Metodología
ControlMapping agrupa los requisitos de seguridad en 50 temas (Cifrado, Autenticación multifactor, Respuesta a incidentes, …) y muestra qué requisito de cada marco cubre cada tema. Esta página explica de dónde procede cada mapeo, para que puedas valorar hasta qué punto conviene fiarte de él.
Cómo leer los glifos
Los mismos cinco glifos significan lo mismo en todas las páginas. Cada uno lleva una etiqueta; el color es solo un refuerzo.
- Definición del tema: resultados de NIST CSF 2.0 que definen el tema.
- Correspondencia: una correspondencia publicada (NIST, ENISA, CIS, PCI SSC) establece el vínculo.
- Editorial: criterio de ControlMapping cuando no existe una correspondencia; se muestra el motivo.
- : solo comparte un resultado de CSF 2.0: conviene revisarlo, pero no es un mapeo.
- Sin correspondencia en nuestros datos: no hay nada mapeado en nuestros datos; a menudo se trata de trabajo nuevo, pero consulta las notas de cobertura.
Un mapeo es una Correspondencia o una Editorial: los dos requisitos se incluyen de forma curada en el mismo tema, o se vinculan directamente. Solo los mapeos cuentan como cobertura, en la herramienta de brechas, las comparaciones y los recuentos. es una pista que conviene revisar, nunca cobertura.
Sin correspondencia en nuestros datos significa que no hay nada mapeado en nuestros datos. En la mayoría de los marcos es probable que se trate de trabajo nuevo, pero la cobertura es desigual: CIS v8.1: la mayoría de los vínculos de CIS son editoriales; la correspondencia publicada por CIS cubre 49 de 153 salvaguardas; SOC 2: los vínculos de SOC 2 son solo editoriales; RGPD (GDPR): solo se han mapeado, de forma editorial, los artículos de seguridad del RGPD; Essential Eight: los vínculos de Essential Eight son solo editoriales; DORA: los vínculos de DORA son editoriales, y sus normas técnicas no están mapeadas; CPS 234: CPS 234 se basa en principios y sus vínculos son editoriales; Cyber Essentials: Cyber Essentials cubre solo cinco controles técnicos. Trata la falta de mapeo en esos casos como «aún no mapeado» y compruébalo antes de presupuestar.
1. NIST CSF 2.0 es el eje
Cada tema se define mediante una o más subcategorías de NIST Cybersecurity Framework 2.0 (por ejemplo, Cifrado = PR.DS-01 datos en reposo y PR.DS-02 datos en tránsito). Elegir esas subcategorías es una decisión editorial nuestra, y se muestra en cada página de tema.
2. Correspondencia frente a editorial
Para cada uno de los demás marcos, cada requisito asociado a un tema se contrasta con las correspondencias publicadas en el catálogo Online Informative References (OLIR) de NIST:
- Correspondencia: una correspondencia publicada vincula ese requisito con una de las subcategorías de CSF del tema, directamente o a través de un control de SP 800-53 que a su vez está vinculado. El vínculo se muestra, por ejemplo, "Correspondencia: PR.DS-01" o "Mapa HIPAA de NIST: SC-13".
- Editorial: ninguna correspondencia publicada establece el vínculo, pero lo consideramos pertinente, y se muestra el motivo. Todos los mapeos de RGPD, SOC 2 y Essential Eight son editoriales: no existe para ellos ninguna correspondencia con licencia abierta.
Las correspondencias difieren en autoridad. Las elaboradas por NIST o por el propietario del marco (CIS para CIS Controls) son las más sólidas. La correspondencia de PCI DSS es de PCI SSC. Las correspondencias de ISO 27001 con CSF 2.0 fueron presentadas por terceros independientes, y NIST no verifica la exactitud de las presentaciones ajenas a NIST. Los vínculos con ISO también se contrastan con el mapeo propio de NIST de 800-53 a ISO 27001. La tabla siguiente indica cada fuente.
Los vínculos a través de familias completas de controles 800-53 (los datos más antiguos de NIST vinculan algunas subcategorías con todas las familias) no se cuentan como evidencia. Un vínculo CMMC, HIPAA o ISO que pase por un control de SP 800-53 solo cuenta si ese control de 800-53 está, a su vez, vinculado por correspondencia con el tema.
De los 968 mapeos de requisitos fuera de CSF 2.0, 475 están respaldados por una correspondencia y 493 son editoriales.
