No son competidores: ISO 27001 es un sistema de gestión certificable y NIST CSF un marco para priorizar. Una guía de decisión según tu situación, para no certificarte sin tener las bases.
«¿Implementamos ISO 27001 o NIST?» es una de las primeras preguntas que escuchamos cuando una empresa decide tomarse en serio su ciberseguridad, y casi siempre está mal planteada. No son competidores directos: responden a preguntas distintas. ISO 27001 te dice cómo gestionar la seguridad como sistema y permite que un tercero te certifique. NIST CSF te da un mapa para ordenar qué hacer y en qué orden, sin certificado al final. Elegir bien depende de qué necesitas lograr en los próximos doce meses.
Qué es cada uno, en una frase
- ISO/IEC 27001:2022 es una norma para construir y mantener un sistema de gestión de seguridad de la información. Exige definir un alcance, evaluar riesgos, decidir qué controles aplicar, medirlos, auditarlos internamente y revisarlos con la dirección. Su Anexo A reúne 93 controles agrupados en cuatro temas: organizacionales, de personas, físicos y tecnológicos. Una empresa puede certificarse con un organismo de certificación acreditado.
- NIST Cybersecurity Framework (CSF) 2.0, publicado en febrero de 2024, es un marco voluntario para organizar y comunicar la gestión del riesgo de ciberseguridad. Se estructura en seis funciones: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. La función Gobernar, nueva en la versión 2.0, subraya que la ciberseguridad es una decisión de la dirección y no solo de TI. No existe una certificación oficial del NIST CSF: se habla de alinearse con el marco o de medir un nivel de madurez.
Comparación práctica
| Criterio | ISO 27001 | NIST CSF 2.0 |
|---|---|---|
| Naturaleza | Norma de sistema de gestión | Marco de referencia |
| ¿Se certifica? | Sí, con un organismo de certificación acreditado | No hay certificación oficial |
| Cómo se obtiene | Se compra la norma | Es de descarga gratuita |
| Rigidez | Alta: requisitos obligatorios para certificar | Flexible: usted decide el nivel objetivo por área |
| Ciclo de vida | Auditorías de seguimiento anuales y recertificación cada tres años | Se evalúa y revisa al ritmo que la empresa defina |
| Fortaleza | Credibilidad ante clientes y licitaciones | Priorizar y comunicar el estado de seguridad con claridad |
| Debilidad | Exige documentación y disciplina sostenidas | Ningún tercero valida el resultado por usted |
Cuál conviene según tu situación
| Si tu situación es… | Empieza por… | Por qué |
|---|---|---|
| Un cliente grande o una licitación te piden el certificado ISO 27001 | ISO 27001 | El certificado es el entregable. Un marco sin certificación no cumple ese requisito. |
| No sabes por dónde empezar y casi no hay controles formales | NIST CSF | Te da un diagnóstico y un orden de prioridades antes de comprometerte con un sistema de gestión completo. |
| Un equipo de TI pequeño y presupuesto limitado | NIST CSF, con un objetivo por función | Puedes avanzar por etapas y demostrar mejora sin costos de auditoría externa todavía. |
| Operas con clientes o socios en Estados Unidos que ya trabajan con NIST | NIST CSF | Es el lenguaje que ya usan para evaluar proveedores. |
| Quieres vender en mercados internacionales con requisitos de proveedor estrictos | Ambos, en orden | NIST para ordenar la casa; ISO 27001 para certificarlo después. |
| La dirección no tiene claro quién es responsable de la seguridad | NIST CSF (función Gobernar) | Fuerza una conversación de responsabilidades y apetito de riesgo. |
El error más común: elegir por moda
Muchas empresas se lanzan a certificarse en ISO 27001 sin tener inventario de activos, sin saber quién accede a qué y sin respaldos probados. El resultado es un proyecto de documentación que consigue el certificado sin reducir el riesgo real. La norma es buena; el problema es llegar a ella sin las bases. Por eso solemos recomendar a empresas de menor madurez un diagnóstico contra NIST CSF primero, y decidir después si la certificación aporta valor comercial.
Lo contrario también ocurre: quedarse en «estamos alineados con NIST» durante años sin que nadie lo verifique. Ante un cliente exigente, una declaración propia pesa menos que un certificado emitido por un tercero.
No son excluyentes: cómo se combinan
- Diagnóstico con NIST CSF. Mide dónde estás en cada función y fija un objetivo realista. Sirve como línea base.
- Cierra las brechas de mayor riesgo. Accesos privilegiados, copias de seguridad recuperables, autenticación multifactor, preparación ante incidentes.
- Decide si certificar. Si tu mercado lo pide, construye el sistema de gestión ISO 27001 sobre lo ya ordenado: gran parte del trabajo de controles estará hecho.
- Mantén ambos vivos. NIST como tablero de seguimiento con la dirección; ISO como disciplina que audita que se cumpla.
Qué preguntarte antes de decidir
- ¿Algún cliente, licitación o aseguradora me pide hoy un certificado, o solo evidencia de buenas prácticas?
- ¿Tengo a alguien que pueda sostener la documentación y las auditorías internas todo el año?
- ¿Sé cuáles son mis activos críticos y quién tiene acceso a ellos?
- ¿Quién en la dirección responde por el riesgo de ciberseguridad?
Si no puedes responder las dos últimas, empieza por ahí antes de elegir cualquier marco.
Cómo te ayudamos a decidir
Puedes hacerte una primera idea con nuestra evaluación gratuita basada en NIST, que ordena tu situación en las funciones del marco. Si el objetivo es abrir mercados, el artículo sobre cómo el cumplimiento de ISO 27001 abre contratos internacionales explica el caso de negocio, y nuestro servicio de cumplimiento normativo te acompaña en la implementación. Para formarte en el tema, la Academia ofrece un curso gratuito de gobierno, riesgo y GRC. Y si necesitas liderazgo continuo sin contratar un CISO de tiempo completo, mira el modelo de Virtual CISO.
¿Necesita convertir estas recomendaciones en responsables, evidencia y un plan verificable? Conozca nuestro servicio de consultoría de cumplimiento y gobierno.
¿Prefiere formarse en el tema? La Academia de Structa Defense ofrece, sin costo, un curso gratuito de gobierno, riesgo y GRC en español.
Artículos relacionados
Continúe con estas guías del tema cumplimiento y gestión.