Con la versión 2.0, el NIST Cybersecurity Framework se dirige por primera vez de forma explícita a organizaciones de cualquier tamaño y sector, y convierte la gobernanza en una función propia. VamiSec utiliza el CSF como marco de gestión que reúne ISO/IEC 27001, NIS2 y DORA en un mismo lenguaje.
El NIST Cybersecurity Framework (CSF) es el marco más utilizado del mundo para estructurar y comunicar los ciberriesgos. Con la versión 2.0 (NIST CSWP 29), publicada el 26 de febrero de 2024, el National Institute of Standards and Technology de EE. UU. presentó la primera revisión completa desde la creación del marco y amplió su ámbito de aplicación: de las infraestructuras críticas a organizaciones de cualquier tamaño y sector.
El CSF Core se estructura en seis funciones, 22 categorías y unas 106 subcategorías. Los perfiles organizativos (actual/objetivo), los niveles de implementación (Implementation Tiers, 1–4) y las referencias informativas —incluidos los mapeos con ISO/IEC 27001, CIS Controls y NIST SP 800-53— lo convierten en un instrumento de gestión: gratuito, no certificable, pero ideal para comunicar madurez y prioridades a la dirección y al consejo.
GOVERN es nueva en la versión 2.0 y envuelve a las cinco funciones operativas como capa de gobernanza.
Novedad de la 2.0: ancla el ciberriesgo en la dirección de la empresa: contexto organizativo, estrategia de gestión de riesgos, roles y responsabilidades, políticas, supervisión y gestión de riesgos de la cadena de suministro (Cybersecurity Supply Chain Risk Management).
Aporta transparencia sobre activos, procesos de negocio y riesgos: ¿qué protegemos y qué vulnerabilidades y oportunidades de mejora existen?
Abarca las medidas de protección: gestión de identidades y accesos, concienciación y formación, seguridad de los datos, bastionado de plataformas y una infraestructura tecnológica resiliente.
Garantiza que los ataques y anomalías se detecten y analicen a tiempo: desde la monitorización continua hasta el análisis de eventos.
Estructura la respuesta ante incidentes detectados: gestión de incidentes, análisis, notificación y comunicación, y medidas de contención.
Restablece sistemas y servicios tras un incidente, incluida la planificación de la recuperación y una comunicación de crisis transparente con las partes interesadas internas y externas.
El CSF no sustituye a ninguna regulación: traduce entre ellas.
Las referencias informativas vinculan las subcategorías del CSF directamente con los controles de ISO/IEC 27001. Su SGSI aporta la evidencia y el CSF la visión de gestión: ideal cuando certificación y gobierno deben ir de la mano.
GOVERN refleja la responsabilidad de los órganos de dirección del artículo 20 de la directiva NIS2; las funciones operativas cubren el catálogo de medidas del artículo 21, de la gestión de riesgos a la seguridad de la cadena de suministro.
Para las entidades financieras, el CSF estructura la gestión de riesgos de las TIC según DORA: IDENTIFY/PROTECT para protección y prevención, DETECT/RESPOND/RECOVER para detección, respuesta y recuperación.
Los CIS Controls traducen las subcategorías del CSF en medidas técnicas priorizadas (Safeguards): el camino más rápido de la lógica del marco al bastionado accionable.
Nuestro método con perfiles organizativos e Implementation Tiers.
Evaluamos la situación actual según las seis funciones y las 22 categorías, sobre la base de evidencias existentes, entrevistas y muestreos técnicos.
Junto con la dirección definimos el perfil objetivo y el nivel de implementación deseado (Tier 1–4), con un enfoque basado en riesgos y alineado con el modelo de negocio.
De la brecha entre el perfil actual y el objetivo surge una hoja de ruta priorizada con medidas, responsables, presupuestos y quick wins.
KPI por función, reevaluaciones periódicas e informes a la dirección hacen visible el progreso y mantienen el ciberriesgo bajo control de forma duradera.
1GOVERN: ¿está el ciberriesgo anclado en la dirección de la empresa, con roles y responsabilidades claros hasta el nivel directivo?
2IDENTIFY & PROTECT: ¿conoce todos sus activos y está implantada en toda la organización una protección básica (accesos, parches, copias de seguridad, concienciación)?
3DETECT & RESPOND: ¿puede detectar ataques de forma fiable y su proceso de respuesta está documentado y probado en la práctica?
4RECOVER: ¿está probada la recuperación de los sistemas críticos, incluida una comunicación ordenada con clientes, socios y autoridades?
Esta autoevaluación no sustituye a un assessment; ofrece una primera orientación según las funciones del CSF.
Fuentes primarias del NIST y servicios de VamiSec relacionados.
Respuestas concisas para directivos y responsables de seguridad.
No. El CSF es un marco voluntario y gratuito, sin esquema de certificación. Funciona como instrumento de gestión y comunicación; las evidencias formales siguen aportándolas normas como ISO/IEC 27001 o las auditorías regulatorias.
La novedad principal es la sexta función GOVERN, que agrupa gobernanza, estrategia, roles, políticas y gestión de riesgos de la cadena de suministro. Además, el marco se dirige ahora expresamente a todas las organizaciones —ya no solo a las infraestructuras críticas— y se acompaña de guías de inicio rápido, perfiles organizativos y el CSF 2.0 Reference Tool.
Un SGSI certificado y el CSF se complementan: ISO/IEC 27001 aporta el sistema de gestión y la evidencia; el CSF, la visión por funciones para priorizar y comunicar con la dirección. Las referencias informativas conectan ambos mundos sin duplicar trabajo.
El CSF ofrece un lenguaje común: GOVERN aborda la responsabilidad de los órganos de dirección (artículo 20 de NIS2), mientras que las funciones operativas estructuran las medidas del artículo 21 de NIS2 y la gestión de riesgos de las TIC según DORA. Así gestiona varias regulaciones con un único objetivo coherente.
Levantamos su perfil actual según las seis funciones, definimos juntos el perfil objetivo y el Tier, y derivamos una hoja de ruta priorizada. El esfuerzo depende del alcance, las sedes y la documentación existente; lo acotamos juntos en una primera reunión.
Levantamos su perfil actual, definimos objetivos y entregamos la hoja de ruta: pragmática, priorizada y apta para la dirección.
