El marco NIST CSF 2.0
El NIST Cybersecurity Framework 2.0, publicado en febrero de 2024: sus seis funciones y lo que cambia para los empleados y la dirección.
En 30 segundos
- Qué es
- Un marco de referencia con seis funciones (Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar), publicado en su versión 2.0 el 26 de febrero de 20241.
- Su estatus
- La versión 1.1 se presenta como una guía voluntaria3; la 2.0 "may be adopted voluntarily and through governmental policies and mandates"2. El marco no dice cómo alcanzar los resultados2.
- Para la dirección
- La función Gobernar, añadida en la versión 2.0, sitúa la ciberseguridad entre los riesgos de la empresa1.
- El reflejo
- Aplique las normas de seguridad de su empresa y comunique al equipo de seguridad cualquier mensaje o comportamiento anómalo. Por su parte, el marco contempla la gestión, la notificación y la comunicación de un incidente, así como la clasificación de los informes de incidentes2.
De qué se trata
El NIST Cybersecurity Framework, a menudo abreviado CSF, es un documento de referencia publicado por el NIST, el instituto estadounidense de normas y tecnología. Describe los resultados que una organización busca alcanzar para gestionar sus riesgos de ciberseguridad. Su versión 2.0 se publicó el 26 de febrero de 20241.
Un empleado no tiene que leerlo entero. Sirve sobre todo para entender por qué una empresa fija normas sobre contraseñas, copias de seguridad o la notificación de un incidente: esas normas se corresponden con funciones concretas del marco. Esta ficha presenta su estructura y lo que cambia, según se sea empleado o directivo.
Preguntas directas
¿Es el CSF 2.0 una ley?
No, según las fuentes citadas aquí. El NIST describe la versión 1.1 como una guía voluntaria, basada en normas y prácticas existentes3. La versión 2.0 "may be adopted voluntarily and through governmental policies and mandates": un Estado o una organización puede, por tanto, imponerla mediante su propia política, pero el documento en sí no crea ninguna obligación2. Las fuentes citadas aquí no tratan el derecho francés: no permiten decir si alguna ley francesa se remite a él.
¿A quién afecta?
A todas las organizaciones. La versión 2.0 se dirige a organizaciones de cualquier tamaño y sector, desde las escuelas y asociaciones más pequeñas hasta las mayores agencias y empresas1. La primera versión, publicada en 2014, se dirigía en un principio a las infraestructuras críticas1.
¿Cuáles son las seis funciones?
Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. Se detallan más abajo. El NIST las representa como una rueda: Gobernar está en el centro, porque esta función orienta la manera de llevar a cabo las otras cinco2.
¿Dice el CSF qué hacer, herramienta por herramienta?
No. El documento describe resultados esperados y no prescribe ni los resultados ni los medios para alcanzarlos2. Los medios se describen en recursos en línea: referencias informativas, ejemplos de implementación, guías de inicio rápido y perfiles2.
¿Tiene un empleado algún papel en el CSF?
Sí, de forma indirecta. Los resultados de la función Proteger incluyen la concienciación y la formación, así como la seguridad de los datos, y los de la función Responder incluyen la notificación y la comunicación2. Las acciones concretas varían según la organización, igual que la persona responsable de ellas2.
1Qué cambia para los empleados2 min
El marco se dirige en primer lugar a las personas que llevan un programa de ciberseguridad2. El empleado ve sus efectos en las normas internas. Tres funciones le afectan a diario.
- Proteger: los resultados esperados abarcan la gestión de identidades, la autenticación y el control de acceso, la concienciación y la formación, y la seguridad de los datos2. En la vida diaria, esto coincide con las medidas de Cybermalveillance.gouv.fr: contraseñas largas y distintas, doble autenticación, actualizaciones en cuanto se ofrecen, copias de seguridad con una copia fuera del dispositivo4.
- Detectar: el marco busca el descubrimiento rápido de anomalías y de eventos que puedan indicar un ataque2. Ante un mensaje inesperado o alarmista, Cybermalveillance.gouv.fr aconseja pedir confirmación al remitente por otro medio4.
- Responder y Recuperar: la función Responder abarca la gestión del incidente, el análisis, la limitación de sus efectos, la notificación y la comunicación, y Recuperar la restauración de los activos y las actividades afectados2. Las acciones que hay que llevar a cabo y las personas que las realizan dependen de la organización2. En la práctica, el empleado sigue el procedimiento interno y avisa a la persona adecuada.
La separación entre los usos personales y profesionales, otra medida de Cybermalveillance.gouv.fr, evita que el compromiso de un acceso personal perjudique a la empresa, y a la inversa4.
