Сравнение

NIS2 и NIST CSF 2.0: правовое требование ЕС через призму NIST

NIST Cybersecurity Framework 2.0 · NIS2 Implementing Regulation (EU) 2024/2690 · данные на 2026-10-27

Для организаций, которые строят программу информационной безопасности на основе NIST CSF 2.0, — часто головных компаний в США с операциями в ЕС, — ключевой вопрос в том, насколько CSF помогает продвинуться к соответствию NIS2. Техническое руководство по внедрению от ENISA сопоставляет каждое требование Имплементирующего регламента (ЕС) 2024/2690 с подкатегориями CSF 2.0, а также с ISO 27001.

Ответ таков: в части технических мер покрытие в основном достаточное. Почти каждый пункт NIS2 закрывается результатами CSF, а несколько пунктов связаны с ним лишь косвенно. Единственный пункт без соответствия касается возврата или удаления активов при прекращении трудовых отношений: ENISA сопоставляет его с ISO, но не с CSF.

При переходе от NIS2 к CSF несопоставленные результаты CSF в основном относятся к стратегическому управлению, которое NIS2 явно не детализирует: пересмотр миссии и стратегии организации, направление в части склонности к риску, каналы коммуникации по вопросам риска и подтверждение личности.

Как и в случае с ISO, сопоставление не равно соответствию. Юридические обязательства по NIS2 (ответственность и обучение руководящего органа, сроки отчётности об инцидентах по статье 23, регистрация, национальная транспозиция) находятся за пределами любого стандарта контроля.

Основные выводы

Целевой профиль CSF, включающий подкатегории, сопоставленные с NIS2, — хороший план внедрения NIS2.
Явно добавьте специфичные для ЕС обязательства: сроки отчётности CSIRT, обучение руководства, национальная регистрация.
Если вам также нужна сертификация, выбирайте ISO 27001; CSF сертификации не подлежит.

Скачать это сравнение (CSV) Открыть в анализе разрывов →

Есть NIST CSF 2.0 → нужен NIS2

49 треб.

сопоставлено: 45 · · 1 без сопоставления Открыть в представлении разрывов →

Из 49 требований NIS2 Implementing Regulation (EU) 2024/2690 45 сопоставлены с чем-либо в NIST CSF 2.0, 3 связаны лишь косвенно, а для 1 в наших данных нет сопоставления.

NIS2 в этом справочнике — это технические меры Имплементирующего регламента (ЕС) 2024/2690, который напрямую применяется к поставщикам цифровой инфраструктуры и ИКТ-услуг; другие субъекты NIS2 руководствуются национальной транспозицией статьи 21. Сроки уведомления об инцидентах (статья 23) не входят в область охвата. Сопоставление ENISA не является обязательным.

Вероятно, новая работа: требования NIS2 без сопоставления с NIST CSF 2.0 (1)

NIS2	Требование	Совпадение	NIST CSF 2.0	Доказательства
12. Asset management · 1
12.5	Deposit, return or deletion of assets upon termination of employment	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIST CSF 2.0.

Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (3)

NIS2	Требование	Совпадение	NIST CSF 2.0	Доказательства
6. Security in acquisition, development and maintenance · 1
6.4	Change management, repairs and maintenance	Косвенно связано	ID.RA-07	Совпадает только CSF ID.RA-07: связь косвенная, это не сопоставление
10. Human resources security · 2
10.1	Human resources security	Косвенно связано	GV.RR-04 PR.AT-02	Совпадает только CSF GV.RR-04, PR.AT-02: связь косвенная, это не сопоставление
10.3	Termination or change of employment procedures	Косвенно связано	GV.RR-04	Совпадает только CSF GV.RR-04: связь косвенная, это не сопоставление

Сопоставлено (45)

