Niveles de NIST CSF 2.0 y niveles de madurez explicados
«¿En qué nivel de NIST CSF estamos?» es una de las preguntas de seguridad más comunes en un consejo, y es fácil responderla mal: tratando los Niveles como una nota que hay que maximizar. NIST CSF 2.0 deja claro que no lo son. Los cuatro Niveles describen cómo gestiona tu organización el riesgo de ciberseguridad —qué tan formal, qué tan integrado, qué tan adaptativo—, no una puntuación que debas llevar al máximo por sí misma. Esto es lo que significa realmente cada Nivel y cómo hacer una evaluación de madurez que produzca un plan y no solo una cifra.
¿Quieres ir directo a una puntuación? Usa nuestra herramienta de evaluación de madurez NIST CSF 2.0 →: una autoevaluación interactiva y puntuada de las seis Funciones que convierte tus respuestas en un Perfil actual y en un plan de brechas priorizado. El resto de esta guía explica qué significan los Niveles para que el resultado tenga sentido.
Los cuatro Niveles
| Nivel | Proceso de gestión del riesgo | Integración y conciencia | Participación externa |
|---|---|---|---|
| 1 — Parcial | Ad hoc, reactivo, caso por caso | Poca conciencia del riesgo cibernético en la organización | Poco o ningún intercambio de información |
| 2 — Informado por el riesgo | Prácticas aprobadas por la dirección, pero no establecidas como política de toda la organización | Existe conciencia; la priorización es inconsistente | Intercambio informal e irregular |
| 3 — Repetible | Política formal, llevada a la práctica y actualizada según cambia el riesgo | Enfoque en toda la organización; métodos consistentes | Colaboración regular con socios |
| 4 — Adaptativo | Mejora continua; las lecciones se incorporan casi en tiempo real | Cultura informada por el riesgo; indicadores predictivos | Intercambio de información activo y bidireccional |
- Nivel 1 — Parcial: la gestión del riesgo es ad hoc y reactiva. El riesgo de ciberseguridad se trata caso por caso, la conciencia es limitada y hay poca coordinación en toda la organización.
- Nivel 2 — Informado por el riesgo: la dirección aprueba las prácticas de gestión del riesgo, pero puede que no estén establecidas como política de toda la organización. Existe conciencia, pero los procesos son inconsistentes entre áreas.
- Nivel 3 — Repetible: las prácticas están definidas formalmente, documentadas, se aplican de forma consistente y se actualizan con regularidad a medida que cambian el riesgo y el negocio. Los roles y responsabilidades están claros.
- Nivel 4 — Adaptativo: la organización mejora continuamente sus prácticas a partir de las lecciones aprendidas y de indicadores predictivos, y el riesgo de ciberseguridad está integrado en la cultura de riesgo empresarial y en los presupuestos.
Léelos como una descripción del rigor y la integración, no como una escalera que todos deben subir hasta arriba.
¿NIST CSF tiene niveles de madurez?
NIST no define niveles de madurez para el CSF. Sus cuatro Niveles describen qué tan rigurosas e integradas son en conjunto tu gobernanza y tu gestión del riesgo de ciberseguridad, y NIST advierte contra tratarlos como niveles que subir por sí mismos. Cuando la gente pide «los niveles de madurez de NIST CSF», normalmente se refiere a una escala de puntuación por resultado que los evaluadores añaden encima del marco.
- Niveles (de NIST): son cuatro, Parcial, Informado por el riesgo, Repetible y Adaptativo. Caracterizan el enfoque general de la organización y ayudan a fijar las expectativas de un Perfil objetivo.
- Puntuaciones de madurez (añadidas por los evaluadores): normalmente una escala de 0 a 5 o de 1 a 5 aplicada a cada Categoría o Subcategoría. Muchas se basan en niveles al estilo CMMI: Inicial, Gestionado, Definido, Gestionado cuantitativamente y En optimización. Miden qué tan bien se logra un resultado concreto.
Ambos responden preguntas distintas. Una puntuación de madurez te dice, por ejemplo, que la planificación de la respuesta a incidentes (en Responder) puntúa 2 de 5 mientras que el inventario de activos (en Identificar) puntúa 4. Un Nivel te dice si las decisiones de riesgo en toda la organización son ad hoc o formales, repetibles e informadas por el riesgo. Evita el error común de usar los números de Nivel como puntuaciones por control: no se diseñaron para eso. Puntúa los resultados con una escala de madurez para construir tus Perfiles actual y objetivo, y usa los Niveles para describir y acordar el rigor general al que apuntas.
Los Niveles no son el objetivo: los perfiles sí
El mecanismo práctico de CSF 2.0 es el Perfil organizacional: un Perfil actual (lo que haces hoy) y un Perfil objetivo (lo que justifican tu apetito de riesgo, tus obligaciones y tus recursos). El trabajo de madurez consiste en cerrar la brecha entre ambos en las seis Funciones —Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar—, donde Gobernar es nueva en la versión 2.0 y convierte la gobernanza en una parte central de la evaluación.
Cómo hacer la evaluación
- Puntúa el Perfil actual. Recorre cada Función y sus Categorías, calificando qué tan consistente y completamente se logra cada resultado.
- Fija un Perfil objetivo. Decide el nivel adecuado por Función según el riesgo, no un Nivel 4 general.
- Identifica y prioriza las brechas. Convierte las diferencias en un plan de acción con costes y responsables, empezando por el mayor riesgo.
- Vuelve a evaluar periódicamente. Sigue el avance para mostrar progreso al consejo y justificar la inversión.
