NIST CSF NIST Cybersecurity Framework.

Qué es el NIST CSF y qué no es

El NIST Cybersecurity Framework es una manera estructurada de organizar un programa de ciberseguridad en torno a resultados, en lugar de productos. No le dice qué cortafuegos comprar ni qué control desplegar.

En cambio, describe cómo es lo correcto, agrupando la actividad de ciberseguridad en un pequeño conjunto de funciones y dividiendo cada función en categorías y subcategorías que se leen como resultados en lenguaje claro: los activos están inventariados, el acceso está gestionado, las anomalías se detectan, los planes de respuesta se ejecutan. Esa orientación a resultados es la razón por la que se adapta tan bien a distintos sectores y tamaños.

Un hospital, un fabricante y un proveedor de software pueden usar todos el mismo vocabulario para describir dónde se encuentran y dónde quieren estar.

Lo más importante que hay que entender es lo que el marco no es. No es una norma certificable. No existe un certificado NIST CSF, ni un organismo acreditado que emita una aprobación, ni una auditoría que termine con una marca registrada en su sitio web. Es una referencia voluntaria que se utiliza para evaluar la madurez, fijar objetivos y comunicar la postura, tanto internamente ante un consejo de administración como externamente ante socios. Considere la afirmación de un proveedor de estar «certificado en NIST CSF» como una señal de alerta, porque no existe tal certificación.

Las funciones: de cinco a seis

El marco se estructura en torno a funciones que, en conjunto, cubren todo el ciclo de vida de la gestión del ciberriesgo. Las cinco originales eran Identify, Protect, Detect, Respond y Recover. La revisión 2.0 publicada en 2024 añadió Govern, elevando el total a seis y situando la gobernanza en el centro del modelo en lugar de tratarla como algo secundario. Govern abarca el contexto organizativo, la estrategia de gestión de riesgos, los roles y responsabilidades, la política y la supervisión que deberían determinar cómo se priorizan y dotan de recursos las otras cinco funciones. Su incorporación formalizó lo que los programas maduros ya hacían: los controles técnicos solo funcionan cuando alguien es responsable de las decisiones de riesgo que los sustentan.

En la práctica, un equipo evalúa su estado actual frente a cada categoría, define un perfil objetivo que refleja su apetito de riesgo y sus obligaciones, y trabaja para cerrar la brecha entre ambos. El marco deja deliberadamente el cómo en sus manos, razón por la cual se combina de forma natural con catálogos prescriptivos como los CIS Controls o NIST 800-53, que aportan las salvaguardas concretas bajo cada resultado.

Por qué se sitúa junto a ISO 27001

El NIST CSF e ISO 27001 no son competidores, y muchas organizaciones transatlánticas utilizan ambos. ISO 27001 certifica que usted opera un sistema de gestión de la seguridad de la información, con una evaluación de riesgos, una declaración de aplicabilidad y mejora continua, y produce un certificado auditable que los clientes reconocen en todo el mundo.

El NIST CSF le ofrece un lenguaje de madurez flexible y una forma de expresar su postura ante un público de orientación estadounidense o de alinearse con las expectativas federales de Estados Unidos. Un patrón común consiste en certificar el sistema de gestión bajo ISO 27001 para obtener la credencial, y luego usar el perfil CSF para comunicar la madurez y alinearse con marcos y clientes que hablan en términos NIST.

NIST publica referencias informativas que correlacionan las subcategorías del CSF con ISO 27001 y otras normas, de modo que el trabajo rara vez tiene que hacerse dos veces.