Requisitos de MFA comparados en 11 marcos de seguridad
Todos coinciden en que la MFA importa, pero los marcos no se ponen de acuerdo en dónde es obligatoria, para qué usuarios y con qué nivel de robustez. Aquí tiene la comparativa, con los ID de los requisitos.
Esta entrada cubre los 11 marcos que ControlMapping había asignado cuando se redactó. Desde entonces, se añadieron DORA, CPS 234, Cyber Essentials el 2026-10-27; sus páginas y la matriz de cobertura ya los incluyen.
La autenticación multifactor es el control más citado tras una brecha: «la cuenta no tenía MFA». También es un control en el que los marcos difieren notablemente. Algunos nombran la MFA de forma explícita para usuarios y vías de acceso concretos; otros exigen «autenticación segura» y dejan el método a su evaluación de riesgos. Uno no la menciona en absoluto.
¿Quién exige qué?
| Marco | Autenticación multifactor | Vínculo |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Definición del tema |
| ISO 27001 | A.8.5 | Correspondencia |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Editorial |
| SOC 2 | CC6.1 | Editorial |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | Editorial |
| CMMC | IA.L2-3.5.3 | Correspondencia |
| 800-53 | IA-2(1)IA-2(2) | Correspondencia |
| HIPAA | — | |
| GDPR | — | Sin correspondencia en nuestros datos |
| NIS2 | 11.611.7 | Correspondencia |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Editorial |
Detalle completo y motivo de cada vínculo: Autenticación multifactor en todos los marcos →
Los requisitos explícitos
- PCI DSS v4.0.1 es el más específico. Exige MFA para todo acceso administrativo que no sea de consola al entorno de datos de titulares de tarjeta (8.4.1), para todo acceso a dicho entorno (8.4.2) y para el acceso remoto a la red (8.4.3). Desde el 31 de marzo de 2025, el 8.4.2 se aplica a todos los usuarios, no solo a los administradores. El 8.5.1 añade requisitos sobre cómo se configura el propio sistema MFA, por ejemplo frente a la reutilización de respuestas (replay) y la elusión.
- CMMC Level 2 (IA.L2-3.5.3) exige MFA para el acceso local y de red a cuentas privilegiadas, y para el acceso de red a cuentas no privilegiadas.
- NIST SP 800-53 exige MFA para cuentas privilegiadas y no privilegiadas a través de IA-2(1) e IA-2(2).
- CIS Controls v8.1 exige MFA para aplicaciones expuestas externamente (6.3), acceso remoto a la red (6.4) y acceso administrativo (6.5).
- El Reglamento de Ejecución de NIS2 (punto 11.7) exige autenticación multifactor o continua cuando proceda, en función de la clasificación de los sistemas a los que se accede. La propia directiva incluye la MFA entre las medidas del artículo 21.
- El Essential Eight incluye la MFA como una de sus ocho estrategias, con requisitos que se amplían en cada nivel de madurez: desde servicios en línea y acceso remoto en el Nivel Uno, pasando por usuarios privilegiados y repositorios de datos, hasta la MFA resistente al phishing en los niveles superiores.
Los requisitos implícitos
ISO 27001 exige autenticación segura (A.8.5), y su orientación en ISO/IEC 27002 apunta a la MFA para sistemas importantes, pero la norma deja la elección al tratamiento de riesgos. SOC 2 no tiene un criterio específico de MFA; los auditores lo evalúan dentro del acceso lógico (CC6.1) y, en la práctica, la mayoría la espera para el acceso remoto y privilegiado. La Regla de Seguridad vigente de HIPAA exige la autenticación de personas o entidades (§164.312(d)) sin especificar cómo; en enero de 2025, HHS propuso exigir MFA. RGPD (GDPR) exige una seguridad acorde con el riesgo y no nombra controles concretos.
Hacia dónde se dirigen los marcos: resistencia al phishing
La tendencia está clara. Las directrices de identidad digital de NIST (SP 800-63B) y CISA favorecen los autenticadores resistentes al phishing, como las llaves de seguridad FIDO2 y las passkeys, frente a los códigos de un solo uso enviados por SMS o por aplicación. El Essential Eight incorpora la resistencia al phishing en sus niveles de madurez más altos. Si está eligiendo un método de MFA ahora, diséñelo para el marco más exigente al que podría enfrentarse: resistente al phishing primero para administradores y acceso remoto, y después para todos.
Puntos clave
- PCI DSS, CMMC, SP 800-53, CIS, NIS2 y el Essential Eight nombran la MFA de forma explícita.
- ISO 27001 y SOC 2 la implican; HIPAA podría exigirla pronto.
- Diseñe ahora una MFA resistente al phishing, empezando por administradores y acceso remoto.
Una base práctica
- MFA en todo acceso remoto: VPN, escritorio remoto, consolas en la nube, correo electrónico y todas las aplicaciones expuestas externamente.
- MFA para cada acción privilegiada, incluido el acceso de administrador local cuando aplique CMMC.
- MFA para todos los que puedan acceder a datos sensibles (el «todo acceso al CDE» de PCI).
- Métodos resistentes al phishing para administradores ahora, y para todos en cuanto sea posible.
- Registre los eventos de MFA y genere alertas por fallos y por nuevos registros de dispositivos.
La página del tema Multi-Factor Auth enumera cada ID de requisito con su fuente, y el análisis de brechas muestra cómo se comparan los requisitos de MFA de su marco actual con el siguiente que necesita.
Preguntas
¿Qué marcos exigen MFA de forma explícita?
PCI DSS v4.0.1 (8.4.1–8.4.3), CMMC Level 2 (IA.L2-3.5.3), SP 800-53 (IA-2(1) e IA-2(2)), los CIS Controls (6.3–6.5), el Reglamento de Ejecución de NIS2 (11.7) y el Essential Eight. ISO 27001 y SOC 2 exigen autenticación segura sin nombrar la MFA.
¿Exige HIPAA la MFA?
La Regla de Seguridad vigente exige autenticación de personas o entidades, no específicamente MFA. En enero de 2025, HHS propuso exigir MFA; compruebe si esa propuesta se ha finalizado.
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-27Cyber Essentials frente a Essential Eight: dos referencias nacionales comparadasEl Cyber Essentials del Reino Unido y el Essential Eight de Australia persiguen ambos los ataques más comunes, pero cubren terrenos distintos. Qué se solapa, qué no y por qué.
Análisis · 2026-10-27DORA frente a NIS2: qué cubre ya un programa NIS2DORA y NIS2 comparten casi todo su contenido de seguridad; DORA añade registro, cláusulas y pruebas basadas en amenazas. Qué se traslada, artículo por artículo.