NIS2	Требование	Совпадение	NIST CSF 2.0	Доказательства
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	Соответствия	GV.PO-01 GV.PO-02	Та же тема: Политика управления
1.2	Roles, responsibilities and authorities	Соответствия	GV.RR-01 GV.RR-02 GV.RR-03	Та же тема: Роли и обязанности
2. Risk management policy · 3
2.1	Risk management framework	Соответствия	GV.RM-01 GV.RM-02 GV.RM-03+5	Та же тема: Управление рисками
2.2	Compliance monitoring	Соответствия	GV.OC-03 GV.OV-03	Та же тема: Соответствие требованиям
2.3	Independent review of information and network security	Редакционные материалы	GV.OC-03 GV.OV-03	Та же тема: Соответствие требованиям (выбор редакции)
3. Incident handling · 6
3.1	Incident handling policy	Соответствия	ID.IM-04 RS.MA-01 RS.MA-02+2	Та же тема: Реагирование на инциденты
3.2	Monitoring and logging	Соответствия	DE.AE-02 DE.AE-03 DE.AE-06+5	Та же тема: Обнаружение вторжений, Логирование и аудит, SIEM / SOC
3.3	Event reporting	Соответствия	RS.CO-02	Та же тема: Отчётность
3.4	Event assessment and classification	Соответствия	DE.AE-02 DE.AE-03 DE.AE-04+3	Та же тема: Обнаружение аномалий, SIEM / SOC
3.5	Incident response	Соответствия	ID.IM-04 RS.AN-03 RS.AN-06+7	Та же тема: Реагирование на инциденты, Криминалистический анализ
3.6	Post-incident reviews	Соответствия	ID.IM-03 RC.RP-06	Та же тема: Извлечённые уроки
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	Соответствия	GV.OC-04 ID.IM-04 PR.IR-03+4	Та же тема: Непрерывность бизнеса, Планирование восстановления, Аварийное восстановление
4.2	Backup management	Соответствия	PR.DS-11 PR.IR-03 RC.RP-02+2	Та же тема: Резервное копирование и восстановление, Аварийное восстановление
4.3	Crisis management	Соответствия	GV.OC-04 PR.IR-03 RC.CO-03+4	Та же тема: Непрерывность бизнеса, Коммуникации и восстановление
5. Supply chain security · 2
5.1	Supply chain security policy	Соответствия	DE.CM-06 GV.SC-01 GV.SC-03+7	Та же тема: Управление рисками поставщиков, Управление рисками цепочки поставок
5.2	Directory of suppliers and service providers	Соответствия	DE.CM-06 GV.SC-04 GV.SC-06+2	Та же тема: Управление рисками поставщиков
6. Security in acquisition, development and maintenance · 9
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Соответствия	DE.CM-06 GV.SC-01 GV.SC-03+10	Та же тема: Управление рисками поставщиков, Управление рисками цепочки поставок
6.2	Secure development life cycle	Соответствия	PR.PS-06	Та же тема: Безопасная разработка
6.3	Configuration management	Соответствия	PR.PS-01	Та же тема: Безопасная конфигурация
6.5	Security testing	Соответствия	ID.RA-01 ID.RA-08	Та же тема: Управление уязвимостями
6.6	Security patch management	Соответствия	PR.PS-02	Та же тема: Управление исправлениями
6.7	Network security	Соответствия	ID.AM-03 PR.IR-01	Та же тема: Межсетевой экран / сегментация сети
6.8	Network segmentation	Соответствия	ID.AM-03 PR.AA-03 PR.AA-04+2	Та же тема: Межсетевой экран / сегментация сети, Нулевое доверие
6.9	Protection against malicious and unauthorised software	Соответствия	DE.CM-09 PR.DS-02 PR.PS-05	Та же тема: Защита конечных точек, Безопасность электронной почты
6.10	Vulnerability handling and disclosure	Соответствия	ID.RA-01 ID.RA-08	Та же тема: Управление уязвимостями
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Соответствия	GV.RM-01 GV.RM-02 GV.RM-03+1	Та же тема: Управление рисками
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	Соответствия	PR.AT-01 PR.AT-02	Та же тема: Осведомлённость и обучение
8.2	Security training	Соответствия	PR.AT-01 PR.AT-02	Та же тема: Осведомлённость и обучение
9. Cryptography · 1
9.1	Cryptography	Соответствия	PR.DS-01 PR.DS-02	Та же тема: Шифрование
10. Human resources security · 2
10.2	Verification of Background	Соответствия	DE.CM-03 GV.RR-04	Та же тема: Внутренние угрозы
10.4	Disciplinary process	Соответствия	DE.CM-03 GV.RR-04	Та же тема: Внутренние угрозы
11. Access control · 7
11.1	Access control policy	Соответствия	PR.AA-01 PR.AA-03 PR.AA-04+2	Та же тема: Контроль доступа, Нулевое доверие
11.2	Management of access rights	Соответствия	PR.AA-01 PR.AA-05	Та же тема: Контроль доступа
11.3	Privileged accounts and system administration accounts	Соответствия	PR.AA-05	Та же тема: Привилегированный доступ
11.4	Administration systems	Соответствия	PR.AA-05	Та же тема: Привилегированный доступ
11.5	Identification	Соответствия	PR.AA-01 PR.AA-05	Та же тема: Контроль доступа
11.6	Authentication	Соответствия	PR.AA-03 PR.AA-04 PR.AA-05+1	Та же тема: Многофакторная аутентификация, Нулевое доверие
11.7	Multi-factor authentication	Соответствия	PR.AA-03	Та же тема: Многофакторная аутентификация
12. Asset management · 4
12.1	Asset classification	Соответствия	ID.AM-05 ID.AM-07	Та же тема: Классификация данных
12.2	Handling of assets	Соответствия	PR.DS-01 PR.DS-02 PR.DS-10	Та же тема: Защита данных
12.3	Removable media policy	Соответствия	PR.DS-01 PR.DS-02 PR.DS-10	Та же тема: Защита данных, DLP
12.4	Asset inventory	Соответствия	ID.AM-01 ID.AM-02 ID.AM-04+1	Та же тема: Управление активами
13. Environmental and physical security · 3
13.1	Supporting utilities	Соответствия	DE.CM-02 PR.AA-06 PR.IR-02	Та же тема: Физическая безопасность
13.2	Protection against physical and environmental threats	Соответствия	DE.CM-02 PR.AA-06 PR.IR-02	Та же тема: Физическая безопасность
13.3	Perimeter and physical access control	Соответствия	DE.CM-02 PR.AA-06 PR.IR-02	Та же тема: Физическая безопасность

