NIST CSF.
Describir los riesgos de ciberseguridad con un lenguaje común de resultados y priorizar las mejoras dentro de un alcance adecuado.
- NIST CSWP 29 · CSF 2.0
- Por Jonathan Bezdek
- Actualizado: 22/10/2026
- Tiempo de lectura: 8 min.
Respuesta breve.
NIST CSF es un marco de gestión de riesgos de ciberseguridad para organizaciones de distintos tamaños y sectores. NIST Cybersecurity Framework 2.0 organiza los resultados deseados en seis funciones. Los perfiles actuales y objetivo ayudan a priorizar mejoras. El marco no prescribe una lista uniforme de medidas; los niveles describen el grado de gobierno del riesgo.
NIST Cybersecurity Framework 2.0.
NIST CSF 2.0 describe resultados que la dirección, las áreas funcionales y los equipos de seguridad pueden discutir conjuntamente. La edición se publicó el 26 de febrero de 2024 como NIST CSWP 29. La página actual del editor sigue recogiendo esa edición básica; otras guías y perfiles comunitarios complementan su aplicación. Por ello, un documento complementario publicado después no es automáticamente una nueva versión del marco.
El núcleo, o Core, organiza los resultados por funciones, categorías y subcategorías. Un perfil organizativo registra qué resultados se alcanzan o se pretenden para un alcance determinado. Los niveles, o Tiers, aportan contexto adicional sobre el gobierno del riesgo. NIST SP 1299 explica por separado estos tres elementos: una visión de temas, un perfil y una caracterización de la forma de trabajar responden a preguntas distintas.
La implantación concreta sigue dependiendo del contexto. NIST CSWP 29, apartado 1, se dirige a distintos sectores y tamaños de organización sin prescribir un catálogo idéntico de medidas. Para la aplicación operativa, esto implica conectar un resultado con los servicios, riesgos y responsabilidades propios antes de convertirlo en una tarea de implantación razonable.
A quién se dirige NIST CSF.
NIST CSF es adecuado para organizaciones que desean justificar de forma comprensible sus prioridades de seguridad y conectarlas con sus objetivos de negocio. La página pública de la publicación de NIST menciona expresamente distintos tamaños, sectores y situaciones iniciales. El marco puede apoyar tanto los primeros pasos como la reevaluación de un programa de seguridad existente. Un alto desarrollo técnico no hace innecesaria la decisión sobre riesgos aceptables.
Su aplicación es, en principio, voluntaria; las exigencias legales, administrativas o contractuales concretas deben examinarse por separado. Las preguntas frecuentes actuales de NIST señalan posibles requisitos externos. Para una empresa alemana, su origen en el Departamento de Comercio de EE. UU. no implica ni una obligación general de uso ni una exclusión. Aclare en la práctica si un cliente espera un perfil, una evaluación u otra acreditación determinada.
Las seis funciones de NIST CSF.
Las seis funciones del CSF organizan resultados relacionados de ciberseguridad. NIST CSWP 29, apartado 2, las trata simultáneamente; su orden no es una secuencia de fases de proyecto que se concluyen una sola vez. Las explicaciones siguientes describen las áreas principales con palabras propias.
Govern: aclarar la orientación y la responsabilidad.
Govern conecta las decisiones de seguridad con la misión de la organización, sus expectativas de riesgo y la supervisión de la dirección. Las responsabilidades y el tratamiento de dependencias externas forman parte de ese contexto. En la práctica, una disposición solo resulta utilizable cuando se identifica quién puede decidir sobre las desviaciones.
Identify: comprender los riesgos en el contexto operativo.
Identify se centra en los activos existentes y los riesgos asociados. Incluye qué información, servicios y dependencias son significativos para la operación. Un inventario apoya este trabajo; una simple lista todavía no explica la importancia empresarial ni la relación con proveedores.
Protect: operar una protección adecuada.
Protect se refiere a las medidas con las que las organizaciones limitan los riesgos para sus servicios e información. Personas, procedimientos y tecnología colaboran en ello. La configuración adecuada debe derivarse del contexto propio; el nombre de la función por sí solo no decide un producto ni una configuración concreta.
Detect: reconocer y clasificar anomalías.
Detect aborda la capacidad de advertir y analizar posibles eventos perjudiciales. Por ello, en la evaluación práctica también cuenta si las observaciones generan una decisión comprensible. Una herramienta de supervisión encendida todavía no permite concluir nada sobre cobertura, tramitación o calidad de la detección.
Respond: actuar coordinadamente ante incidentes.
Respond organiza las actuaciones relacionadas con un incidente de ciberseguridad detectado. La organización debe coordinar su respuesta con los participantes afectados. Como comienzo práctico, ayuda un ejercicio que examine las vías de decisión y la información disponible; los umbrales legales de notificación deben considerarse además por separado.
Recover: recuperar la operación.
