La ciberseguridad dejó de ser una defensa técnica que se declara desde sistemas y pasó a ser una condición verificable de continuidad, cumplimiento, contratación y confianza institucional. El cambio no está en que haya más ataques. Está en quién pregunta: clientes, reguladores, aseguradoras, auditores y cadenas de suministro empezaron a exigir evidencia antes de firmar, asegurar o supervisar — gobierno aprobado, riesgos tratados, controles probados, incidentes registrados, recuperación ensayada, terceros bajo control y mejora documentada.
La señal
Cuatro marcos empujan en la misma dirección y ninguno pide opinión. NIST CSF 2.0 volvió visible el giro al incorporar Govern junto a Identify, Protect, Detect, Respond y Recover: el gobierno dejó de ser contexto y pasó a ser función del marco. NIS2 trasladó a los sectores críticos europeos la obligación de medidas de gestión de riesgos con responsabilidad directiva. DORA, aplicable desde el 17 de enero de 2025, convirtió el riesgo TIC del sector financiero en resiliencia operacional digital regulada. El Cyber Resilience Act lleva la misma lógica al producto digital: riesgo, documentación técnica, vulnerabilidades y evaluación de conformidad.
La clasificación más útil es exigencia emergente con núcleo consolidado. El núcleo lleva años publicado: ISO/IEC 27001 para el sistema de gestión, ISO/IEC 27002 para controles, ISO/IEC 27005 para riesgo, la serie ISO/IEC 27035 para incidentes, ISO 22301 para continuidad, ISO 31000 para riesgo empresarial, ISO 9001 para liderazgo, procesos, información documentada y mejora. Lo que emerge no es técnica nueva: es presión regulatoria y contractual. Demostrar dejó de ser buena práctica y pasó a ser condición de acceso a mercados, contratos, seguros y supervisión.
La ciberseguridad no se demuestra diciendo “tenemos antivirus”. Se demuestra con gobierno, riesgo, controles, registros, pruebas, respuesta y mejora.
El mapa de marcos que ordena la evidencia
Ninguna norma agota el problema, y quien busca la norma única suele terminar comprando la equivocada. Los marcos se leen por función: unos ordenan el sistema, otros los controles, otros la continuidad, otros la evaluación independiente, otros la obligación regulatoria. El error del auditor es mirar solo la herramienta técnica; el error de la dirección es creer que un certificado reemplaza la evidencia operativa.
| Marco | Qué aporta | Qué debería poder mostrar la organización |
|---|---|---|
| ISO/IEC 27001 | Sistema de gestión de seguridad de la información. | Alcance del SGSI, evaluación y tratamiento de riesgos, declaración de aplicabilidad, objetivos, auditorías internas, revisión por la dirección y acciones correctivas. |
| ISO/IEC 27002 y 27005 | Controles de seguridad y método de gestión del riesgo de seguridad. | Controles con dueño, evidencia de implementación, criterios de riesgo, matriz viva, planes de tratamiento y revisión periódica. |
| Serie ISO/IEC 27035 | Principios, preparación, operación de respuesta y coordinación de incidentes. | Procedimiento de incidentes, canales de reporte, escalamiento, playbooks, RCA, lecciones aprendidas y coordinación con terceros. |
| ISO/IEC 27701:2025 | Sistema de gestión de privacidad para controladores y procesadores de PII. | Registros de tratamiento, responsabilidades sobre datos personales, controles de privacidad, rendición de cuentas y respuesta a incidentes de datos. |
| ISO 22301 | Sistema de gestión de continuidad del negocio. | BIA, procesos críticos, estrategias de continuidad, planes, pruebas, tiempos de recuperación y mejora posterior a ejercicios. |
| NIST CSF 2.0 | Arquitectura ejecutiva en seis funciones: Govern, Identify, Protect, Detect, Respond y Recover. | Roles, apetito de riesgo, inventarios, protección de datos, monitoreo, respuesta, recuperación, comunicación y riesgo de cadena de suministro. |
| NIS2, DORA y CRA | Obligaciones regulatorias sobre gestión de riesgos, incidentes, terceros, resiliencia y conformidad de productos digitales. | Evidencia de medidas, registros de incidentes, contratos TIC, pruebas, documentación técnica, evaluación de conformidad y supervisión directiva donde aplique. |
Qué cambió en la silla del auditor
La auditoría madura ya no puede detenerse en “¿tienen política de seguridad?” o “¿hay firewall?”. Tiene que preguntar dónde vive la información crítica, quién la posee, cómo se clasifica, qué proveedor la sostiene, cuándo fue la última restauración real, qué accesos privilegiados siguen activos, qué incidentes ocurrieron, qué se aprendió y qué cambió después. La evidencia dejó de ser solo documental y dejó de ser solo técnica: es sistémica.
La dirección entra en el alcance real
NIST CSF 2.0 ubica el gobierno al frente del marco, NIS2 exige que los órganos de dirección aprueben y supervisen las medidas, y DORA fija la responsabilidad del órgano de dirección sobre el riesgo TIC. Tres marcos distintos, una misma lectura: la ciberseguridad que no llega a la mesa de decisión es operación sin gobierno.
