No se certifican. Y aun así se los van a pedir.

Ciento seis resultados, en español y con su identificador original.

El Cybersecurity Framework 2.0 es la publicación CSWP 29 de NIST, de febrero de 2024. Seis funciones, veintidós categorías y ciento seis resultados. Es el marco que más veces aparece por su nombre en un cuestionario de proveedor.

La novedad de la versión 2.0 es la función GOVERN, que pesa treinta y uno de los ciento seis: contexto, estrategia de riesgo, roles, política, supervisión y cadena de suministro. Esa última categoría, GV.SC, tiene diez resultados y es la más grande de todo el marco: es donde más organizaciones descubren que no tienen nada escrito.

Las cinco hojas de la herramienta

Core. Los 106 resultados, uno por fila, con su traducción y su identificador original. Usted marca estado actual, evidencia, responsable y estado objetivo; la hoja calcula la brecha.

Perfil. El tablero por función que se lleva al consejo. El porcentaje va sobre el objetivo declarado, no sobre los 106.

Tiers. Los cuatro Tiers convertidos en afirmaciones que se marcan, con el Tier calculado.

Plan de acción. Brecha por brecha, con responsable, fecha y verificación.

Cómo se usa. La honestidad primero, en la hoja que se abre al entrar.

Y cinco documentos de perfil

Alcance del perfil, informe del perfil actual, perfil objetivo con su justificación, determinación del Tier con su evidencia e informe ejecutivo de dos páginas. Son los que llevan decisiones y firmas, y por eso la hoja no los puede generar sola.

Setenta y dos subcategorías, y lo que hay que documentar en cada una.

El AI Risk Management Framework es la publicación NIST AI 100-1, de enero de 2023, con su Playbook. Cuatro funciones —gobernar, mapear, medir y gestionar—, diecinueve categorías y setenta y dos subcategorías.

MEASURE es la función más grande, con veintidós, y trece de ellas están en una sola categoría: la evaluación de la confiabilidad —validez, seguridad, explicabilidad, privacidad, sesgo e impacto ambiental—. Es donde se rompe casi todo el mundo, incluidas las organizaciones ordenadas en todo lo demás.

La hoja que no tiene equivalente

Cada subcategoría del Playbook trae una sección que empieza diciendo «las organizaciones pueden documentar lo siguiente». Son 294 preguntas y solo 155 distintas: el Playbook repite las genéricas en docenas de subcategorías y entierra las específicas entre ellas.

La hoja Qué documentar es ese filtrado ya hecho. Por cada subcategoría, una línea que dice qué producir —escrita como entregable, no como pregunta— y una pregunta de verificación. La primera sirve para planear; la segunda, para defenderse.

Y el documento de transparencia del sistema

Va uno por sistema de IA, no uno por organización, y es lo que las 72 subcategorías acaban pidiendo: qué es el sistema, para qué sirve, para qué no sirve, con qué datos se construyó, qué tan bien funciona, dónde deja de funcionar, cuál es el riesgo residual y quién responde por él. Es lo que un cliente empresarial reclama en cuanto descubre que hay IA dentro de lo que le vende.

Este marco no tiene Tiers

El CSF sí los tiene; el AI RMF no tiene ninguna escala de madurez, y NIST no puntúa. La escala de cinco niveles que trae la herramienta es de Polem, está construida sobre las cuatro funciones del marco y la propia hoja lo dice donde se lee. Si alguien le vende «el nivel 3 de NIST AI RMF», le está vendiendo algo que no existe.

Cuatro cosas, y las decimos nosotros primero.

1 · Esto no certifica nada

NIST no certifica y nadie certifica contra estos marcos. No hay auditor, no hay sello y no hay fecha límite. Lo que se produce es un perfil defendible, que es lo que responde un cuestionario. Si lo que busca es un certificado en el terreno de la IA, la norma es ISO/IEC 42001 y está en este mismo catálogo.

2 · Los dos marcos son gratuitos

Son publicaciones de dominio público del gobierno de Estados Unidos y se descargan sin costo en nist.gov. No hace falta comprarle a nadie el marco, y quien se lo venda como si fuera suyo le está vendiendo algo que es de todos. Lo que sí cuesta trabajo es traducirlo bien, convertirlo en una hoja que calcule la brecha y saber qué documento cierra cada hueco.

3 · La traducción es nuestra y no es oficial

NIST no la ha revisado ni la respalda, y nada aquí implica su aval. Por eso los identificadores —GV.OC-01, GOVERN 1.1 y los demás— se conservan en el original: son la clave con la que usted contrasta cada línea contra la publicación de NIST y con la que responde un cuestionario que viene en inglés.

4 · «Cumplimos con NIST» no existe

No hay requisitos que cumplir ni organismo que lo declare. Lo correcto es «gestionamos nuestra ciberseguridad con el NIST CSF 2.0 y este es nuestro perfil actual». Un cliente que conoce el marco nota la diferencia inmediatamente, y la primera frase le hace dudar de todo lo demás. Los documentos del producto lo dicen así, en el sitio donde alguien podría equivocarse.