NIST Cybersecurity Framework 2.0: cos'è e come si usa

Il NIST Cybersecurity Framework (CSF) 2.0 è il quadro volontario del National Institute of Standards and Technology statunitense per gestire il rischio cyber. Pubblicato il 26 febbraio 2024 come documento NIST CSWP 29, ordina i risultati di sicurezza in sei funzioni (Govern, Identify, Protect, Detect, Respond, Recover), 22 categorie e 106 sottocategorie. Non si certifica e in Italia non è un obbligo di legge, ma è la struttura da cui derivano il Framework nazionale e le misure NIS2 di ACN.

Qui trovi com'è fatto, cosa ha cambiato la versione 2.0, perché un'azienda italiana lo incontra anche se non l'ha mai scelto, e come si usa accanto alla ISO/IEC 27001.

Cos'è il NIST CSF e cosa cambia con la 2.0

Il NIST ha pubblicato la prima versione del Framework nel 2014, su richiesta di un ordine esecutivo presidenziale, pensandola per le infrastrutture critiche. Fino alla 1.1 il titolo era infatti Framework for Improving Critical Infrastructure Cybersecurity. Con la 2.0 il nome cambia e cambia il pubblico: il comunicato NIST del 26 febbraio 2024 lo rivolge a organizzazioni di ogni dimensione e settore, non più solo alle infrastrutture critiche.

Le novità principali della 2.0, secondo il documento NIST CSWP 29:

• una sesta funzione, Govern, che porta la sicurezza informatica dentro la gestione del rischio d'impresa, insieme ai rischi finanziari e reputazionali;
• più peso alla catena di fornitura, con una categoria dedicata al rischio cyber dei fornitori (GV.SC);
• risorse online separate dal documento: guide rapide (Quick-Start Guide, alcune pensate per le realtà più piccole), esempi di attuazione e riferimenti informativi, cioè mappature verso altri standard. Il comunicato NIST parla di oltre 50 documenti mappati nel catalogo.

Il CSF descrive risultati da raggiungere, non azioni da eseguire. Il documento lo dice in modo esplicito: le voci del core non sono una checklist, e i risultati sono neutrali rispetto a settore, paese e tecnologia. Per questo si adatta anche fuori dagli Stati Uniti.

Le sei funzioni del CSF 2.0

Il core è una gerarchia a tre livelli: funzioni, categorie, sottocategorie. Le funzioni sono sei, e ognuna ha una sigla di due lettere che ritorna in ogni codice:

• GOVERN (GV): strategia, aspettative e politica di gestione del rischio cyber sono stabilite, comunicate e monitorate. Comprende contesto organizzativo, strategia di gestione del rischio, ruoli e responsabilità, politica, supervisione e rischio della catena di fornitura.
• IDENTIFY (ID): i rischi cyber attuali sono compresi. Qui stanno inventario degli asset, valutazione del rischio e miglioramento.
• PROTECT (PR): si usano misure di salvaguardia per gestire i rischi. Identità e accessi, consapevolezza e formazione, sicurezza dei dati e delle piattaforme, resilienza dell'infrastruttura.
• DETECT (DE): possibili attacchi e compromissioni vengono individuati e analizzati, con monitoraggio continuo e analisi degli eventi avversi.
• RESPOND (RS): davanti a un incidente rilevato si agisce, con gestione, analisi, comunicazione e mitigazione.
• RECOVER (RC): asset e operazioni colpiti vengono ripristinati, e il ripristino viene comunicato.

Nella figura del documento le funzioni sono disegnate come una ruota, con Govern al centro, perché è Govern a orientare il modo in cui le altre cinque vengono attuate. Il NIST chiede di affrontarle insieme, non in sequenza: Govern, Identify, Protect e Detect sono attività continue, Respond e Recover devono essere pronte in ogni momento.

Come si legge un codice

Ogni sottocategoria ha un identificativo del tipo GV.OC-04: funzione, categoria, numero. GV.OC-04, per esempio, chiede che gli obiettivi, le capacità e i servizi critici da cui dipendono gli stakeholder esterni siano compresi e comunicati. ID.AM-01 riguarda l'inventario dell'hardware gestito dall'organizzazione, DE.CM-01 il monitoraggio di reti e servizi di rete, RC.RP-03 la verifica dell'integrità dei backup prima di usarli per un ripristino.

