Comparación
NIS2 frente a NIST CSF 2.0: un requisito legal de la UE desde la perspectiva de NIST
NIST Cybersecurity Framework 2.0 · NIS2 Implementing Regulation (EU) 2024/2690 · datos 2026-10-27
Para las organizaciones que gestionan su programa de seguridad con NIST CSF 2.0, a menudo empresas con sede en EE. UU. y operaciones en la UE, la cuestión es hasta qué punto CSF les acerca a NIS2. La guía técnica de implementación de ENISA correlaciona cada requisito del Reglamento de Ejecución (UE) 2024/2690 con las subcategorías de CSF 2.0, así como con ISO 27001.
La respuesta es: en gran medida, en lo que respecta a las medidas técnicas. Casi todos los puntos de NIS2 están cubiertos por resultados de CSF, aunque algunos solo guardan una relación tangencial. El único punto sin correspondencia se refiere a la devolución o eliminación de activos cuando finaliza la relación laboral, que ENISA correlaciona con ISO, pero no con CSF.
Al pasar de NIS2 a CSF, los resultados de CSF sin correspondencia son, en su mayoría, elementos de gobernanza estratégica que NIS2 no detalla: revisión de la misión y la estrategia de la organización, orientación sobre el apetito de riesgo, líneas de comunicación para el riesgo y verificación de identidad.
Como ocurre con ISO, la correspondencia no equivale a cumplimiento. Las obligaciones legales de NIS2 (responsabilidad y formación del órgano de dirección, plazos de notificación de incidentes del artículo 23, registro y transposición nacional) quedan fuera de cualquier marco de control.
Conclusiones clave
- Un Perfil objetivo de CSF que incluya las subcategorías correlacionadas con NIS2 es un buen plan de implementación de NIS2.
- Añada explícitamente las obligaciones específicas de la UE: plazos de notificación al CSIRT, formación de la dirección y registro nacional.
- Si además necesita certificación, la vía es ISO 27001; CSF no es certificable.
Descargar esta comparación (CSV) Abrir en análisis de brechas →
Tiene NIST CSF 2.0 → necesita NIS2
49 req. 45 asignados · · 1 sin asignación Abrir en vista de brechas →De los 49 requisitos de NIS2 Implementing Regulation (EU) 2024/2690, 45 se corresponden con algo en NIST CSF 2.0, 3 solo guardan una relación tangencial y 1 no tienen correspondencia en nuestros datos.
NIS2 aquí se refiere a las medidas técnicas del Reglamento de Ejecución (UE) 2024/2690, que se aplica directamente a proveedores de infraestructura digital y de servicios TIC; las demás entidades NIS2 siguen la transposición de su país del artículo 21. Los plazos de notificación de incidentes (artículo 23) no están incluidos en el alcance. El mapeo de ENISA no es vinculante.
