ISO 27001 vs NIST CSF 2.0

No. ISO 27001 es una norma internacional certificable publicada por ISO/IEC, que establece requisitos para un Sistema de Gestión de Seguridad de la Información (SGSI). NIST CSF es un framework voluntario creado por el Instituto Nacional de Estándares y Tecnología de Estados Unidos. ISO 27001 culmina en un certificado auditable; NIST CSF genera un perfil de madurez interno sin certificación formal.

Sí, y es una estrategia cada vez más común. ISO 27001 funciona como la base certificable del SGSI, mientras que NIST CSF se utiliza para mapear controles hacia clientes o regulaciones estadounidenses. Hay un solapamiento del 60-70 % entre los controles de ambos frameworks, lo que facilita la implementación conjunta sin duplicar esfuerzos significativos.

No. NIST CSF es un framework de buenas prácticas voluntario. No existe un proceso de certificación oficial para NIST CSF. Las organizaciones pueden realizar autoevaluaciones o contratar auditorías internas, pero no reciben un certificado reconocido internacionalmente como ocurre con ISO 27001.

Para una PyME (50-200 empleados), la inversión en ISO 27001 incluye consultoría de implementación (USD 5.000-15.000), auditoría de certificación (USD 3.000-8.000) y mantenimiento anual. NIST CSF tiene menor costo directo ya que no requiere certificación externa, pero sí inversión en consultoría y herramientas. La diferencia principal está en las auditorías externas de ISO 27001.

ISO 27001 típicamente requiere entre 6 y 12 meses para la implementación completa hasta la auditoría de certificación, dependiendo de la madurez inicial de la organización. NIST CSF puede implementarse de forma incremental en 3-6 meses para una evaluación inicial y plan de acción. Sin embargo, la madurez plena en cualquiera de los dos es un proceso continuo de mejora.

Para empresas argentinas que exportan, trabajan con clientes corporativos internacionales, participan en licitaciones o buscan expandirse a Europa/Latam, ISO 27001 es la opción más ventajosa por su reconocimiento global a través de la acreditación IAF MLA (170+ países). NIST CSF es más útil si tu mercado principal es Estados Unidos o si buscás un punto de partida flexible.

ISO 27001 es exigida o recomendada por el GDPR europeo, la Ley de Protección de Datos Personales argentina (Ley 25.326), regulaciones del BCRA para entidades financieras, la normativa CNV, contratos con gobiernos de la UE, licitaciones de Naciones Unidas y la mayoría de las corporaciones multinacionales como requisito para proveedores. NIST CSF es requerido principalmente por agencias del gobierno federal de EE.UU. y contratistas federales.

Sí. La versión ISO 27001:2022 actualizó el Anexo A con una nueva estructura de 93 controles organizados en 4 temas (Organizacionales, Personas, Físicos, Tecnológicos), reemplazando los 114 controles en 14 dominios de la versión 2013. Se añadieron 11 controles nuevos incluyendo inteligencia de amenazas, seguridad en la nube y filtrado web. Todas las certificaciones deben migrar a la versión 2022.

NIST CSF 2.0 fue publicado en febrero 2024. El cambio más significativo es la adición de una sexta función: "Govern" (Gobernar), que se suma a las cinco originales (Identificar, Proteger, Detectar, Responder, Recuperar). También amplió su alcance a todo tipo de organizaciones (no solo infraestructura crítica) y mejoró la guía de implementación con perfiles organizacionales.

Ambos frameworks abordan la protección contra ransomware, pero desde enfoques complementarios. ISO 27001 establece controles específicos de gestión de incidentes, backup, continuidad de negocio y gestión de vulnerabilidades dentro de un SGSI formal. NIST CSF proporciona un marco de respuesta y recuperación muy detallado con funciones específicas (Detectar, Responder, Recuperar) que son particularmente útiles para planes de respuesta a ransomware.

ISO 27001 es la norma certificable que establece los requisitos del SGSI. ISO 27002 es la guía de implementación que proporciona recomendaciones detalladas para cada control del Anexo A de ISO 27001. En pocas palabras: ISO 27001 dice "qué hacer" e ISO 27002 dice "cómo hacerlo". Solo ISO 27001 es certificable. ISO 27002:2022 se actualizó con la misma estructura de 93 controles.

Sí. G-CERTI es un organismo de certificación con acreditación IAS (International Accreditation Service) código MSCB-113 y KAB (Korean Accreditation Board), con reconocimiento IAF MLA. Los certificados ISO 27001 emitidos por G-CERTI tienen validez en más de 170 países. El proceso incluye auditoría de Etapa 1 (documental) y Etapa 2 (implementación) con seguimientos anuales.