Есть NIS2 → нужен NIST CSF 2.0

106 треб.

сопоставлено: 85 · · 9 без сопоставления Открыть в представлении разрывов →

Из 106 требований NIST Cybersecurity Framework 2.0 85 сопоставлены с чем-либо в NIS2, 12 связаны лишь косвенно, а для 9 в наших данных нет сопоставления.

Вероятно, новая работа: требования NIST CSF 2.0 без сопоставления с NIS2 (9)

NIST CSF 2.0	Требование	Совпадение	NIS2	Доказательства
Govern (GV) · 5
GV.OC-01	The organizational mission is understood and informs cybersecurity risk management	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
GV.OV-01	Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
GV.RM-04	Strategic direction that describes appropriate risk response options is established and communicated	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
GV.RM-05	Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
GV.RM-07	Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
Identify (ID) · 2
ID.IM-01	Improvements are identified from evaluations	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
ID.IM-02	Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
Protect (PR) · 2
PR.AA-02	Identities are proofed and bound to credentials based on the context of interactions	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
PR.IR-04	Adequate resource capacity to ensure availability is maintained	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.

Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (12)

NIST CSF 2.0	Требование	Совпадение	NIS2	Доказательства
Detect (DE) · 1
DE.AE-07	Cyber threat intelligence and other contextual information are integrated into the analysis	Косвенно связано	4.3	Совпадает только CSF DE.AE-07: связь косвенная, это не сопоставление
Govern (GV) · 6
GV.OC-02	Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered	Косвенно связано	1.1	Совпадает только CSF GV.OC-02: связь косвенная, это не сопоставление
GV.OC-05	Outcomes, capabilities, and services that the organization depends on are understood and communicated	Косвенно связано	5.1 5.2 13.1	Совпадает только CSF GV.OC-05: связь косвенная, это не сопоставление
GV.OV-02	The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks	Косвенно связано	2.2 2.3	Совпадает только CSF GV.OV-02: связь косвенная, это не сопоставление
GV.SC-02	Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally	Косвенно связано	1.2	Совпадает только CSF GV.SC-02: связь косвенная, это не сопоставление
GV.SC-08	Relevant suppliers and other third parties are included in incident planning, response, and recovery activities	Косвенно связано	3.1 4.1	Совпадает только CSF GV.SC-08: связь косвенная, это не сопоставление
GV.SC-10	Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement	Косвенно связано	5.1	Совпадает только CSF GV.SC-10: связь косвенная, это не сопоставление
Identify (ID) · 2
ID.RA-02	Cyber threat intelligence is received from information sharing forums and sources	Косвенно связано	2.1 6.10	Совпадает только CSF ID.RA-02: связь косвенная, это не сопоставление
ID.RA-07	Changes and exceptions are managed, assessed for risk impact, recorded, and tracked	Косвенно связано	6.4	Совпадает только CSF ID.RA-07: связь косвенная, это не сопоставление
Protect (PR) · 1
PR.PS-03	Hardware is maintained, replaced, and removed commensurate with risk	Косвенно связано	6.10	Совпадает только CSF PR.PS-03: связь косвенная, это не сопоставление
Respond (RS) · 2
RS.AN-08	An incident's magnitude is estimated and validated	Косвенно связано	3.6	Совпадает только CSF RS.AN-08: связь косвенная, это не сопоставление
RS.MA-05	The criteria for initiating incident recovery are applied	Косвенно связано	3.1	Совпадает только CSF RS.MA-05: связь косвенная, это не сопоставление

Сопоставлено (85)