Probablemente trabajo nuevo: requisitos de NIS2 sin correspondencia con NIST CSF 2.0 (1)
| NIS2 | Requisito | Coincidencia | NIST CSF 2.0 | Evidencia |
|---|---|---|---|---|
| 12. Asset management · 1 | ||||
| 12.5 | Deposit, return or deletion of assets upon termination of employment | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIST CSF 2.0 en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (3)
| NIS2 | Requisito | Coincidencia | NIST CSF 2.0 | Evidencia |
|---|---|---|---|---|
| 6. Security in acquisition, development and maintenance · 1 | ||||
| 6.4 | Change management, repairs and maintenance | ID.RA-07 | Solo comparte subcategorías de CSF ID.RA-07: relacionado, no es una correspondencia | |
| 10. Human resources security · 2 | ||||
| 10.1 | Human resources security | GV.RR-04PR.AT-02 | Solo comparte subcategorías de CSF GV.RR-04, PR.AT-02: relacionado, no es una correspondencia | |
| 10.3 | Termination or change of employment procedures | GV.RR-04 | Solo comparte subcategorías de CSF GV.RR-04: relacionado, no es una correspondencia | |
Correspondencia (45)
| NIS2 | Requisito | Coincidencia | NIST CSF 2.0 | Evidencia |
|---|---|---|---|---|
| 1. Policy on the security of network and information systems · 2 | ||||
| 1.1 | Policy on the security of network and information systems | Correspondencia | GV.PO-01GV.PO-02 | Mismo tema: Política de gobernanza |
| 1.2 | Roles, responsibilities and authorities | Correspondencia | GV.RR-01GV.RR-02GV.RR-03 | Mismo tema: Funciones y responsabilidades |
| 2. Risk management policy · 3 | ||||
| 2.1 | Risk management framework | Correspondencia | GV.RM-01GV.RM-02GV.RM-03+5 | Mismo tema: Gestión de riesgos |
| 2.2 | Compliance monitoring | Correspondencia | GV.OC-03GV.OV-03 | Mismo tema: Cumplimiento |
| 2.3 | Independent review of information and network security | Editorial | GV.OC-03GV.OV-03 | Mismo tema: Cumplimiento (selección editorial) |
| 3. Incident handling · 6 | ||||
| 3.1 | Incident handling policy | Correspondencia | ID.IM-04RS.MA-01RS.MA-02+2 | Mismo tema: Respuesta a incidentes |
| 3.2 | Monitoring and logging | Correspondencia | DE.AE-02DE.AE-03DE.AE-06+5 | Mismo tema: Detección de intrusiones, Registro y auditoría, SIEM / SOC |
| 3.3 | Event reporting | Correspondencia | RS.CO-02 | Mismo tema: Notificación |
| 3.4 | Event assessment and classification | Correspondencia | DE.AE-02DE.AE-03DE.AE-04+3 | Mismo tema: Detección de anomalías, SIEM / SOC |
| 3.5 | Incident response | Correspondencia | ID.IM-04RS.AN-03RS.AN-06+7 | Mismo tema: Respuesta a incidentes, Análisis forense |
| 3.6 | Post-incident reviews | Correspondencia | ID.IM-03RC.RP-06 | Mismo tema: Lecciones aprendidas |
| 4. Business continuity and crisis management · 3 | ||||
| 4.1 | Business continuity and disaster recovery plan | Correspondencia | GV.OC-04ID.IM-04PR.IR-03+4 | Mismo tema: Continuidad del negocio, Planificación de la recuperación, Recuperación ante desastres |
| 4.2 | Backup management | Correspondencia | PR.DS-11PR.IR-03RC.RP-02+2 | Mismo tema: Copias de seguridad y recuperación, Recuperación ante desastres |
| 4.3 | Crisis management | Correspondencia | GV.OC-04PR.IR-03RC.CO-03+4 | Mismo tema: Continuidad del negocio, Comunicaciones y restauración |
| 5. Supply chain security · 2 | ||||
| 5.1 | Supply chain security policy | Correspondencia | DE.CM-06GV.SC-01GV.SC-03+7 | Mismo tema: Gestión de riesgos de proveedores, Riesgo de la cadena de suministro |
| 5.2 | Directory of suppliers and service providers | Correspondencia | DE.CM-06GV.SC-04GV.SC-06+2 | Mismo tema: Gestión de riesgos de proveedores |
| 6. Security in acquisition, development and maintenance · 9 | ||||
| 6.1 | Security in acquisition of ICT services, ICT systems or ICT products | Correspondencia | DE.CM-06GV.SC-01GV.SC-03+10 | Mismo tema: Gestión de riesgos de proveedores, Riesgo de la cadena de suministro |
