Cyber Essentials frente a Essential Eight: dos referencias nacionales comparadas
Ambos son breves, técnicos y respaldados por el gobierno. Uno certifica cinco controles; el otro evalúa ocho estrategias según su madurez. Cumplir con uno te acerca bastante al otro.
El Reino Unido y Australia publican cada uno una lista breve de controles técnicos que frenan la mayoría de los ataques comunes. El del Reino Unido es Cyber Essentials, gestionado por el National Cyber Security Centre y ejecutado por IASME; el de Australia es el Essential Eight, del Australian Signals Directorate. Suelen mencionarse juntos, y las organizaciones que operan en ambos países se hacen la pregunta lógica: si ya tenemos uno, ¿hasta qué punto nos acerca al otro?
Cómo están estructurados
Cyber Essentials certifica cinco controles técnicos: cortafuegos, configuración segura, gestión de actualizaciones de seguridad, control de acceso de usuarios y protección frente a malware. Los requisitos vigentes, versión 3.3, se aplican desde el 27 de abril de 2026. La certificación tiene dos niveles: una autoevaluación verificada y Cyber Essentials Plus, que añade pruebas técnicas prácticas. Los certificados tienen una validez de un año.
El Essential Eight es un conjunto de ocho estrategias de mitigación (parcheado de aplicaciones, parcheado de sistemas operativos, autenticación multifactor, restricción de privilegios administrativos, control de aplicaciones, restricción de macros de Office, endurecimiento de las aplicaciones de usuario y copias de seguridad periódicas), cada una implementada en uno de tres niveles de madurez. ControlMapping asigna las 126 Controles ISM que ASD etiqueta con esos niveles. No existe certificación: las organizaciones se autoevalúan o encargan una evaluación, y desde el 1 de julio de 2022 el Protective Security Policy Framework exige a las entidades australianas del Commonwealth no corporativas aplicar las ocho estrategias, como mínimo, en el Nivel de Madurez Dos.
Del Essential Eight a Cyber Essentials
De los 5 controles técnicos de Cyber Essentials, 4 (80%) se corresponden con algo en Essential Eight, 0 solo guardan una relación tangencial y 1 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →
| Cyber Essentials | Requisito | Coincidencia | Essential Eight |
|---|---|---|---|
| CE 1 | Firewalls | Sin correspondencia en nuestros datos | — |
| CE 2 | Secure Configuration | Editorial | ISM-1412ISM-1585ISM-1621ISM-1654 |
| CE 3 | Security Update Management | Editorial | ISM-1501ISM-1691ISM-1693ISM-1695 |
| CE 4 | User Access Control | Editorial | ISM-0445ISM-0974ISM-1173ISM-1175 |
| CE 5 | Malware protection | Editorial | ISM-0843ISM-1488ISM-1490ISM-1544 |
La mayor parte de Cyber Essentials tiene un equivalente en el Essential Eight. La excepción son los cortafuegos: ninguna estrategia del Essential Eight aborda los cortafuegos perimetrales o de equipo, así que un programa basado en el Essential Eight deja ese control en manos de la organización.
De Cyber Essentials al Essential Eight
De los 126 Controles ISM de Essential Eight, 39 (31%) se corresponden con algo en Cyber Essentials, 72 solo guardan una relación tangencial y 15 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →
En sentido inverso, Cyber Essentials cubre solo una parte del Essential Eight, lo que no sorprende: tiene cinco controles frente a una lista mucho más larga de requisitos graduados. Las brechas más importantes son:
- Copias de seguridad periódicas. La versión 3.3 de Cyber Essentials subraya la importancia de respaldar los datos, pero no lo exige. Las copias de seguridad son una de las ocho estrategias, con pruebas de restauración en todos los niveles de madurez.
- Macros de Office y endurecimiento de las aplicaciones de usuario. El control de configuración segura de Cyber Essentials elimina el software innecesario y desactiva la ejecución automática; no aborda las macros ni el endurecimiento de navegadores y PDF.
- Niveles de madurez y plazos. Cuando ambos exigen lo mismo, el Essential Eight suele ser más específico en sus niveles superiores, por ejemplo en la rapidez con que deben corregirse las vulnerabilidades de los servicios expuestos a internet, y en el registro y la protección del acceso privilegiado.
- Notificación de incidentes. Algunos controles del Essential Eight exigen notificar los incidentes de ciberseguridad; Cyber Essentials no tiene ningún requisito de incidentes.