Abbiamo contato le voci nell'Appendice A del CSWP 29: 22 categorie e 106 sottocategorie. La sola funzione Govern ne conta 6 e 31, poco meno di un terzo del core. La numerazione ha dei salti voluti: corrispondono a sottocategorie della 1.1 spostate altrove nella 2.0.

Profili e Tier: come si usa il framework

Profilo attuale e profilo target

Lo strumento operativo del CSF è il profilo organizzativo, che descrive la postura di sicurezza in termini di risultati del core. Ce ne sono due:

• il profilo attuale (Current Profile): quali risultati l'organizzazione raggiunge oggi, e fino a che punto;
• il profilo target (Target Profile): quali risultati ha scelto di raggiungere, con le priorità, tenendo conto di requisiti nuovi, tecnologie che entrano in azienda e andamento delle minacce.

Il documento propone cinque passi: definire il perimetro del profilo, raccogliere le informazioni (politiche, analisi d'impatto, standard già seguiti), costruire il profilo, analizzare il gap fra attuale e target con un piano d'azione a priorità, attuare il piano e aggiornare il profilo. Esistono anche i Community Profile, profili di riferimento pubblicati per un settore o una minaccia, che si possono prendere come base per il proprio target.

I quattro Tier

I Tier descrivono quanto sono rigorose le pratiche di governo e gestione del rischio cyber. Non sono livelli di certificazione, sono un linguaggio per dire dove si è e dove si vuole arrivare:

1. Tier 1, Partial: gestione del rischio caso per caso, priorità non legate agli obiettivi, scarsa consapevolezza dei rischi dei fornitori.
2. Tier 2, Risk Informed: pratiche approvate dal management ma non ancora politica aziendale, consapevolezza dei rischi senza un approccio comune a tutta l'organizzazione.
3. Tier 3, Repeatable: pratiche formalizzate come politica, approccio esteso a tutta l'organizzazione, aggiornamento regolare in base a minacce e cambiamenti del business.
4. Tier 4, Adaptive: pratiche che si adattano con le lezioni apprese, e un vertice che segue il rischio cyber nello stesso contesto dei rischi finanziari e degli altri rischi d'impresa.

Il NIST incoraggia a salire di Tier quando rischi o obblighi crescono, o quando il rapporto costi benefici lo giustifica. Non è un traguardo da raggiungere per forza.

Perché un'azienda italiana lo incontra già: Framework nazionale e NIS2

In Italia il CSF arriva soprattutto per una strada indiretta. La Determinazione ACN 379907/2025, che fissa le misure di sicurezza di base per i soggetti NIS2, richiama nelle premesse il Framework nazionale per la cybersecurity e la data protection, edizione 2025, realizzato da CIS Sapienza e CINI in collaborazione con ACN. All'articolo 1 definisce le misure di base come specifiche sviluppate in accordo al Framework nazionale e organizzate in funzioni, categorie, sottocategorie e requisiti. ACN, in una notizia del 15 maggio 2025, scrive che dal NIST CSF sono stati ripresi elementi cardine per caratterizzare il Framework nazionale.

Lo abbiamo verificato sui codici. L'allegato 1 della determinazione, quello per i soggetti importanti, elenca 37 misure, e tutti i 37 codici esistono identici nel core del CSF 2.0: 11 in Govern, 9 in Identify, 12 in Protect, 2 in Detect, 2 in Respond, 1 in Recover. La prima misura è proprio GV.OC-04, con la formulazione del NIST resa in italiano, a cui ACN aggiunge un requisito concreto: mantenere un elenco aggiornato dei sistemi informativi e di rete rilevanti.

In pratica, chi deve adeguarsi alle misure ACN lavora già dentro lo schema del CSF: un soggetto importante su 37 delle sue 106 sottocategorie, un soggetto essenziale su 43 (allegato 2), con in più i requisiti che ACN ha scritto per ciascuna. Il Framework nazionale, con la sua storia e la parte di data protection, è spiegato nella guida al Framework nazionale per la cybersecurity e la data protection; le misure richieste dal decreto in art. 21 NIS2, lettera per lettera.