| 6.2 | Secure development life cycle | Correspondencia | PR.PS-06 | Mismo tema: Desarrollo seguro |
| 6.3 | Configuration management | Correspondencia | PR.PS-01 | Mismo tema: Configuración segura |
| 6.5 | Security testing | Correspondencia | ID.RA-01ID.RA-08 | Mismo tema: Gestión de vulnerabilidades |
| 6.6 | Security patch management | Correspondencia | PR.PS-02 | Mismo tema: Gestión de parches |
| 6.7 | Network security | Correspondencia | ID.AM-03PR.IR-01 | Mismo tema: Cortafuegos / Segmentación de red |
| 6.8 | Network segmentation | Correspondencia | ID.AM-03PR.AA-03PR.AA-04+2 | Mismo tema: Cortafuegos / Segmentación de red, Confianza cero |
| 6.9 | Protection against malicious and unauthorised software | Correspondencia | DE.CM-09PR.DS-02PR.PS-05 | Mismo tema: Protección de endpoints, Seguridad del correo electrónico |
| 6.10 | Vulnerability handling and disclosure | Correspondencia | ID.RA-01ID.RA-08 | Mismo tema: Gestión de vulnerabilidades |
| 7. Assessing the effectiveness of cybersecurity risk-management measures · 1 | ||||
| 7.1 | Policies and procedures to assess the effectiveness of cybersecurity risk-management measures | Correspondencia | GV.RM-01GV.RM-02GV.RM-03+1 | Mismo tema: Gestión de riesgos |
| 8. Basic cyber hygiene practices and security training · 2 | ||||
| 8.1 | Awareness raising and basic cyber hygiene practices | Correspondencia | PR.AT-01PR.AT-02 | Mismo tema: Concienciación y formación |
| 8.2 | Security training | Correspondencia | PR.AT-01PR.AT-02 | Mismo tema: Concienciación y formación |
| 9. Cryptography · 1 | ||||
| 9.1 | Cryptography | Correspondencia | PR.DS-01PR.DS-02 | Mismo tema: Cifrado |
| 10. Human resources security · 2 | ||||
| 10.2 | Verification of Background | Correspondencia | DE.CM-03GV.RR-04 | Mismo tema: Amenaza interna |
| 10.4 | Disciplinary process | Correspondencia | DE.CM-03GV.RR-04 | Mismo tema: Amenaza interna |
| 11. Access control · 7 | ||||
| 11.1 | Access control policy | Correspondencia | PR.AA-01PR.AA-03PR.AA-04+2 | Mismo tema: Control de acceso, Confianza cero |
| 11.2 | Management of access rights | Correspondencia | PR.AA-01PR.AA-05 | Mismo tema: Control de acceso |
| 11.3 | Privileged accounts and system administration accounts | Correspondencia | PR.AA-05 | Mismo tema: Acceso privilegiado |
| 11.4 | Administration systems | Correspondencia | PR.AA-05 | Mismo tema: Acceso privilegiado |
| 11.5 | Identification | Correspondencia | PR.AA-01PR.AA-05 | Mismo tema: Control de acceso |
| 11.6 | Authentication | Correspondencia | PR.AA-03PR.AA-04PR.AA-05+1 | Mismo tema: Autenticación multifactor, Confianza cero |
| 11.7 | Multi-factor authentication | Correspondencia | PR.AA-03 | Mismo tema: Autenticación multifactor |
| 12. Asset management · 4 | ||||
| 12.1 | Asset classification | Correspondencia | ID.AM-05ID.AM-07 | Mismo tema: Clasificación de datos |
| 12.2 | Handling of assets | Correspondencia | PR.DS-01PR.DS-02PR.DS-10 | Mismo tema: Protección de datos |
| 12.3 | Removable media policy | Correspondencia | PR.DS-01PR.DS-02PR.DS-10 | Mismo tema: Protección de datos, DLP |
| 12.4 | Asset inventory | Correspondencia | ID.AM-01ID.AM-02ID.AM-04+1 | Mismo tema: Gestión de activos |
| 13. Environmental and physical security · 3 | ||||
| 13.1 | Supporting utilities | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| 13.2 | Protection against physical and environmental threats | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| 13.3 | Perimeter and physical access control | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
Tiene NIS2 → necesita NIST CSF 2.0
106 req. 85 asignados · · 9 sin asignación Abrir en vista de brechas →De los 106 requisitos de NIST Cybersecurity Framework 2.0, 85 se corresponden con algo en NIS2, 12 solo guardan una relación tangencial y 9 no tienen correspondencia en nuestros datos.