Haz una evaluación interactiva y puntuada con la herramienta de evaluación NIST CSF →, consigue plantillas en el kit de herramientas de NIST CSF y mira el método paso a paso en cómo hacer una evaluación de CSF 2.0.
Preguntas frecuentes
¿Qué es el NIST Cybersecurity Framework (NIST CSF)? El NIST Cybersecurity Framework es un marco voluntario y basado en resultados para gestionar el riesgo de ciberseguridad, organizado en torno a un conjunto de Funciones centrales. La versión 2.0 (2024) amplió su alcance más allá de la infraestructura crítica a organizaciones de cualquier tamaño y añadió Gobernar como Función central.
¿Cuáles son las cinco categorías de la ciberseguridad? Normalmente se refiere a las Funciones centrales del CSF. El marco original tenía cinco —Identificar, Proteger, Detectar, Responder y Recuperar— y CSF 2.0 añadió una sexta, Gobernar, que ahora está en el centro de las otras cinco.
¿Cuáles son los cuatro Niveles? Parcial (ad hoc), Informado por el riesgo (aprobado pero desigual), Repetible (formal y consistente) y Adaptativo (en mejora continua, integrado en el riesgo empresarial). Describen el rigor, no una nota.
¿Todos necesitan el Nivel 4? No: NIST dice que se avance a Niveles superiores solo cuando reduzca el riesgo de forma rentable.
¿Cómo se hace la evaluación? Puntúa un Perfil actual en las seis Funciones, fija un Perfil objetivo acorde al riesgo, cierra la brecha y vuelve a evaluar.
¿Qué cambió en la 2.0? Se añadió la Función Gobernar, el alcance se amplió a todas las organizaciones y los Perfiles organizacionales pasaron a ser el vehículo para medir la madurez.
¿Listo para evaluar? Empieza ya con la herramienta de evaluación de madurez NIST CSF 2.0 →: convierte estos Niveles en un Perfil actual puntuado, un Perfil objetivo acorde al riesgo y un plan de acción priorizado que puedes llevar al consejo.
Preguntas frecuentes
¿Cuáles son los niveles de madurez de NIST CSF?
NIST no publica niveles de madurez para el CSF. Define cuatro Niveles (Parcial, Informado por el riesgo, Repetible, Adaptativo) que describen el rigor de la gobernanza y la gestión del riesgo en general. Los evaluadores suelen añadir su propia escala de madurez de 0 a 5 o de 1 a 5, a menudo basada en niveles al estilo CMMI, para puntuar cada Categoría o Subcategoría al construir los Perfiles actual y objetivo.
¿Qué es el NIST Cybersecurity Framework (NIST CSF)?
El NIST Cybersecurity Framework es un marco voluntario y basado en resultados para gestionar el riesgo de ciberseguridad, organizado en torno a un conjunto de Funciones centrales. La versión 2.0 (2024) amplió su alcance más allá de la infraestructura crítica a organizaciones de cualquier tamaño y añadió Gobernar como Función central.
¿Cuáles son las cinco categorías de la ciberseguridad?
Normalmente se refiere a las Funciones centrales del CSF. El marco original tenía cinco —Identificar, Proteger, Detectar, Responder y Recuperar— y CSF 2.0 añadió una sexta, Gobernar, que ahora está en el centro de las otras cinco.
¿Cuáles son los cuatro Niveles de NIST CSF 2.0?
Nivel 1 (Parcial): la gestión del riesgo es ad hoc y reactiva, con poca conciencia del riesgo de ciberseguridad. Nivel 2 (Informado por el riesgo): las prácticas de gestión del riesgo están aprobadas, pero puede que no abarquen toda la organización. Nivel 3 (Repetible): las prácticas están definidas formalmente, se aplican de forma consistente y se actualizan. Nivel 4 (Adaptativo): la organización adapta continuamente sus prácticas a partir de las lecciones aprendidas y de indicadores predictivos, y el riesgo de ciberseguridad forma parte de la cultura de riesgo empresarial. Los Niveles describen el rigor y la integración, no una puntuación de aprobado o suspenso.
¿Todas las organizaciones necesitan llegar al Nivel 4?
No. NIST deja claro que los Niveles no representan niveles de madurez que haya que alcanzar por sí mismos, y que solo se recomienda avanzar a Niveles superiores cuando eso reduzca el riesgo de ciberseguridad de forma rentable y sea viable. Una organización pequeña que funciona bien en el Nivel 2 o 3 puede estar tomando una decisión de riesgo sensata; forzar el Nivel 4 en todo puede desperdiciar recursos.
¿Cómo se hace una evaluación de madurez de CSF 2.0?
Puntúas la práctica actual en las seis Funciones —Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar— y sus Categorías, estableciendo un Perfil actual. Luego defines un Perfil objetivo acorde a tu apetito de riesgo, tus obligaciones y tus recursos. La diferencia entre ambos es tu brecha, que conviertes en un plan de acción priorizado y con costes, y vuelves a evaluar periódicamente para mostrar el avance.
¿Qué cambió en los Niveles y la madurez con CSF 2.0?
CSF 2.0 (publicado en 2024) añadió la Función Gobernar, que convierte la gobernanza en una parte central de la evaluación, y amplió el marco más allá de la infraestructura crítica a todas las organizaciones. El concepto de Niveles se mantuvo, ahora aplicado explícitamente a los perfiles y las funciones, y CSF 2.0 insiste en usar los Perfiles organizacionales (actual frente a objetivo) como el vehículo práctico para medir y mejorar la madurez.