Resposta direta. O NIST Cybersecurity Framework 2.0 (NIST CSF 2.0) é a versão publicada pelo NIST em 26 de fevereiro de 2024 e organiza a cibersegurança em seis funções: Governar, Identificar, Proteger, Detectar, Responder e Recuperar. Governar entrou nesta versão e coloca direção, papéis e supervisão no centro, o que a torna a função mais próxima da pauta do board.
Por que um framework de cibersegurança virou pauta de diretoria
A pergunta que chega ao responsável por segurança na reunião de board não precisa começar pelo framework. Ela pode começar pelo dinheiro já gasto: o que foi implantado está reduzindo exposição, e quais evidências sustentam essa leitura. Estudos da Vultus e da BugHunt oferecem recortes distintos sobre maturidade e investimento no Brasil, com amostras e metodologias que não permitem comparação causal direta.
O NIST CSF 2.0 entra aqui como a linguagem comum que torna a conversa possível. Ele organiza o que precisa existir, em seis funções, de um jeito que a diretoria consegue acompanhar e que um auditor consegue conferir. Medir se cada um desses itens está ativo no ambiente continua sendo trabalho da empresa, e o framework sozinho não faz esse trabalho.
O que é o NIST CSF 2.0 e o que mudou em relação à versão 1.1
O NIST CSF 2.0 é o framework de cibersegurança do National Institute of Standards and Technology, órgão do governo dos Estados Unidos, publicado em 26 de fevereiro de 2024 [NIST]. O Núcleo do framework tem 6 funções, 22 categorias e 106 subcategorias, contra as 5 funções, 23 categorias e 108 subcategorias da versão 1.1 [NIST].
Três mudanças importam para quem precisa defender investimento:
- A função Governar (GV) foi criada. Direção, papéis, política, supervisão e risco de cadeia de fornecedores deixaram de ficar espalhados entre as outras funções e ganharam lugar próprio.
- O escopo deixou de ser infraestrutura crítica. A versão 1.1 nasceu voltada a setores críticos. A 2.0 é declarada aplicável a qualquer organização, de qualquer porte e setor.
- Os Perfis Organizacionais ficaram centrais. O framework pede um Perfil Atual (o que existe hoje) e um Perfil Alvo (onde a organização quer chegar), e é a distância entre os dois que vira plano de ação e vira conversa de orçamento.
Essa terceira mudança é a que muda a reunião de board. Perfil Atual contra Perfil Alvo é uma diferença mensurável, e diferença mensurável é o formato que a diretoria já sabe ler.
Quais são as seis funções do NIST CSF 2.0
Cada função abaixo aparece com o que ela cobra e, mais importante para o objetivo deste artigo, com o que ela deixa verificável no ambiente. Verificável significa que existe um estado observável no tráfego, no log ou na configuração, e não apenas um documento assinado.
Governar (GV): quem responde, com qual política e sob qual supervisão
Governar cobre contexto organizacional, estratégia de gestão de risco, papéis e autoridades, política, supervisão e risco cibernético de cadeia de fornecedores. São seis categorias, o maior número entre as seis funções.
O que deixa verificável: se existe um dono nomeado por risco, se a política está vigente e revisada com data, se o board recebe reporte com periodicidade definida, e se os fornecedores com acesso ao ambiente passaram por avaliação. O ponto de atenção prático: no estudo IBM Cost of a Data Breach 2025, violações iniciadas por comprometimento de terceiros e da cadeia tiveram custo médio de R$ 8,98 milhões no Brasil, e esse vetor mora dentro de Governar.
Identificar (ID): o que a empresa tem e onde ela está exposta
Identificar cobre gestão de ativos, avaliação de risco e melhoria contínua. Uma pergunta prática dessa função é: quantos ativos, contas e aplicações existem, e quem responde por eles?
O que deixa verificável: inventário de ativos com dono e data de atualização, inventário de identidades humanas e de máquina, e um registro de risco que aponta prioridade em vez de listar tudo com o mesmo peso.
Proteger (PR): os controles que limitam o alcance de um acesso
Proteger cobre gestão de identidade, autenticação e controle de acesso, conscientização e treinamento, segurança de dados, segurança de plataforma e resiliência de infraestrutura tecnológica.
O que deixa verificável: se a autenticação multifator está aplicada nas aplicações previstas pela política, se o privilégio mínimo aparece no acesso concedido e qual alcance o acesso remoto oferece. Princípios de Zero Trust contribuem para essa função, ao lado de controles das demais funções.