NIST CSF 2.0	Требование	Совпадение	NIS2	Доказательства
Detect (DE) · 10
DE.AE-02	Potentially adverse events are analyzed to better understand associated activities	Соответствия	3.2 3.4	Та же тема: Обнаружение вторжений, Обнаружение аномалий
DE.AE-03	Information is correlated from multiple sources	Соответствия	3.2 3.4	Та же тема: Логирование и аудит, SIEM / SOC
DE.AE-04	The estimated impact and scope of adverse events are understood	Соответствия	3.4	Та же тема: Обнаружение аномалий
DE.AE-06	Information on adverse events is provided to authorized staff and tools	Соответствия	3.2 3.4	Та же тема: SIEM / SOC
DE.AE-08	Incidents are declared when adverse events meet the defined incident criteria	Соответствия	3.2 3.4	Та же тема: SIEM / SOC
DE.CM-01	Networks and network services are monitored to find potentially adverse events	Соответствия	3.2	Та же тема: Непрерывный мониторинг, Обнаружение вторжений
DE.CM-02	The physical environment is monitored to find potentially adverse events	Соответствия	13.1 13.2 13.3	Та же тема: Физическая безопасность
DE.CM-03	Personnel activity and technology usage are monitored to find potentially adverse events	Соответствия	3.2 10.2 10.4	Та же тема: Непрерывный мониторинг, Внутренние угрозы
DE.CM-06	External service provider activities and services are monitored to find potentially adverse events	Соответствия	5.1 5.2 6.1	Та же тема: Управление рисками поставщиков
DE.CM-09	Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events	Соответствия	3.2 3.4 6.9	Та же тема: Непрерывный мониторинг, Обнаружение аномалий, Защита конечных точек, Безопасность электронной почты
Govern (GV) · 20
GV.OC-03	Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed	Соответствия	2.2 2.3	Та же тема: Соответствие требованиям
GV.OC-04	Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated	Соответствия	4.1 4.3	Та же тема: Непрерывность бизнеса
GV.OV-03	Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed	Соответствия	2.2 2.3	Та же тема: Соответствие требованиям
GV.PO-01	Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced	Соответствия	1.1	Та же тема: Политика управления
GV.PO-02	Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission	Соответствия	1.1	Та же тема: Политика управления
GV.RM-01	Risk management objectives are established and agreed to by organizational stakeholders	Соответствия	2.1 7.1	Та же тема: Управление рисками
GV.RM-02	Risk appetite and risk tolerance statements are established, communicated, and maintained	Соответствия	2.1 7.1	Та же тема: Управление рисками
GV.RM-03	Cybersecurity risk management activities and outcomes are included in enterprise risk management processes	Соответствия	2.1 7.1	Та же тема: Управление рисками
GV.RM-06	A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated	Соответствия	2.1 7.1	Та же тема: Управление рисками
GV.RR-01	Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving	Соответствия	1.2	Та же тема: Роли и обязанности
GV.RR-02	Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced	Соответствия	1.2	Та же тема: Роли и обязанности
GV.RR-03	Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies	Соответствия	1.2	Та же тема: Роли и обязанности
GV.RR-04	Cybersecurity is included in human resources practices	Соответствия	10.2 10.4	Та же тема: Внутренние угрозы
GV.SC-01	A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders	Соответствия	5.1 6.1	Та же тема: Управление рисками цепочки поставок
GV.SC-03	Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes	Соответствия	5.1 6.1	Та же тема: Управление рисками цепочки поставок
GV.SC-04	Suppliers are known and prioritized by criticality	Соответствия	5.1 5.2 6.1	Та же тема: Управление рисками поставщиков
GV.SC-05	Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties	Соответствия	5.1 6.1	Та же тема: Управление рисками цепочки поставок
GV.SC-06	Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships	Соответствия	5.1 5.2 6.1	Та же тема: Управление рисками поставщиков
GV.SC-07	The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship	Соответствия	5.1 5.2 6.1	Та же тема: Управление рисками поставщиков
