle	Correspondência	PR.PS-06	Mesmo tópico: Desenvolvimento Seguro
6.3	Configuration management	Correspondência	PR.PS-01	Mesmo tópico: Configuração Segura
6.5	Security testing	Correspondência	ID.RA-01 ID.RA-08	Mesmo tópico: Gestão de Vulnerabilidades
6.6	Security patch management	Correspondência	PR.PS-02	Mesmo tópico: Gestão de Patches
6.7	Network security	Correspondência	ID.AM-03 PR.IR-01	Mesmo tópico: Firewall / Segmentação de rede
6.8	Network segmentation	Correspondência	ID.AM-03 PR.AA-03 PR.AA-04+2	Mesmo tópico: Firewall / Segmentação de rede, Confiança Zero
6.9	Protection against malicious and unauthorised software	Correspondência	DE.CM-09 PR.DS-02 PR.PS-05	Mesmo tópico: Proteção de endpoints, Segurança de e-mail
6.10	Vulnerability handling and disclosure	Correspondência	ID.RA-01 ID.RA-08	Mesmo tópico: Gestão de Vulnerabilidades
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Correspondência	GV.RM-01 GV.RM-02 GV.RM-03+1	Mesmo tópico: Gestão de Riscos
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	Correspondência	PR.AT-01 PR.AT-02	Mesmo tópico: Conscientização e treinamento
8.2	Security training	Correspondência	PR.AT-01 PR.AT-02	Mesmo tópico: Conscientização e treinamento
9. Cryptography · 1
9.1	Cryptography	Correspondência	PR.DS-01 PR.DS-02	Mesmo tópico: Criptografia
10. Human resources security · 2
10.2	Verification of Background	Correspondência	DE.CM-03 GV.RR-04	Mesmo tópico: Ameaça interna
10.4	Disciplinary process	Correspondência	DE.CM-03 GV.RR-04	Mesmo tópico: Ameaça interna
11. Access control · 7
11.1	Access control policy	Correspondência	PR.AA-01 PR.AA-03 PR.AA-04+2	Mesmo tópico: Controle de acesso, Confiança Zero
11.2	Management of access rights	Correspondência	PR.AA-01 PR.AA-05	Mesmo tópico: Controle de acesso
11.3	Privileged accounts and system administration accounts	Correspondência	PR.AA-05	Mesmo tópico: Acesso privilegiado
11.4	Administration systems	Correspondência	PR.AA-05	Mesmo tópico: Acesso privilegiado
11.5	Identification	Correspondência	PR.AA-01 PR.AA-05	Mesmo tópico: Controle de acesso
11.6	Authentication	Correspondência	PR.AA-03 PR.AA-04 PR.AA-05+1	Mesmo tópico: Autenticação multifator, Confiança Zero
11.7	Multi-factor authentication	Correspondência	PR.AA-03	Mesmo tópico: Autenticação multifator
12. Asset management · 4
12.1	Asset classification	Correspondência	ID.AM-05 ID.AM-07	Mesmo tópico: Classificação de Dados
12.2	Handling of assets	Correspondência	PR.DS-01 PR.DS-02 PR.DS-10	Mesmo tópico: Proteção de Dados
12.3	Removable media policy	Correspondência	PR.DS-01 PR.DS-02 PR.DS-10	Mesmo tópico: Proteção de Dados, DLP
12.4	Asset inventory	Correspondência	ID.AM-01 ID.AM-02 ID.AM-04+1	Mesmo tópico: Gestão de Ativos
13. Environmental and physical security · 3
13.1	Supporting utilities	Correspondência	DE.CM-02 PR.AA-06 PR.IR-02	Mesmo tópico: Segurança Física
13.2	Protection against physical and environmental threats	Correspondência	DE.CM-02 PR.AA-06 PR.IR-02	Mesmo tópico: Segurança Física
13.3	Perimeter and physical access control	Correspondência	DE.CM-02 PR.AA-06 PR.IR-02	Mesmo tópico: Segurança Física

Tem NIS2 → precisa de NIST CSF 2.0

106 req.

85 mapeados · · 9 sem mapeamento Abrir na visão de lacunas →

Dos 106 requisitos de NIST Cybersecurity Framework 2.0, 85 mapeiam para algo em NIS2, 12 são apenas vagamente relacionados e 9 não têm mapeamento em nossos dados.

