Qué es NIST CSF 2.0 y cómo lo usa una empresa mediana

El Cybersecurity Framework del NIST —el instituto de estándares de Estados Unidos— es un marco de referencia para organizar la ciberseguridad de una organización. Su versión 2.0 se publicó en 2024 y trajo dos cambios de fondo.

Conviene despejar de entrada lo que no es: no es certificable. No existe un certificado NIST CSF ni un organismo que lo emita, a diferencia de ISO 27001. Tampoco es obligatorio en Chile: ninguna ley lo exige. Se usa porque ordena, no porque toque.

Las seis funciones

Gobernar (Govern)

Quién decide, con qué mandato, con qué políticas y ante quién responde. Es la función que la versión 2.0 agregó, y la que convierte al marco en algo que le habla a la gerencia y no solo al área técnica.

Identificar (Identify)

Qué activos, datos, proveedores y riesgos existen. Sin este paso las otras cinco funciones se aplican a ciegas.

Proteger (Protect)

Los controles que reducen la probabilidad de un incidente: accesos, capacitación, cifrado, mantención, respaldo.

Detectar (Detect)

Cómo se descubre que algo está pasando. Es la función más débil en la mayoría de las medianas empresas: los incidentes se detectan cuando ya son visibles.

Responder (Respond)

Qué se hace durante el incidente: contención, comunicación, análisis, reporte.

Recuperar (Recover)

Cómo se vuelve a operar y qué se aprende. Conecta directamente con la continuidad del negocio.

Qué cambió en la versión 2.0

El primer cambio es la función Gobernar, que no existía en la 1.1. NIST la agregó al constatar que la mayoría de los programas de ciberseguridad no fallaban por falta de controles técnicos sino por falta de dirección: nadie decidía prioridades, nadie respondía, nadie reportaba a la gerencia.

El segundo es de alcance. La versión anterior se llamaba marco para mejorar la ciberseguridad de la infraestructura crítica, y esa etiqueta hacía que muchas empresas medianas asumieran que no era para ellas. La 2.0 quitó esa limitación y se dirige explícitamente a organizaciones de cualquier tamaño y sector.

Cómo se usa: perfiles y niveles

El marco no se aplica de una vez ni completo. La forma habitual es construir dos perfiles: el perfil actual, que describe qué se está haciendo hoy en cada función, y el perfil objetivo, que describe adónde tiene que llegar esta empresa en particular según su exposición. La distancia entre ambos es el plan de trabajo.

A eso se suman los niveles de implementación, del 1 al 4 —parcial, informado por riesgo, repetible y adaptativo—, que describen qué tan sistemática es la gestión. Se parecen mucho a una evaluación de madurez, y de hecho se usan para lo mismo: fijar un punto de partida honesto y medir avance.

Un error frecuente es aspirar al nivel 4 en las seis funciones. NIST es explícito en que el nivel objetivo depende del riesgo y los recursos de cada organización; para una mediana empresa, llegar a nivel 3 en gobernar, identificar y proteger suele valer más que perseguir el máximo en todo.

En qué se diferencia de ISO 27001

Se confunden porque ambos ordenan la seguridad, pero sirven para cosas distintas. NIST CSF describe qué capacidades tener y en qué estado; es un mapa. ISO 27001 exige un sistema de gestión y lo certifica un tercero; es un contrato con evidencia.

No compiten: es habitual usar el marco para diagnosticar y priorizar, y la norma cuando aparece una exigencia comercial concreta de certificación. Si un cliente pide un certificado, NIST CSF no sirve — no existe tal cosa. Si lo que hace falta es saber por dónde empezar, ISO 27001 es un camino más largo y más caro para responder esa pregunta.

Cómo se relaciona con la norma chilena

Ninguna ley chilena obliga a usar NIST CSF. Lo que sí ocurre es que sus funciones se mapean bien contra lo que sí es obligatorio: Responder cubre los plazos de reporte de la Ley 21.663, Proteger e Identificar cubren las medidas técnicas y organizativas del artículo 14 quinquies de la Ley 21.719, y Gobernar aporta la designación de responsables que ambas empujan.

Ese mapeo es la utilidad práctica del marco en Chile: en vez de tratar cada ley como una lista suelta de obligaciones, se administran dentro de una misma estructura, con un solo inventario y un solo plan.

Preguntas frecuentes

¿Me puedo certificar en NIST CSF 2.0?

No existe tal certificación. NIST no acredita organismos certificadores para el marco ni emite certificados. Si un cliente te pide acreditar formalmente tu gestión de seguridad, el camino es ISO 27001; NIST CSF sirve para organizarte y para describir tu estado, no para demostrarlo con un sello.

¿Sirve en Chile siendo un marco estadounidense?

Sí, porque es descriptivo y no normativo: no impone requisitos legales de otro país, ordena capacidades. Sus funciones se mapean bien contra lo que sí obliga en Chile, y es cada vez más frecuente que aparezca en cuestionarios de seguridad de clientes corporativos.

¿Es mejor que ISO 27001?

Responden preguntas distintas. NIST CSF responde qué me falta y en qué orden; ISO 27001 responde cómo demuestro ante un tercero que gestiono la seguridad. Empezar por el marco y avanzar hacia la norma cuando exista una razón comercial concreta suele ser más barato que al revés.