GV.SC-09	Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle	Соответствия	5.1 6.1	Та же тема: Управление рисками цепочки поставок
Identify (ID) · 17
ID.AM-01	Inventories of hardware managed by the organization are maintained	Соответствия	12.4	Та же тема: Управление активами
ID.AM-02	Inventories of software, services, and systems managed by the organization are maintained	Соответствия	12.4	Та же тема: Управление активами
ID.AM-03	Representations of the organization's authorized network communication and internal and external network data flows are maintained	Соответствия	6.7 6.8	Та же тема: Межсетевой экран / сегментация сети
ID.AM-04	Inventories of services provided by suppliers are maintained	Соответствия	6.1 12.4	Та же тема: Безопасность облачных сред, Управление активами
ID.AM-05	Assets are prioritized based on classification, criticality, resources, and impact on the mission	Соответствия	12.1	Та же тема: Классификация данных
ID.AM-07	Inventories of data and corresponding metadata for designated data types are maintained	Соответствия	12.1	Та же тема: Классификация данных
ID.AM-08	Systems, hardware, software, services, and data are managed throughout their life cycles	Соответствия	12.4	Та же тема: Управление активами
ID.IM-03	Improvements are identified from execution of operational processes, procedures, and activities	Соответствия	3.6	Та же тема: Извлечённые уроки
ID.IM-04	Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved	Соответствия	3.1 3.5 4.1	Та же тема: Реагирование на инциденты, Планирование восстановления
ID.RA-01	Vulnerabilities in assets are identified, validated, and recorded	Соответствия	6.5 6.10	Та же тема: Управление уязвимостями
ID.RA-03	Internal and external threats to the organization are identified and recorded	Соответствия	2.1	Та же тема: Оценка рисков
ID.RA-04	Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded	Соответствия	2.1	Та же тема: Оценка рисков
ID.RA-05	Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization	Соответствия	2.1	Та же тема: Оценка рисков
ID.RA-06	Risk responses are chosen, prioritized, planned, tracked, and communicated	Соответствия	2.1	Та же тема: Оценка рисков
ID.RA-08	Processes for receiving, analyzing, and responding to vulnerability disclosures are established	Соответствия	6.5 6.10	Та же тема: Управление уязвимостями
ID.RA-09	The authenticity and integrity of hardware and software are assessed prior to acquisition and use	Соответствия	5.1 6.1	Та же тема: Управление рисками цепочки поставок
ID.RA-10	Critical suppliers are assessed prior to acquisition	Соответствия	5.1 5.2 6.1	Та же тема: Управление рисками поставщиков
Protect (PR) · 19
PR.AA-01	Identities and credentials for authorized users, services, and hardware are managed by the organization	Соответствия	11.1 11.2 11.5	Та же тема: Контроль доступа
PR.AA-03	Users, services, and hardware are authenticated	Соответствия	6.8 11.1 11.6+1	Та же тема: Нулевое доверие, Многофакторная аутентификация
PR.AA-04	Identity assertions are protected, conveyed, and verified	Соответствия	6.8 11.1 11.6	Та же тема: Нулевое доверие
PR.AA-05	Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties	Соответствия	6.8 11.1 11.2+4	Та же тема: Нулевое доверие, Контроль доступа
PR.AA-06	Physical access to assets is managed, monitored, and enforced commensurate with risk	Соответствия	13.1 13.2 13.3	Та же тема: Физическая безопасность
PR.AT-01	Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind	Соответствия	8.1 8.2	Та же тема: Осведомлённость и обучение
PR.AT-02	Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind	Соответствия	8.1 8.2	Та же тема: Осведомлённость и обучение
PR.DS-01	The confidentiality, integrity, and availability of data-at-rest are protected	Соответствия	9.1 12.2 12.3	Та же тема: Шифрование, Защита данных, DLP
PR.DS-02	The confidentiality, integrity, and availability of data-in-transit are protected	Соответствия	6.9 9.1 12.2+1	Та же тема: Безопасность электронной почты, Шифрование, Защита данных
