Requisitos de cifrado comparados: qué exige cada marco y qué deja a tu criterio
Todos los marcos principales exigen cifrado, pero muy pocos indican qué algoritmo usar. Las diferencias reales están en cuándo es obligatorio el cifrado, si se exigen módulos validados y cuánto detalle dan sobre la gestión de claves.
Esta entrada cubre los 11 marcos que ControlMapping había asignado cuando se redactó. Desde entonces, se añadieron DORA, CPS 234, Cyber Essentials el 2026-10-27; sus páginas y la matriz de cobertura ya los incluyen.
El cifrado es uno de los pocos controles que todos los marcos de seguridad exigen en alguna forma. Sin embargo, si lees los requisitos con atención, difieren en tres aspectos que importan mucho más que la elección del algoritmo: cuándo es obligatorio el cifrado, si debes usar módulos criptográficos validados y cuánto detalle dan sobre la gestión de claves.
Quién exige qué
| Marco | Cifrado | Vínculo |
|---|---|---|
| NIST CSF 2.0 | PR.DS-01PR.DS-02 | Definición del tema |
| ISO 27001 | A.8.24 | Correspondencia |
| CIS v8.1 | CIS 3.10CIS 3.11CIS 3.6CIS 3.9 | Correspondencia |
| SOC 2 | CC6.1CC6.7 | Editorial |
| PCI DSS | 3.5.13.6.14.2.13.7.13.7.44.2.1.1 | Correspondencia |
| CMMC | SC.L2-3.13.8SC.L2-3.13.11SC.L2-3.13.16AC.L2-3.1.13AC.L2-3.1.19SC.L2-3.13.10MP.L2-3.8.6 | Correspondencia |
| 800-53 | SC-8SC-12SC-13SC-28 | Correspondencia |
| HIPAA | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | Correspondencia |
| GDPR | Art.32(1)(a)Art.34(3)(a) | Editorial |
| NIS2 | 9.1 | Correspondencia |
| Essential Eight | — | Sin correspondencia en nuestros datos |
Detalle completo y motivo de cada vínculo: Cifrado en todos los marcos →
Cuándo es obligatorio el cifrado
- PCI DSS es inequívoco. Los números de cuenta primarios (PAN) almacenados deben hacerse ilegibles (3.5.1), y el PAN debe protegerse con criptografía robusta cuando se transmite por redes abiertas y públicas (4.2.1).
- CMMC Level 2 exige protección criptográfica de la CUI en tránsito (SC.L2-3.13.8), en reposo (SC.L2-3.13.16), en dispositivos móviles (AC.L2-3.1.19) y en almacenamiento portátil (MP.L2-3.8.6).
- HIPAA hace que el cifrado de ePHI en reposo y en tránsito sea de aplicación flexible: debes implementarlo o documentar por qué una alternativa equivalente es razonable. En la práctica, un portátil perdido con ePHI sin cifrar es difícil de justificar, y HHS propuso en enero de 2025 hacer obligatorio el cifrado.
- RGPD [GDPR] menciona el cifrado como medida a considerar (artículo 32(1)(a)) y le atribuye un beneficio concreto: si los datos violados estaban cifrados, es posible que no tengas que notificar a las personas afectadas (artículo 34(3)(a)).
- ISO 27001 (A.8.24), SOC 2 (CC6.1, CC6.7) y NIS2 (punto 9.1, una política de criptografía) exigen decidir dónde se necesita criptografía y aplicarla, en lugar de imponerla en todas partes.
Criptografía validada
Solo la familia federal de EE. UU. exige módulos validados. CMMC Level 2 exige criptografía validada FIPS para proteger la confidencialidad de la CUI (SC.L2-3.13.11), y los sistemas SP 800-53 usan módulos validados FIPS (SC-13). El resto pide criptografía «robusta» o «adecuada». Para un contratista, esa diferencia determina qué bibliotecas, VPN y productos de cifrado de disco puede usar.
Gestión de claves
La gestión de claves es donde los marcos difieren más en profundidad. PCI DSS la detalla en 3.6 y 3.7: generación, distribución, almacenamiento, cambio de claves al final de su criptoperiodo, retirada de claves comprometidas, conocimiento dividido y control dual, y acuses de recibo de los custodios. También exige un inventario de claves y certificados de confianza (4.2.1.1). SP 800-53 (SC-12) y CMMC (SC.L2-3.13.10) exigen el establecimiento y la gestión de claves. ISO 27001 pide reglas para el uso eficaz de la criptografía, incluida la gestión de claves, y deja el detalle en tus manos.
Conclusiones clave
- Los marcos rara vez nombran algoritmos; difieren en cuándo es obligatorio el cifrado, en los módulos validados y en la gestión de claves.
- PCI DSS y CMMC son los más estrictos; las especificaciones de cifrado de HIPAA son de aplicación flexible.
- Usa el detalle de gestión de claves de PCI como lista de verificación, independientemente de a quién te apliques.
Qué hacer
- Cifra por defecto los datos sensibles en reposo y en tránsito; es obligatorio en algún punto de casi todas las familias de marcos, y las excepciones son difíciles de justificar.
- Comprueba si necesitas módulos validados antes de comprar productos (CMMC, FedRAMP y otros trabajos federales).
- Documenta la gestión de claves con el nivel de detalle de PCI aunque PCI no te aplique; es la lista de verificación más completa disponible.
- Registra las decisiones criptográficas en una política de criptografía (NIS2 9.1, ISO A.8.24) y revisa periódicamente los conjuntos de cifrado (PCI 12.3.3 exige revisiones anuales).
La página del tema Cifrado enumera cada requisito con su fuente, y el análisis de brechas compara cualquier par de marcos requisito por requisito.
Preguntas
¿Exige HIPAA el cifrado?
El cifrado de ePHI en reposo (§164.312(a)(2)(iv)) y en tránsito (§164.312(e)(2)(ii)) son especificaciones de aplicación flexible según la Security Rule vigente: debes implementarlas o documentar por qué una medida equivalente es razonable. HHS propuso en enero de 2025 hacer obligatorio el cifrado.
¿Qué marcos exigen criptografía validada FIPS?
CMMC Level 2 exige criptografía validada FIPS para proteger la confidencialidad de la CUI (SC.L2-3.13.11), y los sistemas federales de EE. UU. bajo SP 800-53 usan módulos validados FIPS (SC-13).
¿Qué algoritmos de cifrado exigen los marcos?
Muy pocos nombran algoritmos. PCI DSS exige criptografía robusta basada en algoritmos y longitudes de clave aceptados por la industria; los sistemas federales de EE. UU. usan módulos validados FIPS; el ISM de ASD enumera algoritmos y protocolos aprobados. La mayoría de los demás marcos dejan la elección en tus manos, guiándote por los estándares vigentes.
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-27Cyber Essentials frente a Essential Eight: dos referencias nacionales comparadasEl Cyber Essentials del Reino Unido y el Essential Eight de Australia persiguen ambos los ataques más comunes, pero cubren terrenos distintos. Qué se solapa, qué no y por qué.
Análisis · 2026-10-27DORA frente a NIS2: qué cubre ya un programa NIS2DORA y NIS2 comparten casi todo su contenido de seguridad; DORA añade registro, cláusulas y pruebas basadas en amenazas. Qué se traslada, artículo por artículo.