Un quadro normativo è l'insieme di leggi, regole, standard e meccanismi di supervisione che determina come può essere svolta un'attività. Nel campo della sicurezza informatica, stabilisce che cosa le organizzazioni devono proteggere, come devono segnalare gli incidenti e quali controlli devono implementare per la privacy, la resilienza e la sicurezza.
Questo è importante perché la sicurezza non è solo un problema tecnico; è anche un problema di governance. Un quadro solido può imporre valutazioni del rischio, controlli degli accessi, registrazione dei log, crittografia, verifiche dei fornitori e notifica delle violazioni. Un quadro debole o obsoleto può lasciare lacune che gli aggressori sfruttano, soprattutto nelle infrastrutture critiche, nei servizi cloud e negli ambienti ricchi di dati. I difensori usano il quadro normativo per giustificare i budget, definire controlli minimi e allineare le operazioni agli obblighi legali, mentre gli aggressori spesso prendono di mira le organizzazioni che sono lente nell'adeguarsi o operano in giurisdizioni in conflitto tra loro.