PR.DS-10	The confidentiality, integrity, and availability of data-in-use are protected	Соответствия	12.2 12.3	Та же тема: Защита данных, DLP
PR.DS-11	Backups of data are created, protected, maintained, and tested	Соответствия	4.2	Та же тема: Резервное копирование и восстановление
PR.IR-01	Networks and environments are protected from unauthorized logical access and usage	Соответствия	6.1 6.7 6.8+2	Та же тема: Безопасность облачных сред, Межсетевой экран / сегментация сети, Нулевое доверие
PR.IR-02	The organization's technology assets are protected from environmental threats	Соответствия	13.1 13.2 13.3	Та же тема: Физическая безопасность
PR.IR-03	Mechanisms are implemented to achieve resilience requirements in normal and adverse situations	Соответствия	4.1 4.2 4.3	Та же тема: Непрерывность бизнеса, Аварийное восстановление
PR.PS-01	Configuration management practices are established and applied	Соответствия	6.1 6.3	Та же тема: Безопасность облачных сред, Безопасная конфигурация
PR.PS-02	Software is maintained, replaced, and removed commensurate with risk	Соответствия	6.6	Та же тема: Управление исправлениями
PR.PS-04	Log records are generated and made available for continuous monitoring	Соответствия	3.2	Та же тема: Логирование и аудит
PR.PS-05	Installation and execution of unauthorized software are prevented	Соответствия	6.9	Та же тема: Защита конечных точек
PR.PS-06	Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle	Соответствия	6.2	Та же тема: Безопасная разработка
Recover (RC) · 8
RC.CO-03	Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders	Соответствия	4.3	Та же тема: Коммуникации и восстановление
RC.CO-04	Public updates on incident recovery are shared using approved methods and messaging	Соответствия	4.3	Та же тема: Коммуникации и восстановление
RC.RP-01	The recovery portion of the incident response plan is executed once initiated from the incident response process	Соответствия	4.1	Та же тема: Планирование восстановления
RC.RP-02	Recovery actions are selected, scoped, prioritized, and performed	Соответствия	4.1 4.2	Та же тема: Планирование восстановления, Аварийное восстановление
RC.RP-03	The integrity of backups and other restoration assets is verified before using them for restoration	Соответствия	4.2	Та же тема: Резервное копирование и восстановление
RC.RP-04	Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms	Соответствия	4.1 4.3	Та же тема: Непрерывность бизнеса
RC.RP-05	The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed	Соответствия	4.1 4.2 4.3	Та же тема: Аварийное восстановление, Коммуникации и восстановление
RC.RP-06	The end of incident recovery is declared based on criteria, and incident-related documentation is completed	Соответствия	3.6	Та же тема: Извлечённые уроки
Respond (RS) · 11
RS.AN-03	Analysis is performed to establish what has taken place during an incident and the root cause of the incident	Соответствия	3.5	Та же тема: Криминалистический анализ
RS.AN-06	Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved	Соответствия	3.5	Та же тема: Криминалистический анализ
RS.AN-07	Incident data and metadata are collected, and their integrity and provenance are preserved	Соответствия	3.5	Та же тема: Криминалистический анализ
RS.CO-02	Internal and external stakeholders are notified of incidents	Соответствия	3.3	Та же тема: Отчётность
RS.CO-03	Information is shared with designated internal and external stakeholders	Соответствия	4.3	Та же тема: Коммуникация
RS.MA-01	The incident response plan is executed in coordination with relevant third parties once an incident is declared	Соответствия	3.1 3.5	Та же тема: Реагирование на инциденты
RS.MA-02	Incident reports are triaged and validated	Соответствия	3.1 3.5	Та же тема: Реагирование на инциденты
RS.MA-03	Incidents are categorized and prioritized	Соответствия	3.1 3.5	Та же тема: Реагирование на инциденты
RS.MA-04	Incidents are escalated or elevated as needed	Соответствия	3.1 3.5	Та же тема: Реагирование на инциденты
RS.MI-01	Incidents are contained	Соответствия	3.5	Та же тема: Митигация
RS.MI-02	Incidents are eradicated	Соответствия	3.5	Та же тема: Митигация