2Qué cambia para la direcciónDirección1 min
El CSF 2.0 añade la función Gobernar. Se refiere a la estrategia, las expectativas y la política de gestión del riesgo cibernético, que deben establecerse, comunicarse y supervisarse2. Abarca el contexto de la organización, la estrategia, la gestión del riesgo ligado a los proveedores, los roles, responsabilidades y facultades, la política y la supervisión2.
El NIST subraya que la ciberseguridad es una fuente importante de riesgo para la empresa, que los directivos deben considerar junto con otros riesgos, como los financieros y los de reputación1. El marco prevé también perfiles: un perfil actual describe los resultados alcanzados y un perfil objetivo describe los que la organización ha elegido y ordenado por prioridad2. Compararlos permite detectar las diferencias2. Unos niveles (Tiers) caracterizan el rigor del gobierno y de la gestión de riesgos2.
3Qué dice el textoTexto oficial1 min
El documento se organiza en tres componentes: el núcleo (Core), que reúne funciones, categorías y subcategorías de resultados; los perfiles de organización; y los niveles (Tiers)2. Estas son las seis funciones, tal como las define el NIST.
- Gobernar: la estrategia, las expectativas y la política de gestión del riesgo se establecen, se comunican y se supervisan2.
- Identificar: se comprenden los riesgos actuales, lo que supone conocer los activos (datos, equipos, programas, sistemas, instalaciones, servicios, personas) y los proveedores2.
- Proteger: se aplican medidas de protección2.
- Detectar: se encuentran y se analizan los posibles ataques y compromisos2.
- Responder: se emprenden acciones ante un incidente detectado2.
- Recuperar: se restauran los activos y las actividades afectados por un incidente2.
Los resultados no forman una lista de tareas: el orden y el tamaño de las funciones no implican ni secuencia ni importancia2. Las funciones se tratan en paralelo. Gobernar, Identificar, Proteger y Detectar se llevan a cabo de forma continua, mientras que Responder y Recuperar deben estar listas en todo momento2.
El marco se aplica a todas las tecnologías de la información y la comunicación, incluidos la nube, el móvil y la inteligencia artificial2.
4En qué punto está la aplicación1 min
El CSF 2.0 está publicado desde el 26 de febrero de 20241. El NIST ha añadido guías de inicio rápido para públicos concretos, entre ellos las pequeñas empresas, así como un catálogo de referencias que vincula el marco con más de 50 documentos de ciberseguridad1. Su página de inicio menciona en 2026 una traducción al árabe y un segundo aniversario el 24 de febrero de 20267.
Sobre la relación con otros textos, las fuentes citadas aquí dicen poco. El NIST indica que su trabajo con ISO e IEC permite construir marcos de ciberseguridad y organizar medidas según las funciones del CSF1. El programa OLIR del NIST publica correspondencias entre los elementos de documentos de terceros y los de documentos del NIST5. Las fuentes citadas aquí no mencionan por su nombre ni ISO 27001 ni NIS 2: esta ficha no se pronuncia, por tanto, sobre esos dos textos.
Otro país ha construido su propio marco. El Cyber Assessment Framework del NCSC británico se organiza en torno a cuatro objetivos, entre ellos la gestión del riesgo, la protección, la detección y la reducción del impacto de los incidentes6. Se utiliza en los sectores regulados en virtud de la normativa NIS británica6. Este marco es distinto del CSF.
Ficha
- Identificador
- CP-378
- Ala
- 6. Gobernanza y GRC
- Competencia Brain
- Proteger los datos (safeguard_data)
- Reflejo Brain
- cr-033
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr
- Fuentes
- 7 fuentes verificadas el 3 de noviembre de 2026
Fuentes7 fuentes
- NIST, «NIST Releases Version 2.0 of Landmark Cybersecurity Framework», 26 de febrero de 2024. https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework (consultado el 3 de noviembre de 2026)
- NIST, «The NIST Cybersecurity Framework (CSF) 2.0», 26 de febrero de 2024. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf (consultado el 3 de noviembre de 2026)
- NIST, «Getting Started with CSF 1.1», 5 de febrero de 2018. https://www.nist.gov/cyberframework/getting-started-csf-11 (consultado el 3 de noviembre de 2026)
- Cybermalveillance.gouv.fr, «Les 10 mesures essentielles pour votre cybersécurité», 6 de enero de 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique (consultado el 3 de noviembre de 2026)
- NIST, «National Online Informative References Program OLIR». https://csrc.nist.gov/projects/olir (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Cyber Assessment Framework». https://www.ncsc.gov.uk/collection/cyber-assessment-framework (consultado el 3 de noviembre de 2026)
- NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «El marco NIST CSF 2.0», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp378_es_2026,
author = {Brain},
title = {El marco NIST CSF 2.0},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/nist-csf-2-marco-ciberseguridad/},
note = {CC BY 4.0}
}