NIST CSF e ISO 27001: differenze e uso combinato

Spesso vengono messe sullo stesso piano, ma rispondono a domande diverse. Il confronto completo, con i criteri per scegliere, è in ISO 27001 vs NIST CSF.

• ISO/IEC 27001 specifica i requisiti per stabilire, attuare, mantenere e migliorare un sistema di gestione per la sicurezza delle informazioni, con la valutazione e il trattamento del rischio. Chi dichiara conformità non può escludere nessuno dei requisiti dei punti dal 4 al 10, come scrive il punto 1 della norma nell'edizione UNI CEI EN ISO/IEC 27001:2024+A1:2024. I controlli dell'Allegato A si scelgono in base al rischio, e la conformità si certifica con un organismo accreditato.
• NIST CSF 2.0 descrive risultati e non prescrive come ottenerli. Non si certifica: nelle sue FAQ il NIST dichiara di non offrire certificazioni per implementazioni o servizi legati al CSF e di non avere in programma uno schema di valutazione della conformità.

Per questo si usano bene insieme. La 27001 dà il motore: ruoli, politica, rischio, audit interni, riesame della direzione, miglioramento continuo. Il CSF dà un vocabolario che il consiglio di amministrazione capisce, e un modo di misurare il progresso con il profilo attuale e il profilo target. Nella nostra lettura, sottocategorie come GV.RR-01 (la leadership è responsabile del rischio cyber) parlano lo stesso linguaggio del punto 5 della norma, Leadership; il collegamento puntuale va però fatto su una mappatura, non a intuito.

Le mappature esistono. Il catalogo dei riferimenti informativi del CSF 2.0 elenca una corrispondenza fra ISO/IEC 27001:2022 e CSF 2.0; il NIST avverte che sulle mappature prodotte da terzi non fa verifiche di correttezza, quindi vanno lette con spirito critico. In Italia c'è anche un ponte formale: la UNI/PdR 174:2025, pubblicata il 30 aprile 2025 con il supporto di ACN, definisce un sistema di gestione armonizzato con la ISO/IEC 27001 e con il NIST CSF 2.0. ACN la descrive come un ponte metodologico che consente a chi è già certificato ISO/IEC 27001 di estendere il proprio sistema di gestione ai controlli e alle misure richieste dal NIST CSF.

Il confronto fra obblighi NIS2 e certificazione è in NIS2 vs ISO 27001, il percorso completo della norma nella guida alla ISO 27001.

Da dove partire

1. Chiarire perché lo usi. Obblighi NIS2, richiesta di un cliente, reporting al consiglio: il motivo decide il perimetro del primo profilo.
2. Scaricare il core. Il NIST lo pubblica gratis, con un Reference Tool che lo esporta in formati leggibili e processabili. Se sei soggetto NIS2, affiancalo all'allegato ACN che ti riguarda.
3. Costruire il profilo attuale sottocategoria per sottocategoria, con le evidenze. Il metodo è quello di una gap analysis.
4. Fissare il profilo target e il Tier a cui puntare, con il vertice aziendale, e trasformare il gap in un piano con priorità, responsabili e date.
5. Ancorarlo a un sistema di gestione. Senza un ciclo di riesame il profilo resta una fotografia; con la 27001 diventa una misura che si ripete.

In sintesi

Il NIST CSF 2.0 è un catalogo volontario di 106 risultati di sicurezza in sei funzioni, con Govern al centro. Non si certifica e non sostituisce la ISO/IEC 27001, ma in Italia pesa più di quanto sembri: le misure NIS2 di ACN ne riprendono codici e struttura. Usarlo bene significa misurare il profilo attuale, scegliere un target e reggerlo nel tempo con un sistema di gestione.

Se vuoi costruire quel sistema di gestione sulla ISO/IEC 27001 e collegarlo alle sottocategorie del CSF e alle misure ACN, guarda come lavoriamo sulla certificazione ISO 27001.