3. Relaciones entre requisitos
Las páginas de requisitos, las comparaciones, la herramienta de brechas y las descargas relacionan requisitos entre marcos. Dos requisitos se consideran mapeados cuando:
- ambos son elegidos dentro del mismo tema de ControlMapping (seleccionados y validados como se ha explicado). El vínculo es Correspondencia cuando ambas selecciones están respaldadas por una correspondencia en ese tema, y Editorial en caso contrario; o
- un mapeo por pares los vincula directamente: la tabla de ENISA de NIS2 a ISO 27001, la correspondencia de NIST de HIPAA a SP 800-53, el mapeo de NIST de SP 800-53 a ISO 27001 o, para CMMC, el Apéndice D de NIST SP 800-171r2 y las referencias de SP 800-171r3 a SP 800-53 (todos Correspondencia). Cuando no existe ninguna correspondencia, un pequeño conjunto de pares editoriales de ControlMapping (por ejemplo, SOC 2 CC4.1 ↔ ISO 27001 cláusula 9.2) cubre huecos evidentes; cada uno indica su motivo (Editorial).
En los demás casos, dos requisitos vinculados a la misma subcategoría de NIST CSF 2.0 se muestran como : abordan resultados relacionados, pero uno no satisface al otro. Estas pistas se ordenan (primero las respaldadas por correspondencia, después según los resultados compartidos), se limitan a 8 por marco en las páginas de requisitos y permanecen plegadas. Se descartan dos tipos de vínculo por ser ruido: los que se comparten solo a través de los resultados genéricos de mejora de CSF (ID.IM) y los controles de políticas y procedimientos "-1" de SP 800-53, salvo que el resultado compartido sea de política (GV.PO).
Las prácticas de CMMC llegan a CSF 2.0 a través de su equivalente en SP 800-171 Rev 3 o de los controles 800-53 del Apéndice D, y los requisitos de HIPAA a través de la correspondencia de NIST de HIPAA a SP 800-53. Las descargas incluyen todos los vínculos de requisito a CSF 2.0, para que puedas verificar o ampliar el trabajo.
4. Cada ID se valida
La compilación falla si algún ID de requisito no existe en el catálogo de su marco o ha sido retirado (por ejemplo, los ID de CSF 1.1 como ID.BE-01, retirados en CSF 2.0).
5. Fuentes y versiones
| Marco | Catálogo de requisitos | Correspondencia utilizada | Mapeos (correspondencia) |
|---|---|---|---|
| NIST Cybersecurity Framework 2.0 | Exportación de CSF 2.0 desde CPRT de NIST (incl. subcategorías 1.1 retiradas) | El eje: cada tema se define mediante subcategorías de CSF 2.0 | — |
| ISO/IEC 27001:2022 | Números de controles del Anexo A y cláusulas con títulos breves (el texto de la norma es propiedad de ISO) | ISO/IEC 27001:2022 a CSF 2.0 (OLIR, presentadores independientes) y el mapeo propio de NIST de SP 800-53 Rev 5 a ISO/IEC 27001:2022 | 105 (99) |
| CIS Controls v8.1 | Salvaguardas de CIS Controls v8.1 con los títulos de CIS (CC BY-NC-ND 4.0) | La correspondencia propia de CIS entre CIS Controls v8.1 y CSF 2.0 en OLIR, que cubre 49 de 153 salvaguardas; el resto son editoriales | 163 (40) |
| SOC 2 (Trust Services Criteria) | IDs de los Trust Services Criteria de 2017 (puntos de enfoque revisados de 2022) con resúmenes propios de una línea de ControlMapping; el texto de los criterios es propiedad de AICPA | AICPA publica correspondencias de TSC (p. ej., con NIST 800-53 e ISO 27001), pero no con licencia abierta, así que todos los mapeos de SOC 2 aquí son editoriales de ControlMapping | 66 (0) |
| PCI DSS v4.0.1 | Numeración de requisitos de PCI DSS v4.0.1 (contrastada con la correspondencia) con resúmenes propios de una línea de ControlMapping; el texto de los requisitos es propiedad de PCI SSC | La correspondencia propia de PCI SSC entre PCI DSS v4.0.1 y CSF 2.0 (Consejo Asesor), publicada en las referencias informativas de CSF 2.0 de NIST | 95 (70) |
| CMMC Level 2 | Exportación de SP 800-171 Rev 2 desde CPRT de NIST (las 110 prácticas de CMMC Level 2) con los nombres de prácticas de CMMC Level 2 del DoD | Apéndice D de NIST SP 800-171 Rev 2 (→ SP 800-53; los ID de Rev 4 se trasladan a Rev 5), además de las referencias de SP 800-171 Rev 3 → SP 800-53 y CSF 2.0 → 800-171r3 a través del requisito equivalente de Rev 3 | 72 (60) |
| NIST SP 800-53 Rev 5.2 | Catálogo OSCAL de NIST, SP 800-53 Rev 5.2.0 (incl. controles retirados) | Referencias informativas de NIST CSF 2.0 (800-53 Rev 5.2.0 y 5.1.1) | 120 (106) |