Provável trabalho novo: requisitos de NIST CSF 2.0 sem mapeamento para NIS2 (9)

NIST CSF 2.0	Requisito	Correspondência	NIS2	Evidências
Govern (GV) · 5
GV.OC-01	The organizational mission is understood and informs cybersecurity risk management	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
GV.OV-01	Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
GV.RM-04	Strategic direction that describes appropriate risk response options is established and communicated	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
GV.RM-05	Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
GV.RM-07	Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
Identify (ID) · 2
ID.IM-01	Improvements are identified from evaluations	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
ID.IM-02	Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
Protect (PR) · 2
PR.AA-02	Identities are proofed and bound to credentials based on the context of interactions	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
PR.IR-04	Adequate resource capacity to ensure availability is maintained	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.

Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (12)

NIST CSF 2.0	Requisito	Correspondência	NIS2	Evidências
Detect (DE) · 1
DE.AE-07	Cyber threat intelligence and other contextual information are integrated into the analysis	Vagamente relacionado	4.3	Compartilha apenas CSF DE.AE-07: relacionado, não um mapeamento
Govern (GV) · 6
GV.OC-02	Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered	Vagamente relacionado	1.1	Compartilha apenas CSF GV.OC-02: relacionado, não um mapeamento
GV.OC-05	Outcomes, capabilities, and services that the organization depends on are understood and communicated	Vagamente relacionado	5.1 5.2 13.1	Compartilha apenas CSF GV.OC-05: relacionado, não um mapeamento
GV.OV-02	The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks	Vagamente relacionado	2.2 2.3	Compartilha apenas CSF GV.OV-02: relacionado, não um mapeamento
GV.SC-02	Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally	Vagamente relacionado	1.2	Compartilha apenas CSF GV.SC-02: relacionado, não um mapeamento
GV.SC-08	Relevant suppliers and other third parties are included in incident planning, response, and recovery activities	Vagamente relacionado	3.1 4.1	Compartilha apenas CSF GV.SC-08: relacionado, não um mapeamento
GV.SC-10	Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement	Vagamente relacionado	5.1	Compartilha apenas CSF GV.SC-10: relacionado, não um mapeamento
Identify (ID) · 2
ID.RA-02	Cyber threat intelligence is received from information sharing forums and sources	Vagamente relacionado	2.1 6.10	Compartilha apenas CSF ID.RA-02: relacionado, não um mapeamento
ID.RA-07	Changes and exceptions are managed, assessed for risk impact, recorded, and tracked	Vagamente relacionado	6.4	Compartilha apenas CSF ID.RA-07: relacionado, não um mapeamento
Protect (PR) · 1
PR.PS-03	Hardware is maintained, replaced, and removed commensurate with risk	Vagamente relacionado	6.10	Compartilha apenas CSF PR.PS-03: relacionado, não um mapeamento
Respond (RS) · 2
RS.AN-08	An incident's magnitude is estimated and validated	Vagamente relacionado	3.6	Compartilha apenas CSF RS.AN-08: relacionado, não um mapeamento
RS.MA-05	The criteria for initiating incident recovery are applied	Vagamente relacionado	3.1	Compartilha apenas CSF RS.MA-05: relacionado, não um mapeamento

Mapeado (85)

