--- id: CP-378 slug: nist-csf-2-marco-ciberseguridad lang: es title: El marco NIST CSF 2.0 description: "El NIST Cybersecurity Framework 2.0, publicado en febrero de 2024: sus seis funciones y lo que cambia para los empleados y la dirección." canonical_url: https://startbrain.io/cyberpedia/es/articles/nist-csf-2-marco-ciberseguridad/ markdown_url: https://startbrain.io/cyberpedia/es/articles/nist-csf-2-marco-ciberseguridad.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «El marco NIST CSF 2.0», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/nist-csf-2-marco-ciberseguridad/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-033 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/nist-csf-2-marco-ciberseguridad/ fr: https://startbrain.io/cyberpedia/fr/articles/nist-csf-2-cadre-cybersecurite/ en: https://startbrain.io/cyberpedia/en/articles/nist-csf-2-cybersecurity-framework/ de: https://startbrain.io/cyberpedia/de/articles/nist-csf-2-cybersicherheit-rahmenwerk/ it: https://startbrain.io/cyberpedia/it/articles/nist-csf-2-quadro-cybersicurezza/ sources: - "n": 1 title: NIST Releases Version 2.0 of Landmark Cybersecurity Framework publisher: NIST url: https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework published: "2024-02-26" accessed: "2026-11-03" - "n": 2 title: The NIST Cybersecurity Framework (CSF) 2.0 publisher: NIST url: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf published: "2024-02-26" accessed: "2026-11-03" - "n": 3 title: Getting Started with CSF 1.1 publisher: NIST url: https://www.nist.gov/cyberframework/getting-started-csf-11 published: "2018-02-05" accessed: "2026-11-03" - "n": 4 title: Les 10 mesures essentielles pour votre cybersécurité publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique published: "2021-01-06" accessed: "2026-11-03" - "n": 5 title: National Online Informative References Program OLIR publisher: NIST url: https://csrc.nist.gov/projects/olir accessed: "2026-11-03" - "n": 6 title: Cyber Assessment Framework publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/cyber-assessment-framework accessed: "2026-11-03" - "n": 7 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" --- # El marco NIST CSF 2.0 El NIST Cybersecurity Framework, a menudo abreviado CSF, es un documento de referencia publicado por el NIST, el instituto estadounidense de normas y tecnología. Describe los resultados que una organización busca alcanzar para gestionar sus riesgos de ciberseguridad. Su versión 2.0 se publicó el 26 de febrero de 2024 [1]. Un empleado no tiene que leerlo entero. Sirve sobre todo para entender por qué una empresa fija normas sobre contraseñas, copias de seguridad o la notificación de un incidente: esas normas se corresponden con funciones concretas del marco. Esta ficha presenta su estructura y lo que cambia, según se sea empleado o directivo. ## En 30 segundos - Qué es: un marco de referencia con seis funciones (Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar), publicado en su versión 2.0 el 26 de febrero de 2024 [1]. - Su estatus: la versión 1.1 se presenta como una guía voluntaria [3]; la 2.0 "may be adopted voluntarily and through governmental policies and mandates" [2]. El marco no dice cómo alcanzar los resultados [2]. - Para la dirección: la función Gobernar, añadida en la versión 2.0, sitúa la ciberseguridad entre los riesgos de la empresa [1]. - El reflejo: aplique las normas de seguridad de su empresa y comunique al equipo de seguridad cualquier mensaje o comportamiento anómalo. Por su parte, el marco contempla la gestión, la notificación y la comunicación de un incidente, así como la clasificación de los informes de incidentes [2]. ## Preguntas directas ### ¿Es el CSF 2.0 una ley? No, según las fuentes citadas aquí. El NIST describe la versión 1.1 como una guía voluntaria, basada en normas y prácticas existentes [3]. La versión 2.0 "may be adopted voluntarily and through governmental policies and mandates": un Estado o una organización puede, por tanto, imponerla mediante su propia política, pero el documento en sí no crea ninguna obligación [2]. Las fuentes citadas aquí no tratan el derecho francés: no permiten decir si alguna ley francesa se remite a él. ### ¿A quién afecta? A todas las organizaciones. La versión 2.0 se dirige a organizaciones de cualquier tamaño y sector, desde las escuelas y asociaciones más pequeñas hasta las mayores agencias y empresas [1]. La primera versión, publicada en 2014, se dirigía en un principio a las infraestructuras críticas [1]. ### ¿Cuáles son las seis funciones? Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. Se detallan más abajo. El NIST las representa como una rueda: Gobernar está en el centro, porque esta función orienta la manera de llevar a cabo las otras cinco [2]. ### ¿Dice el CSF qué hacer, herramienta por herramienta? No. El documento describe resultados esperados y no prescribe ni los resultados ni los medios para alcanzarlos [2]. Los medios se describen en recursos en línea: referencias informativas, ejemplos de implementación, guías de inicio rápido y perfiles [2]. ### ¿Tiene un empleado algún papel en el CSF? Sí, de forma indirecta. Los resultados de la función Proteger incluyen la concienciación y la formación, así como la seguridad de los datos, y los de la función Responder incluyen la notificación y la comunicación [2]. Las acciones concretas varían según la organización, igual que la persona responsable de ellas [2]. ## Qué cambia para los empleados El marco se dirige en primer lugar a las personas que llevan un programa de ciberseguridad [2]. El empleado ve sus efectos en las normas internas. Tres funciones le afectan a diario. - Proteger: los resultados esperados abarcan la gestión de identidades, la autenticación y el control de acceso, la concienciación