Detectar (DE): se o ambiente veria o evento acontecendo
Detectar cobre monitoramento contínuo e análise de eventos adversos. São duas categorias, e uma pergunta direta: o ambiente enxergaria esse evento hoje, no momento em que ele acontece?
O que deixa verificável: quais fontes de log chegam de fato ao monitoramento e quais foram configuradas e pararam de enviar, qual o tempo entre o evento e o alerta, e quantos alertas são fechados sem análise por volume. Um controle de detecção configurado no papel e sem coleta ativa aparece como cobertura no relatório e como ponto cego no incidente.
Responder (RS): o que acontece nas primeiras horas
Responder cobre gestão do incidente, análise, comunicação e reporte, e mitigação. É a função que separa plano escrito de plano exercitado.
O que deixa verificável: a data do último exercício de resposta, quem foi acionado e em quanto tempo, se a comunicação regulatória tem prazo e responsável definidos, e se a contenção foi executada por procedimento ou por improviso de quem estava disponível.
Recuperar (RC): quanto tempo até a operação voltar
Recuperar cobre execução do plano de recuperação e comunicação da recuperação. É a função mais próxima da linguagem de continuidade de negócio que o board já usa.
O que deixa verificável: a data do último teste de restauração de backup com sucesso comprovado, o tempo real dessa restauração comparado ao objetivo declarado, e a ordem de prioridade de retorno dos sistemas.
Por que a função Governar é a que muda a reunião de board
A função Governar inclui direção, supervisão e apetite a risco no framework. Com isso, o board pode ser tanto destinatário do relatório quanto parte do contexto organizacional avaliado.
A consequência prática favorece quem precisa defender orçamento. Quando a supervisão vira item verificável, a pergunta "a diretoria recebe reporte de risco cibernético com que frequência" tem resposta objetiva, e a ausência de resposta passa a ser uma lacuna nomeada dentro do framework, com dono e prazo, em vez de uma queixa do time de segurança.
Governar também inclui risco de cadeia de fornecedores. Informações públicas sobre os incidentes da C&M Software e da Sinqia, em 2025, destacaram credenciais e fornecedores conectados. Os relatos não demonstram que uma avaliação específica teria evitado os eventos; eles reforçam a necessidade de conhecer dependências, acessos e responsabilidades na cadeia.
Como transformar as seis funções em um número que se defende
Framework organiza. A medição acrescenta evidências. A ponte entre os dois pode começar por três decisões, que podem exigir ou não mudanças tecnológicas conforme o ambiente.
Primeiro, separe controle aplicável de controle ativo. Nem toda subcategoria do CSF 2.0 se aplica a todo ambiente. O denominador honesto é o conjunto de controles aplicáveis ao ambiente daquela empresa, com a justificativa escrita de cada exclusão. O numerador é o conjunto desses controles que está ativo no ambiente hoje, verificado no tráfego, no log ou na configuração.
Segundo, defina o que conta como ativo antes de medir. Um controle configurado sem enforcement, ou com coleta interrompida, conta como inativo. Essa regra precisa estar escrita antes da primeira medição, porque é ela que impede o índice de subir por interpretação generosa.
Terceiro, defina uma cadência compatível com o ambiente. Avaliações pontuais têm escopo e período definidos. Reapurar o índice ao longo do trabalho contratado permite observar mudanças sem substituir auditorias ou testes exigidos.
É esse cálculo que a NowCy opera como NowCy Trust Maturity (NTM). O NTM mede se as iniciativas de segurança que a empresa já implantou estão funcionando, controle a controle, no ambiente que a empresa já opera: a razão entre controles ativos e controles aplicáveis ao ambiente, um ponto por controle, em ciclo contínuo de quatro fases (diagnóstico, priorização, ativação e medição contínua), com dashboard de acesso somente leitura para o cliente.
O framework pode ser usado como referência de escopo e linguagem. Este artigo não afirma que cada controle do NTM possui correspondência individual validada com uma subcategoria do NIST CSF 2.0 nem que o índice representa um percentual de conformidade com o framework.
Exemplo ilustrativo: um controle que constava como implantado
O cenário a seguir é fictício e composto, criado apenas para demonstrar a diferença entre declaração e evidência. Não descreve cliente nem resultado real da NowCy. Considere uma instituição financeira de médio porte, com cerca de 1.200 usuários, VPN e firewall legado, cuja política afirma que a autenticação multifator cobre todo acesso remoto.
A medição controle a controle encontrou o cenário real: a autenticação multifator estava ativa no acesso corporativo padrão e ausente em um conjunto de aplicações legadas acessadas por um grupo pequeno de usuários com privilégio elevado, exatamente o perfil de conta que um atacante procura. O controle constava como implantado na função Proteger (PR.AA) e estava inativo na parte do ambiente que mais importava.