Probablemente trabajo nuevo: requisitos de NIST CSF 2.0 sin correspondencia con NIS2 (9)
| NIST CSF 2.0 | Requisito | Coincidencia | NIS2 | Evidencia |
|---|---|---|---|---|
| Govern (GV) · 5 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIS2 en nuestros datos. |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIS2 en nuestros datos. |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIS2 en nuestros datos. |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIS2 en nuestros datos. |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIS2 en nuestros datos. |
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIS2 en nuestros datos. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIS2 en nuestros datos. |
| Protect (PR) · 2 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIS2 en nuestros datos. |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIS2 en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (12)
| NIST CSF 2.0 | Requisito | Coincidencia | NIS2 | Evidencia |
|---|---|---|---|---|
| Detect (DE) · 1 | ||||
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | 4.3 | Solo comparte subcategorías de CSF DE.AE-07: relacionado, no es una correspondencia | |
| Govern (GV) · 6 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | 1.1 | Solo comparte subcategorías de CSF GV.OC-02: relacionado, no es una correspondencia | |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | 5.15.213.1 | Solo comparte subcategorías de CSF GV.OC-05: relacionado, no es una correspondencia | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | 2.22.3 | Solo comparte subcategorías de CSF GV.OV-02: relacionado, no es una correspondencia | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | 1.2 | Solo comparte subcategorías de CSF GV.SC-02: relacionado, no es una correspondencia | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | 3.14.1 | Solo comparte subcategorías de CSF GV.SC-08: relacionado, no es una correspondencia | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | 5.1 | Solo comparte subcategorías de CSF GV.SC-10: relacionado, no es una correspondencia | |
| Identify (ID) · 2 | ||||
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | 2.16.10 | Solo comparte subcategorías de CSF ID.RA-02: relacionado, no es una correspondencia | |
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | 6.4 | Solo comparte subcategorías de CSF ID.RA-07: relacionado, no es una correspondencia | |
| Protect (PR) · 1 | ||||
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | 6.10 | Solo comparte subcategorías de CSF PR.PS-03: relacionado, no es una correspondencia | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | 3.6 | Solo comparte subcategorías de CSF RS.AN-08: relacionado, no es una correspondencia | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | 3.1 | Solo comparte subcategorías de CSF RS.MA-05: relacionado, no es una correspondencia | |
Correspondencia (85)
| NIST CSF 2.0 | Requisito | Coincidencia | NIS2 | Evidencia |
|---|---|---|---|---|
| Detect (DE) · 10 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | Correspondencia | 3.23.4 | Mismo tema: Detección de intrusiones, Detección de anomalías |
| DE.AE-03 | Information is correlated from multiple sources | Correspondencia | 3.23.4 | Mismo tema: Registro y auditoría, SIEM / SOC |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Correspondencia | 3.4 | Mismo tema: Detección de anomalías |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Correspondencia | 3.23.4 | Mismo tema: SIEM / SOC |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Correspondencia | 3.23.4 | Mismo tema: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Correspondencia | 3.2 | Mismo tema: Monitoreo cont., Detección de intrusiones |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Correspondencia | 13.113.213.3 | Mismo tema: Seguridad física |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Correspondencia | 3.210.210.4 | Mismo tema: Monitoreo cont., Amenaza interna |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Correspondencia | 5.15.26.1 | Mismo tema: Gestión de riesgos de proveedores |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Correspondencia | 3.23.46.9 | Mismo tema: Monitoreo cont., Detección de anomalías, Protección de endpoints, Seguridad del correo electrónico |
| Govern (GV) · 20 | ||||