y la formación, y la seguridad de los datos [2]. En la vida diaria, esto coincide con las medidas de Cybermalveillance.gouv.fr: contraseñas largas y distintas, doble autenticación, actualizaciones en cuanto se ofrecen, copias de seguridad con una copia fuera del dispositivo [4]. - Detectar: el marco busca el descubrimiento rápido de anomalías y de eventos que puedan indicar un ataque [2]. Ante un mensaje inesperado o alarmista, Cybermalveillance.gouv.fr aconseja pedir confirmación al remitente por otro medio [4]. - Responder y Recuperar: la función Responder abarca la gestión del incidente, el análisis, la limitación de sus efectos, la notificación y la comunicación, y Recuperar la restauración de los activos y las actividades afectados [2]. Las acciones que hay que llevar a cabo y las personas que las realizan dependen de la organización [2]. En la práctica, el empleado sigue el procedimiento interno y avisa a la persona adecuada. La separación entre los usos personales y profesionales, otra medida de Cybermalveillance.gouv.fr, evita que el compromiso de un acceso personal perjudique a la empresa, y a la inversa [4]. ## Qué cambia para la dirección El CSF 2.0 añade la función Gobernar. Se refiere a la estrategia, las expectativas y la política de gestión del riesgo cibernético, que deben establecerse, comunicarse y supervisarse [2]. Abarca el contexto de la organización, la estrategia, la gestión del riesgo ligado a los proveedores, los roles, responsabilidades y facultades, la política y la supervisión [2]. El NIST subraya que la ciberseguridad es una fuente importante de riesgo para la empresa, que los directivos deben considerar junto con otros riesgos, como los financieros y los de reputación [1]. El marco prevé también perfiles: un perfil actual describe los resultados alcanzados y un perfil objetivo describe los que la organización ha elegido y ordenado por prioridad [2]. Compararlos permite detectar las diferencias [2]. Unos niveles (Tiers) caracterizan el rigor del gobierno y de la gestión de riesgos [2]. ## Qué dice el texto El documento se organiza en tres componentes: el núcleo (Core), que reúne funciones, categorías y subcategorías de resultados; los perfiles de organización; y los niveles (Tiers) [2]. Estas son las seis funciones, tal como las define el NIST. - Gobernar: la estrategia, las expectativas y la política de gestión del riesgo se establecen, se comunican y se supervisan [2]. - Identificar: se comprenden los riesgos actuales, lo que supone conocer los activos (datos, equipos, programas, sistemas, instalaciones, servicios, personas) y los proveedores [2]. - Proteger: se aplican medidas de protección [2]. - Detectar: se encuentran y se analizan los posibles ataques y compromisos [2]. - Responder: se emprenden acciones ante un incidente detectado [2]. - Recuperar: se restauran los activos y las actividades afectados por un incidente [2]. Los resultados no forman una lista de tareas: el orden y el tamaño de las funciones no implican ni secuencia ni importancia [2]. Las funciones se tratan en paralelo. Gobernar, Identificar, Proteger y Detectar se llevan a cabo de forma continua, mientras que Responder y Recuperar deben estar listas en todo momento [2]. El marco se aplica a todas las tecnologías de la información y la comunicación, incluidos la nube, el móvil y la inteligencia artificial [2]. ## En qué punto está la aplicación El CSF 2.0 está publicado desde el 26 de febrero de 2024 [1]. El NIST ha añadido guías de inicio rápido para públicos concretos, entre ellos las pequeñas empresas, así como un catálogo de referencias que vincula el marco con más de 50 documentos de ciberseguridad [1]. Su página de inicio menciona en 2026 una traducción al árabe y un segundo aniversario el 24 de febrero de 2026 [7]. Sobre la relación con otros textos, las fuentes citadas aquí dicen poco. El NIST indica que su trabajo con ISO e IEC permite construir marcos de ciberseguridad y organizar medidas según las funciones del CSF [1]. El programa OLIR del NIST publica correspondencias entre los elementos de documentos de terceros y los de documentos del NIST [5]. Las fuentes citadas aquí no mencionan por su nombre ni ISO 27001 ni NIS 2: esta ficha no se pronuncia, por tanto, sobre esos dos textos. Otro país ha construido su propio marco. El Cyber Assessment Framework del NCSC británico se organiza en torno a cuatro objetivos, entre ellos la gestión del riesgo, la protección, la detección y la reducción del impacto de los incidentes [6]. Se utiliza en los sectores regulados en virtud de la normativa NIS británica [6]. Este marco es distinto del CSF. ## Fuentes 1. NIST, «NIST Releases Version 2.0 of Landmark Cybersecurity Framework», 26 de febrero de 2024. https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework (consultado el 3 de noviembre de 2026) 2. NIST, «The NIST Cybersecurity Framework (CSF) 2.0», 26 de febrero de 2024. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf (consultado el 3 de noviembre de 2026) 3. NIST, «Getting Started with CSF 1.1», 5 de febrero de 2018. https://www.nist.gov/cyberframework/getting-started-csf-11 (consultado el 3 de noviembre de 2026) 4. Cybermalveillance.gouv.fr, «Les 10 mesures essentielles pour votre cybersécurité», 6 de enero de 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique (consultado el 3 de noviembre de 2026) 5. NIST, «National Online Informative References Program OLIR». https://csrc.nist.gov/projects/olir (consultado el 3 de noviembre de 2026) 6. NCSC (Royaume-Uni), «Cyber Assessment Framework». https://www.ncsc.gov.uk/collection/cyber-assessment-framework (consultado el 3 de noviembre de 2026) 7. NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/nist-csf-2-marco-ciberseguridad/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.