直接答案：NIST Cybersecurity Framework (CSF) 2.0 于 2024-02-26 发布（NIST CSWP 29），核心是 6 个 Function、22 个 Category、106 个 Subcategory：Govern（治理）、Identify（识别）、Protect（保护）、Detect（检测）、Respond（响应）、Recover（恢复）。2.0 最大的变化是把 Govern 提为一级 Function，并把网络安全与企业风险管理（ERM）、供应链风险管理（SCRM）明确连起来。它不是认证、不是法律、也不规定“具体怎么做”，而是给出一套结果导向的共同语言：用 Current Profile 描述现状、Target Profile 描述目标、Tiers 描述治理/管理 rigor，再做差距分析。对出口企业/网站运营方，它最适合用来回答客户安全问卷、梳理供应链安全、把 NIS2/DORA/CRA 等要求映射到一套可沟通的框架，而不是“再考一个证”。
本文面向企业管理者、CISO/安全负责人、IT/运维、采购和合规团队，解释 CSF 2.0 的结构、Govern 的作用、Tiers/Profiles 怎么用、与 NIS2/DORA/CRA/ISO 27001 的区别、客户问卷/供应链场景和 90 天落地清单。资料来自 NIST CSF 2.0 官方页面、NIST CSWP 29 原文（2024-02-26）与 CSF 2.0 Quick-Start Guides（均于 2026-11-08 访问）。本文把“官方框架事实”“编辑统计”和“实施建议”分开写，不构成认证、法律或采购建议。
① CSF 2.0 = 6 Functions / 22 Categories / 106 Subcategories；Govern 是新增的一级 Function，管战略、角色、政策、供应链与监督。② Tiers 不是“等级证书”，Tier 4 也不是必须；它描述治理/管理 rigor，要和风险相匹配。③ CSF 是 voluntary、结果导向、不规定“怎么做”；用它做 Current/Target Profile 和差距分析，比“追求认证”更有用。
CSF 2.0 一览：6 / 22 / 106
CSF 2.0 的 Core 是“Function → Category → Subcategory”的三层结构；按官方 Core 的 ID 统计，共 6 个 Function、22 个 Category、106 个 Subcategory。六个 Function 是 GV（Govern）、ID（Identify）、PR（Protect）、DE（Detect）、RS（Respond）、RC（Recover）。Govern 不是“第六个并列项”，而是给另外五个 Function 提供战略、优先级、政策、角色和监督的“顶层约束”；这也是 2.0 相比 1.1 最重要的结构变化。CSF 还提供 Organizational Profiles、Tiers、Informative References、Implementation Examples 和 Quick Start Guides。
| 项目 | 数据 | 说明 |
|---|---|---|
| 版本/日期 | CSF 2.0 / 2024-02-26 | NIST CSWP 29 |
| Function | 6 | Govern、Identify、Protect、Detect、Respond、Recover |
| Category | 22 | 按 Core ID 统计 |
| Subcategory | 106 | 结果导向，不规定具体控制 |
| Profiles | Current / Target | 描述现状/目标，做差距分析 |
| Tiers | 1–4 | Partial / Risk Informed / Repeatable / Adaptive |
| 性质 | Voluntary | 不是认证、不是法律 |
来源：NIST CSF 2.0 官方页面与 NIST CSWP 29（2024-02-26）；6/22/106 为编辑按 Core ID（GV/ID/PR/DE/RS/RC）统计，访问 2026-11-08。CSF 是自愿框架，不提供认证。
六个 Function：Govern 为什么单独提出来
Govern 覆盖网络安全风险战略、期望、政策、角色/职责/权限、供应链风险管理和监督；它决定另外五个 Function 的优先级和资源。Identify 关注资产、风险与改进；Protect 关注身份/访问、意识培训、数据安全、平台安全与韧性；Detect 关注异常/事件分析与持续监控；Respond 关注事件管理、分析、沟通与缓解；Recover 关注恢复计划与沟通。按 Subcategory 数量，Govern 31 条最多，说明 2.0 把“治理”从“软要求”变成了可检查的结果。
| Function | 重点 | Category 数 | Subcategory 数 |
|---|---|---|---|
| GV Govern | 战略、政策、角色、供应链、监督 | 6 | 31 |
| ID Identify | 资产、风险、改进 | 3 | 21 |
| PR Protect | 身份/访问、培训、数据、平台、韧性 | 5 | 22 |