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Correspondencia | 2.22.3 | Mismo tema: Cumplimiento |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Correspondencia | 4.14.3 | Mismo tema: Continuidad del negocio |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Correspondencia | 2.22.3 | Mismo tema: Cumplimiento |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Correspondencia | 1.1 | Mismo tema: Política de gobernanza |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Correspondencia | 1.1 | Mismo tema: Política de gobernanza |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Correspondencia | 2.17.1 | Mismo tema: Gestión de riesgos |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Correspondencia | 2.17.1 | Mismo tema: Gestión de riesgos |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Correspondencia | 2.17.1 | Mismo tema: Gestión de riesgos |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Correspondencia | 2.17.1 | Mismo tema: Gestión de riesgos |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Correspondencia | 1.2 | Mismo tema: Funciones y responsabilidades |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Correspondencia | 1.2 | Mismo tema: Funciones y responsabilidades |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Correspondencia | 1.2 | Mismo tema: Funciones y responsabilidades |
| GV.RR-04 | Cybersecurity is included in human resources practices | Correspondencia | 10.210.4 | Mismo tema: Amenaza interna |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Correspondencia | 5.16.1 | Mismo tema: Riesgo de la cadena de suministro |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | Correspondencia | 5.16.1 | Mismo tema: Riesgo de la cadena de suministro |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Correspondencia | 5.15.26.1 | Mismo tema: Gestión de riesgos de proveedores |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | Correspondencia | 5.16.1 | Mismo tema: Riesgo de la cadena de suministro |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Correspondencia | 5.15.26.1 | Mismo tema: Gestión de riesgos de proveedores |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Correspondencia | 5.15.26.1 | Mismo tema: Gestión de riesgos de proveedores |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | Correspondencia | 5.16.1 | Mismo tema: Riesgo de la cadena de suministro |
| Identify (ID) · 17 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Correspondencia | 12.4 | Mismo tema: Gestión de activos |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Correspondencia | 12.4 | Mismo tema: Gestión de activos |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | Correspondencia | 6.76.8 | Mismo tema: Cortafuegos / Segmentación de red |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Correspondencia | 6.112.4 | Mismo tema: Seguridad en la nube, Gestión de activos |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | Correspondencia | 12.1 | Mismo tema: Clasificación de datos |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | Correspondencia | 12.1 | Mismo tema: Clasificación de datos |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Correspondencia | 12.4 | Mismo tema: Gestión de activos |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Correspondencia | 3.6 | Mismo tema: Lecciones aprendidas |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Correspondencia | 3.13.54.1 | Mismo tema: Respuesta a incidentes, Planificación de la recuperación |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Correspondencia | 6.56.10 | Mismo tema: Gestión de vulnerabilidades |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Correspondencia | 2.1 | Mismo tema: Evaluación de riesgos |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Correspondencia | 2.1 | Mismo tema: Evaluación de riesgos |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Correspondencia | 2.1 | Mismo tema: Evaluación de riesgos |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Correspondencia | 2.1 | Mismo tema: Evaluación de riesgos |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Correspondencia | 6.56.10 | Mismo tema: Gestión de vulnerabilidades |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | Correspondencia | 5.16.1 | Mismo tema: Riesgo de la cadena de suministro |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Correspondencia | 5.15.26.1 | Mismo tema: Gestión de riesgos de proveedores |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Correspondencia | 11.111.211.5 | Mismo tema: Control de acceso |
| PR.AA-03 | Users, services, and hardware are authenticated | Correspondencia | 6.811.111.6+1 | Mismo tema: Confianza cero, Autenticación multifactor |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Correspondencia | 6.811.111.6 | Mismo tema: Confianza cero |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Correspondencia | 6.811.111.2+4 | Mismo tema: Confianza cero, Control de acceso |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Correspondencia | 13.113.213.3 | Mismo tema: Seguridad física |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Correspondencia | 8.18.2 | Mismo tema: Concienciación y formación |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Correspondencia | 8.18.2 | Mismo tema: Concienciación y formación |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Correspondencia | 9.112.212.3 | Mismo tema: Cifrado, Protección de datos, DLP |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Correspondencia | 6.99.112.2+1 | Mismo tema: Seguridad del correo electrónico, Cifrado, Protección de datos |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Correspondencia | 12.212.3 | Mismo tema: Protección de datos, DLP |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Correspondencia | 4.2 | Mismo tema: Copias de seguridad y recuperación |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Correspondencia | 6.16.76.8+2 | Mismo tema: Seguridad en la nube, Cortafuegos / Segmentación de red, Confianza cero |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Correspondencia | 13.113.213.3 | Mismo tema: Seguridad física |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Correspondencia | 4.14.24.3 | Mismo tema: Continuidad del negocio, Recuperación ante desastres |
| PR.PS-01 | Configuration management practices are established and applied | Correspondencia | 6.16.3 | Mismo tema: Seguridad en la nube, Configuración segura |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Correspondencia | 6.6 | Mismo tema: Gestión de parches |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Correspondencia | 3.2 | Mismo tema: Registro y auditoría |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Correspondencia | 6.9 | Mismo tema: Protección de endpoints |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Correspondencia | 6.2 | Mismo tema: Desarrollo seguro |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | Correspondencia | 4.3 | Mismo tema: Comunicaciones y restauración |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | Correspondencia | 4.3 | Mismo tema: Comunicaciones y restauración |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Correspondencia | 4.1 | Mismo tema: Planificación de la recuperación |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Correspondencia | 4.14.2 | Mismo tema: Planificación de la recuperación, Recuperación ante desastres |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Correspondencia | 4.2 | Mismo tema: Copias de seguridad y recuperación |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Correspondencia | 4.14.3 | Mismo tema: Continuidad del negocio |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Correspondencia | 4.14.24.3 | Mismo tema: Recuperación ante desastres, Comunicaciones y restauración |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | Correspondencia | 3.6 | Mismo tema: Lecciones aprendidas |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | Correspondencia | 3.5 | Mismo tema: Análisis forense |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | Correspondencia | 3.5 | Mismo tema: Análisis forense |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | Correspondencia | 3.5 | Mismo tema: Análisis forense |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Correspondencia | 3.3 | Mismo tema: Notificación |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | Correspondencia | 4.3 | Mismo tema: Comunicación |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Correspondencia | 3.13.5 | Mismo tema: Respuesta a incidentes |
| RS.MA-02 | Incident reports are triaged and validated | Correspondencia | 3.13.5 | Mismo tema: Respuesta a incidentes |
| RS.MA-03 | Incidents are categorized and prioritized | Correspondencia | 3.13.5 | Mismo tema: Respuesta a incidentes |
| RS.MA-04 | Incidents are escalated or elevated as needed | Correspondencia | 3.13.5 | Mismo tema: Respuesta a incidentes |
| RS.MI-01 | Incidents are contained | Correspondencia | 3.5 | Mismo tema: Mitigación |
| RS.MI-02 | Incidents are eradicated | Correspondencia | 3.5 | Mismo tema: Mitigación |
Por tema
Ambos cubren (43):
Política de gobernanzaConcienciación y formaciónGestión de riesgosRiesgo de la cadena de suministroFunciones y responsabilidadesCumplimientoGestión de activosEvaluación de riesgosClasificación de datosGestión de vulnerabilidadesControl de accesoAutenticación multifactorCifradoProtección de datosCopias de seguridad y recuperaciónAcceso privilegiadoCortafuegos / Segmentación de redProtección de endpointsGestión de parchesConfiguración seguraDesarrollo seguroSeguridad del correo electrónicoConfianza ceroSeguridad en la nubeDLPMonitoreo cont.Registro y auditoríaDetección de intrusionesDetección de anomalíasSIEM / SOCRespuesta a incidentesAnálisis forenseComunicaciónMitigaciónNotificaciónPlanificación de la recuperaciónContinuidad del negocioLecciones aprendidasComunicaciones y restauraciónRecuperación ante desastresAmenaza internaGestión de riesgos de proveedoresSeguridad física
Solo NIST CSF 2.0 (7):
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Con correspondencia = incluido junto en un tema de ControlMapping, o vinculado directamente. Los crosswalks no demuestran cumplimiento. Metodología · Descargar los datos · Notificar un error.