Los requisitos sin ningún vínculo con Cyber Essentials en nuestros datos:
| Essential Eight | Requisito | Coincidencia | Cyber Essentials |
|---|---|---|---|
| ISM-1511 | Backups of data, applications and settings are performed and retained in accordance… | Sin correspondencia en nuestros datos | — |
| ISM-1515 | Restoration of data, applications and settings from backups to a common point in time… | Sin correspondencia en nuestros datos | — |
| ISM-1705 | Privileged user accounts (excluding backup administrator accounts) cannot access… | Sin correspondencia en nuestros datos | — |
| ISM-1706 | Privileged user accounts (excluding backup administrator accounts) cannot access their… | Sin correspondencia en nuestros datos | — |
| ISM-1707 | Privileged user accounts (excluding backup administrator accounts) are prevented from… | Sin correspondencia en nuestros datos | — |
| ISM-1708 | Backup administrator accounts are prevented from modifying and deleting backups during… | Sin correspondencia en nuestros datos | — |
| ISM-1810 | Backups of data, applications and settings are synchronised to enable restoration to a… | Sin correspondencia en nuestros datos | — |
| ISM-1811 | Backups of data, applications and settings are retained in a secure and resilient manner | Sin correspondencia en nuestros datos | — |
| ISM-1812 | Unprivileged user accounts cannot access backups belonging to other user accounts | Sin correspondencia en nuestros datos | — |
| ISM-1813 | Unprivileged user accounts cannot access their own backups | Sin correspondencia en nuestros datos | — |
| ISM-1814 | Unprivileged user accounts are prevented from modifying and deleting backups | Sin correspondencia en nuestros datos | — |
| ISM-0123 | Cyber security incidents are reported to the chief information security officer, or one… | Sin correspondencia en nuestros datos | — |
| ISM-0140 | Cyber security incidents are reported to ASD as soon as possible after they occur or… | Sin correspondencia en nuestros datos | — |
| ISM-1815 | Event logs are protected from unauthorised modification and deletion | Sin correspondencia en nuestros datos | — |
| ISM-1819 | Following the identification of a cyber security incident, the cyber security incident… | Sin correspondencia en nuestros datos | — |
Dónde coinciden, tema por tema
| Marco | Gestión de parches | Vínculo |
|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Definición del tema |
| ISO 27001 | A.8.8 | Correspondencia |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Correspondencia |
| SOC 2 | CC7.1 | Editorial |
| PCI DSS | 6.3.16.3.3 | Correspondencia |
| CMMC | SI.L2-3.14.1 | Correspondencia |
| 800-53 | SI-2 | Correspondencia |
| HIPAA | — | |
| GDPR | — | Sin correspondencia en nuestros datos |
| NIS2 | 6.6 | Correspondencia |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Editorial |
| DORA | Art.9(4)(f) | Editorial |
| CPS 234 | — | Sin correspondencia en nuestros datos |
| Cyber Essentials | CE 3 | Editorial |
Detalle completo y motivo de cada vínculo: Gestión de parches en todos los marcos →
| Marco | Autenticación multifactor | Vínculo |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Definición del tema |
| ISO 27001 | A.8.5 | Correspondencia |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Editorial |
| SOC 2 | CC6.1 | Editorial |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | Editorial |
| CMMC | IA.L2-3.5.3 | Correspondencia |
| 800-53 | IA-2(1)IA-2(2) | Correspondencia |
| HIPAA | — | |
| GDPR | — | Sin correspondencia en nuestros datos |
| NIS2 | 11.611.7 | Correspondencia |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Editorial |
| DORA | Art.9(4)(d) | Editorial |
| CPS 234 | — | Sin correspondencia en nuestros datos |
| Cyber Essentials | CE 4 | Editorial |
Detalle completo y motivo de cada vínculo: Autenticación multifactor en todos los marcos →
El parcheado y la autenticación multifactor son el terreno común más claro. Cyber Essentials fija una única regla para las actualizaciones (las correcciones críticas y de alto riesgo en un plazo de 14 días) y exige MFA siempre que esté disponible, y siempre en los servicios en la nube; el Essential Eight establece plazos y alcance de MFA distintos en cada nivel de madurez.
Cuál usar
Si necesitas uno para un contrato, el contrato decide: los compradores del sector público del Reino Unido piden Cyber Essentials, y las entidades del gobierno australiano trabajan con el Essential Eight. Si eliges libremente, ambos combinan bien. Cyber Essentials te da un certificado externo para un mínimo sólido; el Essential Eight te ofrece una vía para ir más allá, con copias de seguridad y endurecimiento de aplicaciones que Cyber Essentials deja fuera. Para estar preparado para ambos, implementa el Essential Eight, añade reglas de cortafuegos y revisa tus plazos de parcheado: la regla de 14 días de Cyber Essentials se aplica a toda actualización crítica o de alto riesgo, lo que puede ser más estricto que los niveles de madurez inferiores para algunos programas.
Conclusiones clave
- La mayor parte de Cyber Essentials se corresponde con el Essential Eight; los cortafuegos son la brecha.
- Cyber Essentials cubre solo una parte del Essential Eight: las copias de seguridad, el endurecimiento de macros y aplicaciones, y el detalle de los niveles de madurez quedan fuera.
- Ninguno de los dos organismos publica una correspondencia, así que trata estos vínculos como un punto de partida y revisa el detalle.
Próximos pasos
Consulta las páginas de los marcos Cyber Essentials y Essential Eight, ejecuta el análisis de brechas para exportar la comparativa como un seguimiento, o lee nuestra guía de Essential Eight.
Preguntas
¿La certificación de Cyber Essentials cumple con el Essential Eight?
No. Ambos coinciden en el parcheado, la autenticación multifactor, los privilegios administrativos y el control de aplicaciones, pero el Essential Eight exige además copias de seguridad periódicas, endurecimiento de macros de Office y de aplicaciones, y establece niveles de madurez con plazos propios. Cyber Essentials también certifica los cortafuegos, que ninguna estrategia del Essential Eight cubre.
¿Existe una certificación para el Essential Eight?
No existe un esquema de certificación como Cyber Essentials. Las organizaciones se autoevalúan o encargan una evaluación independiente, según el modelo de madurez de ASD. Cyber Essentials es una certificación con dos niveles, Cyber Essentials y Cyber Essentials Plus.
¿Existe una correspondencia oficial entre ambos?
Ni el NCSC ni ASD publican ninguna. Los vínculos de ControlMapping son editoriales, y cada uno muestra su motivo.
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-27DORA frente a NIS2: qué cubre ya un programa NIS2DORA y NIS2 comparten casi todo su contenido de seguridad; DORA añade registro, cláusulas y pruebas basadas en amenazas. Qué se traslada, artículo por artículo.
Análisis · 2026-10-13Requisitos de MFA comparados en 11 marcos de seguridadQué marcos exigen MFA, a quién y con qué rigor: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 y HIPAA, comparados en paralelo.