По темам

Охватывают оба (43):

Политика управления Осведомлённость и обучение Управление рисками Управление рисками цепочки поставок Роли и обязанности Соответствие требованиям Управление активами Оценка рисков Классификация данных Управление уязвимостями Контроль доступа Многофакторная аутентификация Шифрование Защита данных Резервное копирование и восстановление Привилегированный доступ Межсетевой экран / сегментация сети Защита конечных точек Управление исправлениями Безопасная конфигурация Безопасная разработка Безопасность электронной почты Нулевое доверие Безопасность облачных сред DLP Непрерывный мониторинг Логирование и аудит Обнаружение вторжений Обнаружение аномалий SIEM / SOC Реагирование на инциденты Криминалистический анализ Коммуникация Митигация Отчётность Планирование восстановления Непрерывность бизнеса Извлечённые уроки Коммуникации и восстановление Аварийное восстановление Внутренние угрозы Управление рисками поставщиков Физическая безопасность

Только NIST CSF 2.0 (7):

Бизнес-среда Разведка угроз Безопасность веб-приложений Безопасность мобильных устройств Безопасность DNS WAF Безопасность API

Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.

Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · Косвенно связано есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Сопоставлено = собрано вместе в одной теме ControlMapping или связано напрямую. Таблицы соответствия не подтверждают соблюдение требований. Методология · Скачать данные · Сообщить об ошибке.