Nesse exemplo, a verificação permitiria registrar a lacuna e priorizá-la segundo os critérios do ambiente. Prazo, investimento e efeito no índice dependeriam do escopo e das evidências reais.
O NIST CSF 2.0 convive com a ISO/IEC 27001 e com os CIS Controls v8
Ao escolher referências, a pergunta é qual objetivo cada documento atende. Os três têm escopos diferentes e podem ser usados de forma complementar.
O NIST CSF 2.0 organiza resultados de cibersegurança em seis funções. A ISO/IEC 27001:2022 especifica requisitos para um sistema de gestão certificável e inclui um Anexo A de controles. Os CIS Controls v8 reúnem salvaguardas priorizadas por grupos de implementação. A escolha depende do objetivo, das obrigações e do contexto da organização.
O NIST publica Referências Informativas para relacionar resultados do CSF a outras fontes. Essas relações apoiam a análise, mas não criam equivalência integral nem substituem a validação de cada requisito.
Perguntas frequentes sobre o NIST CSF 2.0
Quantas funções tem o NIST CSF 2.0? Seis: Governar, Identificar, Proteger, Detectar, Responder e Recuperar. A versão 1.1 tinha cinco, e Governar foi acrescentada na versão 2.0, publicada em fevereiro de 2024 [NIST].
O que a função Governar acrescentou ao framework? Governar reúne contexto organizacional, estratégia de risco, papéis e autoridades, política, supervisão e risco de cadeia de fornecedores em uma função própria. Ela coloca a direção da empresa dentro do escopo avaliado, o que dá base objetiva para reporte ao board.
O NIST CSF 2.0 serve para empresa brasileira que não é infraestrutura crítica? Sim. A versão 2.0 declara aplicação a organizações de qualquer porte, setor ou nível de maturidade. No Brasil, seu uso pode apoiar gestão de risco e due diligence, sem substituir requisitos legais ou certificações.
Adotar o NIST CSF 2.0 gera certificação? Não. O CSF 2.0 é um framework voluntário, sem organismo certificador. A certificação em segurança da informação vem da ISO/IEC 27001, que é norma certificável e tem processo de auditoria próprio.
Como medir maturidade no NIST CSF 2.0? O framework oferece Perfis Organizacionais e Tiers. Eles não são a fórmula do NTM. No trabalho contratado, o NTM calcula a razão entre controles ativos e aplicáveis no escopo definido; qualquer relação com resultados do CSF precisa ser explicitada e validada.
Qual a diferença entre o NIST CSF 2.0 e o NIST SP 800-207? São documentos com funções distintas do mesmo instituto. O NIST CSF 2.0 é o framework geral de gestão de risco cibernético, com as seis funções que organizam o programa inteiro. O NIST SP 800-207 é a publicação específica que define a arquitetura Zero Trust, com os princípios e os componentes lógicos de decisão e aplicação de acesso. Na prática, o CSF 2.0 organiza o programa e o SP 800-207 orienta o desenho da arquitetura de acesso que sustenta boa parte da função Proteger.
O NIST CSF 2.0 atende às exigências do Banco Central? Ele pode ajudar a organizar a resposta, sem substituir a norma. A Resolução CMN 4.893/2021 alcança as instituições autorizadas pelo Banco Central no escopo definido por seu texto e foi alterada pela Resolução CMN 5.274/2025. Para grupos sujeitos à regulamentação paralela do BCB, devem ser observadas a Resolução BCB 85/2021 e sua alteração pela Resolução BCB 538/2025. O framework não certifica atendimento; a instituição precisa avaliar a norma aplicável com compliance e assessoria jurídica.
Das seis funções para o estado real do seu ambiente
Este texto responde a uma pergunta de estrutura. A pergunta seguinte é de estado: das subcategorias que se aplicam ao seu ambiente hoje, quantas estão de fato ativas.
Se você quiser começar por essa segunda pergunta, o diagnóstico gratuito coleta o contexto e orienta o próximo passo. Ele não entrega lista de controles, índice ou priorização. Essas saídas pertencem à avaliação contratada do NTM.
A NowCy é uma boutique de arquitetura Zero Trust e opera como ecossistema: a consultoria projeta a arquitetura; o NowCy Trust Maturity (NTM), quando contratado, mede o estado dos controles aplicáveis; o NowCy Academy apoia programas de conscientização; e o Zero Trust Experts (ZTE) reúne uma comunidade de pares.