NIST CSF 2.0	Requisito	Correspondência	NIS2	Evidências
Detect (DE) · 10
DE.AE-02	Potentially adverse events are analyzed to better understand associated activities	Correspondência	3.2 3.4	Mesmo tópico: Detecção de intrusão, Detecção de Anomalias
DE.AE-03	Information is correlated from multiple sources	Correspondência	3.2 3.4	Mesmo tópico: Registro e Auditoria, SIEM / SOC
DE.AE-04	The estimated impact and scope of adverse events are understood	Correspondência	3.4	Mesmo tópico: Detecção de Anomalias
DE.AE-06	Information on adverse events is provided to authorized staff and tools	Correspondência	3.2 3.4	Mesmo tópico: SIEM / SOC
DE.AE-08	Incidents are declared when adverse events meet the defined incident criteria	Correspondência	3.2 3.4	Mesmo tópico: SIEM / SOC
DE.CM-01	Networks and network services are monitored to find potentially adverse events	Correspondência	3.2	Mesmo tópico: Monit. contínuo, Detecção de intrusão
DE.CM-02	The physical environment is monitored to find potentially adverse events	Correspondência	13.1 13.2 13.3	Mesmo tópico: Segurança Física
DE.CM-03	Personnel activity and technology usage are monitored to find potentially adverse events	Correspondência	3.2 10.2 10.4	Mesmo tópico: Monit. contínuo, Ameaça interna
DE.CM-06	External service provider activities and services are monitored to find potentially adverse events	Correspondência	5.1 5.2 6.1	Mesmo tópico: Gestão de Risco de Fornecedores
DE.CM-09	Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events	Correspondência	3.2 3.4 6.9	Mesmo tópico: Monit. contínuo, Detecção de Anomalias, Proteção de endpoints, Segurança de e-mail
Govern (GV) · 20
GV.OC-03	Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed	Correspondência	2.2 2.3	Mesmo tópico: Conformidade
GV.OC-04	Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated	Correspondência	4.1 4.3	Mesmo tópico: Continuidade de Negócios
GV.OV-03	Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed	Correspondência	2.2 2.3	Mesmo tópico: Conformidade
GV.PO-01	Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced	Correspondência	1.1	Mesmo tópico: Política de governança
GV.PO-02	Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission	Correspondência	1.1	Mesmo tópico: Política de governança
GV.RM-01	Risk management objectives are established and agreed to by organizational stakeholders	Correspondência	2.1 7.1	Mesmo tópico: Gestão de Riscos
GV.RM-02	Risk appetite and risk tolerance statements are established, communicated, and maintained	Correspondência	2.1 7.1	Mesmo tópico: Gestão de Riscos
GV.RM-03	Cybersecurity risk management activities and outcomes are included in enterprise risk management processes	Correspondência	2.1 7.1	Mesmo tópico: Gestão de Riscos
GV.RM-06	A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated	Correspondência	2.1 7.1	Mesmo tópico: Gestão de Riscos
GV.RR-01	Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving	Correspondência	1.2	Mesmo tópico: Funções e responsabilidades
GV.RR-02	Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced	Correspondência	1.2	Mesmo tópico: Funções e responsabilidades
GV.RR-03	Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies	Correspondência	1.2	Mesmo tópico: Funções e responsabilidades
GV.RR-04	Cybersecurity is included in human resources practices	Correspondência	10.2 10.4	Mesmo tópico: Ameaça interna
GV.SC-01	A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders	Correspondência	5.1 6.1	Mesmo tópico: Risco na cadeia de suprimentos
GV.SC-03	Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes	Correspondência	5.1 6.1	Mesmo tópico: Risco na cadeia de suprimentos
GV.SC-04	Suppliers are known and prioritized by criticality	Correspondência	5.1 5.2 6.1	Mesmo tópico: Gestão de Risco de Fornecedores
GV.SC-05	Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties	Correspondência	5.1 6.1	Mesmo tópico: Risco na cadeia de suprimentos
GV.SC-06	Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships	Correspondência	5.1 5.2 6.1	Mesmo tópico: Gestão de Risco de Fornecedores
GV.SC-07	The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship	Correspondência	5.1 5.2 6.1	Mesmo tópico: Gestão de Risco de Fornecedores
GV.SC-09	Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle	Correspondência	5.1 6.1	Mesmo tópico: Risco na cadeia de suprimentos
Identify (ID) · 17
ID.AM-01	Inventories of hardware managed by the organization are maintained	Correspondência	12.4	Mesmo tópico: Gestão de Ativos
ID.AM-02	Inventories of software, services, and systems managed by the organization are maintained	Correspondência	12.4	Mesmo tópico: Gestão de Ativos
ID.AM-03	Representations of the organization's authorized network communication and internal and external network data flows are maintained	Correspondência	6.7 6.8	Mesmo tópico: Firewall / Segmentação de rede
ID.AM-04	Inventories of services provided by suppliers are maintained	Correspondência	6.1 12.4	Mesmo tópico: Segurança em Nuvem, Gestão de Ativos
ID.AM-05	Assets are prioritized based on classification, criticality, resources, and impact on the mission	Correspondência	12.1	Mesmo tópico: Classificação de Dados
ID.AM-07	Inventories of data and corresponding metadata for designated data types are maintained	Correspondência	12.1	Mesmo tópico: Classificação de Dados
ID.AM-08	Systems, hardware, software, services, and data are managed throughout their life cycles	Correspondência	12.4	Mesmo tópico: Gestão de Ativos
ID.IM-03	Improvements are identified from execution of operational processes, procedures, and activities	Correspondência	3.6	Mesmo tópico: Lições Aprendidas
ID.IM-04	Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved	Correspondência	3.1 3.5 4.1	Mesmo tópico: Resposta a Incidentes, Planejamento de Recuperação
ID.RA-01	Vulnerabilities in assets are identified, validated, and recorded	Correspondência	6.5 6.10	Mesmo tópico: Gestão de Vulnerabilidades
ID.RA-03	Internal and external threats to the organization are identified and recorded	Correspondência	2.1	Mesmo tópico: Avaliação de riscos
ID.RA-04	Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded	Correspondência	2.1	Mesmo tópico: Avaliação de riscos