| DE Detect | 异常分析、持续监控 | 2 | 11 |
| RS Respond | 事件管理、分析、沟通、缓解 | 4 | 13 |
| RC Recover | 恢复计划、沟通 | 2 | 8 |
来源：NIST CSWP 29 Appendix A（CSF Core）；Category/Subcategory 计数为编辑按 ID 统计（访问 2026-11-08）。Function 的先后/大小不代表重要性或执行顺序。
Tiers：治理/管理 rigor，不是“认证等级”
CSF Tiers 从 Tier 1 Partial 到 Tier 4 Adaptive，描述组织在“网络安全风险治理”和“风险管理”上的 rigor：越往上，越制度化、越以风险为依据、越能持续改进。Tiers 不是成熟度评分，也不是“必须到 4”；组织应按业务/威胁/资源选择合适 Tier，并用它做内部沟通和跨部门对齐。把 Tier 4 当 KPI 会导致过度投入；长期停在 Tier 1 又会在客户问卷/供应链审查中吃亏。
| Tier | 特征 | 适用/注意 |
|---|---|---|
| 1 Partial | 临时、被动、case-by-case；组织级风险意识有限 | 起步；先补 Govern/资产/基础控制 |
| 2 Risk Informed | 管理层批准，但未必全组织政策；按风险目标排优先级 | 多数中小企业的现实目标 |
| 3 Repeatable | 组织级政策/流程，定期更新，可重复 | 有客户/供应链审查压力时 |
| 4 Adaptive | 持续改进、适应威胁/技术变化，组织级风险知情 | 高对抗/关键业务；不是普遍必须 |
来源：NIST CSWP 29 Appendix B 与 Section 3（2024-02-26）。表中为编辑整理；Tier 选择应匹配风险/资源，不是越高越好。
Profiles：先写“现在”，再写“目标”
Organizational Profile 是 CSF 最实用的工具：Current Profile 记录“现在做到哪些 Subcategory”，Target Profile 记录“业务/风险要求做到哪些”，两者之差就是差距/路线图。Profile 可以按业务线、系统、地区、客户要求分别建；不必一次覆盖 106 条。对出口企业，Target Profile 可以直接对齐客户安全问卷、NIS2/DORA/CRA 条款或 ISO 27001 控制，避免“每个客户一套表”。
| 步骤 | 动作 | 产出 |
|---|---|---|
| 1. 范围 | 选业务/系统/地区/客户要求 | Profile 范围 |
| 2. 现状 | 按 106 Subcategory 打分/取证 | Current Profile |
| 3. 目标 | 按风险/合同/法规定目标 | Target Profile |
| 4. 差距 | Current vs Target | 差距清单、优先级 |
| 5. 路线图 | 负责人/预算/时间/证据 | 实施计划 |
| 6. 复盘 | 定期更新，纳入 ERM | 新版 Profile |
编辑整理的 Profile 用法，不是官方模板；具体模板/工具见 NIST CSF 2.0 Profiles 与 Quick Start Guides。
CSF 2.0 与 NIS2/DORA/CRA/ISO 27001 怎么配合
CSF 2.0 是自愿、结果导向的框架，不是法律；NIS2/DORA/CRA 是欧盟法规/合规要求，ISO 27001 是管理体系认证。四者不是替代关系：CSF 可以当“共同语言/差距分析/客户沟通”的顶层框架，法规条款和 ISO 控制作为“怎么做/证据”的来源。对同时面对欧盟客户和全球客户的企业，建议用 CSF 做统一治理视图，再把 NIS2/DORA/CRA/ISO 的要求映射到 Subcategory，避免多套体系各自为政。
| 框架 | 性质 | 最适合 | 不能替代 |
|---|---|---|---|
| NIST CSF 2.0 | 自愿框架 | 治理视图、差距分析、客户沟通 | 法规合规/认证 |
| NIS2 | 欧盟指令 | 欧盟实体/供应链安全义务 | 具体技术控制 |
| DORA | 欧盟法规 | 金融实体 ICT 风险/第三方 | 通用安全框架 |
| CRA | 欧盟法规 | 带数字元素产品安全 | 组织治理 |
| ISO/IEC 27001 | 可认证标准 | ISMS、证书、客户信任 | 具体技术结果 |
编辑整理的对比，不是法律意见；NIS2/DORA/CRA 的适用范围/义务以欧盟官方文本为准，ISO 认证以认证机构为准。
90 天落地清单
先用 90 天做“范围、现状、目标、差距、路线图”闭环，不要一上来买工具/做全量认证。第 1–2 周定范围和 Govern 责任；第 2–4 周做 Current Profile；第 4–6 周做 Target Profile/差距；第 6–8 周排优先级/预算；第 8–10 周做 1–2 个高优先级改进；第 10–12 周复盘并纳入 ERM/客户问卷。Govern 要先落地：谁负责、谁批准、多久复盘、供应链怎么管。
| 阶段 | 动作 | 产出 |
|---|---|---|
| 第 1–2 周 | 定范围/业务线/系统；明确 Govern 角色与审批 | 范围、RACI |