Recover considera la recuperación de las capacidades afectadas y la comunicación asociada. La preparación empieza antes de un incidente. Por ello, en el día a día los responsables deben poder comprobar si es posible reiniciar bajo las dependencias asumidas y qué decisiones se necesitan realmente durante una perturbación.
Aplicar NIST CSF con perfiles.
Acordar el alcance y la finalidad.
Como primer paso práctico, delimite un servicio o área organizativa y aclare qué pregunta de riesgo desea responder la dirección con el perfil.
Reunir la información existente.
Siguiendo NIST SP 1301, recopile los objetivos, riesgos, requisitos, responsabilidades e información operativa relevantes para ese alcance.
Distinguir los perfiles actual y objetivo.
Describa de forma trazable el estado alcanzado y defina por separado qué resultados se pretenden y con qué prioridad.
Decidir sobre las mejoras.
Evalúe las diferencias y determine trabajo concreto, responsables y recursos, en lugar de asignar la misma importancia a todas las mejoras posibles.
Implantar y reevaluar.
Siga el plan acordado y actualice los perfiles ante nuevos hallazgos o cambios en los riesgos; los pasos constituyen un comienzo repetible basado en NIST SP 1301.
Evaluar perfiles y niveles de forma trazable.
Un perfil CSF es una representación fundamentada del estado examinado. NIST SP 1301 distingue perfiles actual y objetivo: el primero describe resultados alcanzados; el segundo, los objetivos y prioridades seleccionados. Un perfil comunitario puede orientar; la página de perfiles de NIST lo describe como una base inicial común de un grupo. Deben seguir explicándose los límites propios y las decisiones reales.
Los cuatro niveles se denominan Partial, Risk Informed, Repeatable y Adaptive. Según NIST SP 1302, caracterizan el grado de gobierno y gestión del riesgo. Su selección considera, entre otros aspectos, objetivos, riesgos, requisitos y recursos disponibles. Complementan la metodología de riesgos; no sustituyen ni una evidencia concreta ni una decisión justificada sobre el estado necesario.
Una evaluación interna o externa contratada debe identificar alcance, fecha, método y límites de sus conclusiones. NIST no ofrece certificación CSF; por ello, un informe privado de evaluación no debe denominarse certificado emitido por NIST. Para mantenerlo, debe definirse de forma práctica qué cambios activan una reevaluación. Del CSF no puede deducirse una vigencia general de certificado.
Entender otros marcos.
ISO 27001 describe requisitos de un sistema de gestión de seguridad de la información con una posible certificación. NIST SP 800-53 ofrece un catálogo detallado de controles de seguridad y privacidad, mientras que CIS Controls organiza prácticas de protección priorizadas. Estas ayudas pueden concretar el trabajo operativo; su aplicación debe evaluarse por separado de la representación de un perfil CSF.
En Secani.
Secani ofrece un catálogo editorial de trabajo en alemán e inglés sobre NIST CSF 2.0. Los datos existentes del perfil recogen, entre otros, la fecha de evaluación, el alcance acordado y la finalidad del perfil como estado actual, objetivo o ambos. El catálogo no sustituye el texto inglés del editor ni la evaluación especializada; no promete determinar automáticamente los niveles ni obtener una certificación NIST.
Empezar con una pregunta concreta de riesgo.
Elija un servicio representativo e identifique qué decisión debe preparar el perfil. Documente el alcance, incluidos proveedores importantes y procesos de apoyo. Recopile los registros existentes antes de describir un estado objetivo. Así será visible qué afirmaciones ya son sólidas y dónde hace falta primero una comprobación adicional.
Fuentes.
- NIST: centro actual de recursos CSF 2.0
- NIST CSWP 29: Cybersecurity Framework 2.0, 26 de febrero de 2024
- NIST: página de publicación de CSF 2.0
- NIST SP 1299: Resource & Overview Guide
- NIST SP 1301: perfiles organizativos
- NIST: perfiles y plantillas actuales
- NIST SP 1302: uso de los niveles del CSF
- NIST: preguntas frecuentes sobre el CSF
Preguntas frecuentes.
No. CSF 2.0 está diseñado para organizaciones de distintos países, tamaños y sectores; las posibles exigencias legales o contractuales de uso deben examinarse por separado.
No. Los niveles caracterizan el gobierno y la gestión del riesgo en cada contexto; no son grados de certificación otorgados por NIST ni calificaciones universales de madurez.
No. NIST SP 1302 orienta la selección según objetivos, riesgos, requisitos y viabilidad; una clasificación superior no es un fin general en sí mismo.
No. Un perfil CSF y una certificación del SGSI expresan cosas diferentes; una acreditación exigida contractualmente debe examinarse según el texto y el ámbito acordados.
Conectar resultados y evidencias.
Hable sobre cómo estructurar el trabajo de su programa de seguridad en Secani.
Esta página explica NIST CSF 2.0 con palabras propias. Son determinantes las publicaciones del editor; evaluar un perfil no sustituye el examen separado de obligaciones legales o contractuales.