ID.RA-05	Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization	Correspondência	2.1	Mesmo tópico: Avaliação de riscos
ID.RA-06	Risk responses are chosen, prioritized, planned, tracked, and communicated	Correspondência	2.1	Mesmo tópico: Avaliação de riscos
ID.RA-08	Processes for receiving, analyzing, and responding to vulnerability disclosures are established	Correspondência	6.5 6.10	Mesmo tópico: Gestão de Vulnerabilidades
ID.RA-09	The authenticity and integrity of hardware and software are assessed prior to acquisition and use	Correspondência	5.1 6.1	Mesmo tópico: Risco na cadeia de suprimentos
ID.RA-10	Critical suppliers are assessed prior to acquisition	Correspondência	5.1 5.2 6.1	Mesmo tópico: Gestão de Risco de Fornecedores
Protect (PR) · 19
PR.AA-01	Identities and credentials for authorized users, services, and hardware are managed by the organization	Correspondência	11.1 11.2 11.5	Mesmo tópico: Controle de acesso
PR.AA-03	Users, services, and hardware are authenticated	Correspondência	6.8 11.1 11.6+1	Mesmo tópico: Confiança Zero, Autenticação multifator
PR.AA-04	Identity assertions are protected, conveyed, and verified	Correspondência	6.8 11.1 11.6	Mesmo tópico: Confiança Zero
PR.AA-05	Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties	Correspondência	6.8 11.1 11.2+4	Mesmo tópico: Confiança Zero, Controle de acesso
PR.AA-06	Physical access to assets is managed, monitored, and enforced commensurate with risk	Correspondência	13.1 13.2 13.3	Mesmo tópico: Segurança Física
PR.AT-01	Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind	Correspondência	8.1 8.2	Mesmo tópico: Conscientização e treinamento
PR.AT-02	Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind	Correspondência	8.1 8.2	Mesmo tópico: Conscientização e treinamento
PR.DS-01	The confidentiality, integrity, and availability of data-at-rest are protected	Correspondência	9.1 12.2 12.3	Mesmo tópico: Criptografia, Proteção de Dados, DLP
PR.DS-02	The confidentiality, integrity, and availability of data-in-transit are protected	Correspondência	6.9 9.1 12.2+1	Mesmo tópico: Segurança de e-mail, Criptografia, Proteção de Dados
PR.DS-10	The confidentiality, integrity, and availability of data-in-use are protected	Correspondência	12.2 12.3	Mesmo tópico: Proteção de Dados, DLP
PR.DS-11	Backups of data are created, protected, maintained, and tested	Correspondência	4.2	Mesmo tópico: Backup e recuperação
PR.IR-01	Networks and environments are protected from unauthorized logical access and usage	Correspondência	6.1 6.7 6.8+2	Mesmo tópico: Segurança em Nuvem, Firewall / Segmentação de rede, Confiança Zero
PR.IR-02	The organization's technology assets are protected from environmental threats	Correspondência	13.1 13.2 13.3	Mesmo tópico: Segurança Física
PR.IR-03	Mechanisms are implemented to achieve resilience requirements in normal and adverse situations	Correspondência	4.1 4.2 4.3	Mesmo tópico: Continuidade de Negócios, Recuperação de desastres
PR.PS-01	Configuration management practices are established and applied	Correspondência	6.1 6.3	Mesmo tópico: Segurança em Nuvem, Configuração Segura
PR.PS-02	Software is maintained, replaced, and removed commensurate with risk	Correspondência	6.6	Mesmo tópico: Gestão de Patches
PR.PS-04	Log records are generated and made available for continuous monitoring	Correspondência	3.2	Mesmo tópico: Registro e Auditoria
PR.PS-05	Installation and execution of unauthorized software are prevented	Correspondência	6.9	Mesmo tópico: Proteção de endpoints
PR.PS-06	Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle	Correspondência	6.2	Mesmo tópico: Desenvolvimento Seguro
Recover (RC) · 8
RC.CO-03	Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders	Correspondência	4.3	Mesmo tópico: Comunicação e restauração
RC.CO-04	Public updates on incident recovery are shared using approved methods and messaging	Correspondência	4.3	Mesmo tópico: Comunicação e restauração
RC.RP-01	The recovery portion of the incident response plan is executed once initiated from the incident response process	Correspondência	4.1	Mesmo tópico: Planejamento de Recuperação
RC.RP-02	Recovery actions are selected, scoped, prioritized, and performed	Correspondência	4.1 4.2	Mesmo tópico: Planejamento de Recuperação, Recuperação de desastres
RC.RP-03	The integrity of backups and other restoration assets is verified before using them for restoration	Correspondência	4.2	Mesmo tópico: Backup e recuperação
RC.RP-04	Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms	Correspondência	4.1 4.3	Mesmo tópico: Continuidade de Negócios
RC.RP-05	The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed	Correspondência	4.1 4.2 4.3	Mesmo tópico: Recuperação de desastres, Comunicação e restauração
RC.RP-06	The end of incident recovery is declared based on criteria, and incident-related documentation is completed	Correspondência	3.6	Mesmo tópico: Lições Aprendidas
Respond (RS) · 11
RS.AN-03	Analysis is performed to establish what has taken place during an incident and the root cause of the incident	Correspondência	3.5	Mesmo tópico: Perícia forense
RS.AN-06	Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved	Correspondência	3.5	Mesmo tópico: Perícia forense
RS.AN-07	Incident data and metadata are collected, and their integrity and provenance are preserved	Correspondência	3.5	Mesmo tópico: Perícia forense
RS.CO-02	Internal and external stakeholders are notified of incidents	Correspondência	3.3	Mesmo tópico: Notificação
RS.CO-03	Information is shared with designated internal and external stakeholders	Correspondência	4.3	Mesmo tópico: Comunicação
RS.MA-01	The incident response plan is executed in coordination with relevant third parties once an incident is declared	Correspondência	3.1 3.5	Mesmo tópico: Resposta a Incidentes
RS.MA-02	Incident reports are triaged and validated	Correspondência	3.1 3.5	Mesmo tópico: Resposta a Incidentes
RS.MA-03	Incidents are categorized and prioritized	Correspondência	3.1 3.5	Mesmo tópico: Resposta a Incidentes
RS.MA-04	Incidents are escalated or elevated as needed	Correspondência	3.1 3.5	Mesmo tópico: Resposta a Incidentes
RS.MI-01	Incidents are contained	Correspondência	3.5	Mesmo tópico: Mitigação
RS.MI-02	Incidents are eradicated	Correspondência	3.5	Mesmo tópico: Mitigação