| 第 2–4 周 | 按 106 Subcategory 做 Current Profile | 现状评分/证据 |
| 第 4–6 周 | 按风险/合同/法规做 Target Profile | 目标、差距清单 |
| 第 6–8 周 | 排优先级、预算、负责人、时间表 | 路线图 |
| 第 8–10 周 | 做 1–2 个高优先级改进（如资产/身份/日志） | 改进证据 |
| 第 10–12 周 | 复盘、纳入 ERM/客户问卷、更新 Profile | 新版 Profile、汇报 |
编辑整理的落地建议，不是官方模板；具体范围/优先级/预算以企业风险与资源为准。
常见问题
CSF 2.0 什么时候发布？
2024-02-26，NIST CSWP 29；包含 6 个 Function、22 个 Category、106 个 Subcategory（按 Core ID 统计），以及 Profiles、Tiers 和在线资源。
CSF 2.0 是认证吗？
不是。CSF 是自愿框架，不提供认证/证书，也不规定具体控制；它给出一套结果导向的共同语言，具体“怎么做”由组织按风险选择标准/控制。
Govern 为什么重要？
Govern 管战略、政策、角色/职责、供应链风险和监督，决定另外五个 Function 的优先级和资源；2.0 把它提为一级 Function，是为了让网络安全进入企业风险管理/治理，而不是只停留在 IT 层。
Tier 4 是必须的吗？
不是。Tiers 描述治理/管理 rigor，不是成熟度评分；按业务/威胁/资源选合适 Tier，Tier 4 适合高对抗/关键业务，不是普遍 KPI。
106 条 Subcategory 都要做吗？
不必一次全做。用 Current/Target Profile 选范围，按风险/合同/法规定目标；106 条是完整 Core，不是每家企业都要全量覆盖。
CSF 和 NIS2/DORA/CRA 是什么关系？
CSF 是自愿框架，NIS2/DORA/CRA 是欧盟法规/指令；CSF 可做统一治理/差距分析/客户沟通，法规条款和 ISO 控制提供“怎么做/证据”，不能互相替代。
怎么用在客户安全问卷上？
把问卷问题映射到 CSF Subcategory，用 Target Profile 统一回答；把证据（政策/日志/测试/演练）挂到 Subcategory，避免每个客户重做一套。
从哪开始？
先定范围和 Govern 角色，再做 Current Profile（106 条中选范围），然后做 Target Profile/差距，排优先级，做 1–2 个高优先级改进，最后纳入 ERM/客户问卷。
研究方法与局限
本文把“官方框架事实”和“编辑整理”分开：CSF 2.0 的发布日期、6 个 Function、Govern/Identify/Protect/Detect/Respond/Recover、Tiers 1–4、Profiles、CSWP 29 与 Quick Start Guides，来自 NIST CSF 2.0 官方页面与 NIST CSWP 29（2024-02-26）；22 Category/106 Subcategory 及按 Function 的分布为编辑按 Core ID 统计；Tiers/Profiles 用法、与 NIS2/DORA/CRA/ISO 的对比、90 天清单为编辑建议。CSF 是自愿框架，不提供认证；法规/认证结论以官方文本/认证机构为准。
局限有八个：① 不构成认证/法律意见；② 只覆盖 CSF 2.0 的结构/用法，未逐条翻译 106 Subcategory；③ 未做真实企业评估/取证；④ 未展开所有 Informative References/Implementation Examples；⑤ 未评估具体工具/平台；⑥ 与 NIS2/DORA/CRA/ISO 的映射是编辑整理，未逐条核对；⑦ Tier 选择依赖企业风险/资源；⑧ 标准/资源可能更新，实施前应复核 NIST 官方页面。
数据来源与口径
- NIST, Cybersecurity Framework (CSF) 2.0：nist.gov/cyberframework。CSF 2.0、Profiles、Tiers、Quick Start Guides、资源。访问 2026-11-08。
- NIST, The NIST Cybersecurity Framework (CSF) 2.0（CSWP 29，2024-02-26）：nist.gov/publications/nist-cybersecurity-framework-csf-20。框架正文、Core、Tiers、Profiles。访问 2026-11-08。
- NIST, CSF 2.0 PDF：tsapps.nist.gov/publication/get_pdf.cfm?pub_id=957258。Appendix A Core、Appendix B Tiers。访问 2026-11-08。
- NIST, CSF 2.0 Quick-Start Guides：nist.gov/cyberframework/quick-start-guides。Organizational Profiles、Small Business、SCRM、Tiers、ERM 等。访问 2026-11-08。
资料截止 2026-11-08；CSF 条款/资源以 NIST 官方页面与 CSWP 29 为准；本文不构成认证、法律或采购建议。