| HIPAA Security Rule | NIST SP 800-66r2 (CPRT): normas y especificaciones de implementación de la Security Rule. Los ID siguen la forma de NIST, que omite el (1) final del CFR en las normas: §164.310(a) aquí es §164.310(a)(1) | Correspondencia de NIST entre la HIPAA Security Rule y SP 800-53 Rev 5.1.1 (OLIR), a través de los controles 800-53 del tema respaldados por correspondencia | 47 (36) |
| RGPD (GDPR) | Artículos del RGPD con obligaciones de seguridad (arts. 5, 24–25, 28–30, 32–35, 37–39) | No existe ninguna (el RGPD es una norma de privacidad), así que todos los mapeos del RGPD son editoriales | 34 (0) |
| NIS2 Implementing Regulation (EU) 2024/2690 | Los 49 puntos de requisitos del Anexo del Reglamento de Ejecución de la Comisión (UE) 2024/2690, con los títulos de ENISA | Tabla oficial de correspondencia de ENISA (v1.2) de cada punto a NIST CSF 2.0 e ISO/IEC 27001:2022; normalizada (p. ej., los ID retirados de CSF 1.1 se trasladan con los datos de NIST), y los vínculos genéricos de mejora ID.IM solo se usan cuando no hay nada más mapeado | 65 (64) |
| ASD Essential Eight | Los 126 controles del Information Security Manual que ASD etiqueta con los niveles de madurez de Essential Eight (ISM septiembre de 2026, CC BY 4.0), agrupados según las ocho estrategias de ASD | Ninguna: ASD no publica correspondencia de Essential Eight/ISM con NIST ni con ISO, así que los vínculos estrategia → CSF 2.0 y los mapeos de temas son editoriales de ControlMapping. La asignación de controles a estrategias sigue el Essential Eight Maturity Model de ASD | 62 (0) |
| DORA (Reglamento (UE) 2022/2554) | Reglamento (UE) 2022/2554 tal como se publicó en el Diario Oficial (Oficina de Publicaciones): los 22 artículos que obligan a las entidades financieras, con el texto de sus apartados y puntos | No existe ninguna, así que todos los mapeos de DORA son editoriales, hechos a nivel de apartado o punto, con un motivo para cada uno | 93 (0) |
| APRA CPS 234 Information Security | Norma Prudencial CPS 234 de APRA tal como se registró en el Federal Register of Legislation (F2018L01745, CC BY 4.0): párrafos operativos 13 a 36, con títulos breves de ControlMapping | No existe ninguna, así que todos los mapeos de CPS 234 son editoriales | 35 (0) |
| UK Cyber Essentials (NCSC) | Cyber Essentials Requirements for IT Infrastructure v3.3 del NCSC (abril de 2026): los cinco temas de controles técnicos (copyright de la Corona: solo nombres) | No existe ninguna, así que todos los mapeos de Cyber Essentials son editoriales, y cada uno indica el requisito concreto | 11 (0) |
Datos de origen obtenidos el 2026-10-16; mapeos generados el 2026-10-27.
6. Lagunas conocidas
- La correspondencia de CSF de PCI SSC omite algunos requisitos básicos, incluidos los requisitos de MFA (8.4.x) y la mayor parte de los controles de seguridad de red del Requisito 1. Cuando los incluimos, se marcan como editoriales.
- La correspondencia OLIR de CIS solo cubre 49 de las 153 salvaguardas de CIS v8.1, así que muchos mapeos de CIS son editoriales. CIS publica un mapeo más completo tras un formulario de descarga, que no está incorporado.
- La correspondencia de NIST para HIPAA se dirige a SP 800-53, así que un requisito de HIPAA solo cuenta como respaldado por correspondencia cuando llega a uno de los controles 800-53 del tema vinculados por correspondencia.
- CMMC Level 2 es SP 800-171 Rev 2. Sus vínculos oficiales proceden del propio Apéndice D de Rev 2 (que cita controles de SP 800-53 Rev 4; siete retirados en Rev 5 siguen los vínculos de incorporación de NIST, y SC-19 para VoIP no tiene sucesor) y del requisito equivalente de Rev 3. Rev 3 reescribió algunos requisitos, así que un vínculo de Rev 3 es evidencia del mismo tema, no de una redacción idéntica.
- Algunos temas no tienen un requisito equivalente en un marco. Por ejemplo, CMMC Level 2 no tiene una práctica de planificación de recuperación y CIS v8.1 no tiene una salvaguarda de gobernanza. Estas lagunas son reales, no omisiones.
7. No es asesoramiento de cumplimiento
Las correspondencias muestran dónde los marcos abordan resultados similares. No demuestran que cumplir un requisito satisfaga otro. Confírmalo con el texto oficial de cada marco y con tu evaluador o auditor.