Por tópico

Ambos cobrem (43):

Política de governança Conscientização e treinamento Gestão de Riscos Risco na cadeia de suprimentos Funções e responsabilidades Conformidade Gestão de Ativos Avaliação de riscos Classificação de Dados Gestão de Vulnerabilidades Controle de acesso Autenticação multifator Criptografia Proteção de Dados Backup e recuperação Acesso privilegiado Firewall / Segmentação de rede Proteção de endpoints Gestão de Patches Configuração Segura Desenvolvimento Seguro Segurança de e-mail Confiança Zero Segurança em Nuvem DLP Monit. contínuo Registro e Auditoria Detecção de intrusão Detecção de Anomalias SIEM / SOC Resposta a Incidentes Perícia forense Comunicação Mitigação Notificação Planejamento de Recuperação Continuidade de Negócios Lições Aprendidas Comunicação e restauração Recuperação de desastres Ameaça interna Gestão de Risco de Fornecedores Segurança Física

Apenas NIST CSF 2.0 (7):

Ambiente de Negócios Inteligência de Ameaças Segurança Web Segurança Móvel Segurança de DNS WAF Segurança de APIs

Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.

Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · Vagamente relacionado compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Mapeado = curado em conjunto em um tema da ControlMapping, ou vinculado diretamente. Crosswalks não comprovam conformidade. Metodologia · Descarregar os dados · Relatar um erro.