La continuidad se volvió inseparable de seguridad
Un incidente digital ya no afecta solo infraestructura: afecta atención, producción, datos, facturación, contratos, servicio público, salud, educación y confianza. ISO 22301 y la función Recover de NIST ordenan la recuperación; DORA la convierte en resiliencia digital regulada para el sector financiero.
El proveedor es parte del perímetro
El riesgo de cadena de suministro dejó de ser un anexo contractual. NIST dedica una categoría específica al riesgo de cadena; DORA construye un régimen para terceros TIC críticos; NIS2 traslada requisitos a las cadenas de proveedores de sectores críticos. El contrato con el proveedor ya es evidencia de seguridad, y el auditor va a pedirlo.
La matriz de evidencia esperada
Sostener una afirmación de ciberseguridad exige una carpeta de evidencia que atraviese cuatro planos. Ninguno alcanza por separado: lo documental sin lo técnico es relato, lo técnico sin lo contractual deja el perímetro abierto, y los tres sin competencia describen un sistema que nadie sabe operar. Juntos permiten que el auditor lea gobierno, operación y eficacia en el mismo expediente.
| Tipo de evidencia | Ejemplos concretos |
|---|---|
| Documental | Política aprobada, alcance del SGSI, inventario de activos, clasificación de información, metodología de riesgo, declaración de aplicabilidad, plan de tratamiento, BIA, plan de continuidad, auditorías internas, revisión por la dirección y acciones correctivas. |
| Técnica | Registros de accesos, logs, MFA, alertas de monitoreo, vulnerabilidades y parches, pruebas de restauración, métricas de disponibilidad, evidencias de cifrado, reportes de nube y endpoints, simulacros y registros de incidentes. |
| Contractual | Due diligence de proveedores, cláusulas de seguridad, privacidad y continuidad, acuerdos de nivel de servicio, obligaciones de notificación, anexos de tratamiento de datos, criterios de salida y revisiones de desempeño. |
| Competencia | Matriz de competencias, capacitación por rol, evaluación de eficacia, ejercicios de respuesta, simulaciones, perfiles del personal clave, certificaciones profesionales cuando correspondan y competencia verificable de auditores. |
Preguntas que una auditoría seria debería hacer
Las preguntas útiles no son decorativas. Separan el sistema vivo del relato técnico, y cada una tiene una evidencia mínima que la respalda o la desmiente.
| Dimensión | Pregunta crítica | Evidencia mínima |
|---|---|---|
| Gobierno | ¿La alta dirección aprobó política, roles, recursos y objetivos medibles? | Actas, política vigente, responsabilidades asignadas, revisión por la dirección y métricas. |
| Riesgo | ¿El riesgo digital está integrado al riesgo empresarial o vive en una planilla de IT? | Metodología, criterios, matriz, dueños de riesgo, planes de tratamiento y seguimiento. |
| Accesos | ¿Quién puede entrar, con qué privilegio y cuándo se revisó por última vez? | Altas, bajas y cambios, revisión periódica, MFA, logs y trazabilidad de cuentas privilegiadas. |
| Incidentes | ¿Qué se registró, cómo se escaló, qué causa raíz se identificó y qué cambió después? | Registro de eventos e incidentes, playbooks, comunicaciones, RCA y acciones correctivas. |
| Continuidad | ¿Cuándo se restauró un backup en una prueba real y contra qué objetivo? | BIA, RTO/RPO, actas de ejercicios, resultados de restauración y mejora posterior. |
| Terceros | ¿Qué proveedores críticos sostienen servicios o datos y qué pasa si fallan? | Inventario de terceros, criticidad, contratos, cláusulas de notificación, monitoreo y plan alternativo. |
Notas que cambian la lectura normativa
Primera. ISO/IEC 27701 se lee hoy en su versión 2025. La edición 2019 figura retirada en el catálogo de ISO, y la versión vigente ya no debe describirse solo como una extensión de 27001/27002: se presenta como un sistema de gestión de privacidad con requisitos y guía propios. Citar la edición vieja en un contrato o en un alcance es una no conformidad esperando fecha.
Segunda. ISO/IEC 27035 se lee como serie, no como documento suelto. La gestión de incidentes no se reduce a un procedimiento: incluye principios y proceso, preparación, operaciones de respuesta y coordinación entre organizaciones. Quien tiene solo el procedimiento tiene la parte más barata del problema.
Tercera. ISO/IEC 17024 fue actualizada en 2026. Para ciberseguridad, auditoría y evaluación de conformidad, eso vuelve más visible la pregunta por la competencia certificable de las personas: no alcanza con un curso; importan el esquema, la evaluación, la imparcialidad y la vigilancia de la competencia en el tiempo.
La carpeta antes de la herramienta
El punto de fondo es operativo. El auditor del ciclo cercano tendrá que entender a la vez sistemas de gestión y resiliencia digital. Si no puede leer un log, una restauración, un contrato TIC, una matriz de riesgo y una revisión por la dirección dentro del mismo expediente, auditará la superficie y dejará intacto el punto ciego.
Límite de esta lectura
Fuera de la Unión Europea, las obligaciones concretas varían por jurisdicción, sector, contrato y tipo de dato tratado.
La próxima auditoría no preguntará si la organización compró seguridad. Preguntará si puede demostrarla.
Fernando Arrieta
