1. Introducción
La madurez de ciberseguridad mide hasta qué punto tu organización tiene capacidades formalizadas, consistentes y mejorables para identificar, proteger, detectar, responder y recuperar. No es lo mismo que sofisticación: una pyme puede ser madura para su perfil de riesgo sin tener un red team, y una multinacional con las herramientas más caras del mercado puede ser profundamente inmadura si nadie sabe quién las opera o qué deciden los datos que producen.
En este artículo veremos cómo evaluar la madurez de ciberseguridad de tu empresa con NIST CSF 2.0, qué significan de verdad los Tiers 1 a 4, cómo complementar el análisis con C2M2, ENS y ISO 27001, y qué KPIs hay que presentar a la dirección para que la seguridad deje de ser una opinión. También plantearemos una hoja de ruta por fases con ganancias rápidas en menos de seis meses, alineada con NIS2 y DORA.
2. Qué es la madurez de ciberseguridad y por qué medirla
La madurez se compone de tres dimensiones: la capacidad técnica (herramientas y su configuración), la capacidad organizativa (procesos, roles, documentación y métricas) y la capacidad estratégica (integración de la seguridad con el negocio y su dirección). Una empresa que compra un SIEM pero no tiene quien lo opere ni procedimientos documentados de respuesta es técnicamente avanzada y organizativamente inmadura.
Medir la madurez de ciberseguridad responde a varias necesidades: priorizar la inversión, comunicar a la dirección en un lenguaje comprensible, cumplir los requisitos normativos y preparar auditorías o due diligence. Sin esa medida, las decisiones de seguridad se toman por intuición y presupuesto disponible, no por evidencia.
La madurez reduce la frecuencia y el impacto de los incidentes, pero no los elimina: un programa maduro promete que cuando ocurran se detectarán antes y la organización aprenderá de forma sistemática.
3. NIST CSF 2.0: seis funciones y cuatro Tiers
El NIST Cybersecurity Framework 2.0, publicado en febrero de 2024, es el marco de madurez más adoptado del mundo. Su novedad más relevante es la sexta función: Govern (Gobernanza, GV), que reconoce que la seguridad empieza por la dirección: prioridades del negocio, roles, política de riesgo, gestión de la cadena de suministro y supervisión activa.
El NIST CSF define cuatro niveles de madurez (Tiers) que describen cómo se comporta la organización, no qué herramientas tiene:
- Tier 1 (Partial): respuesta ad hoc, sin procesos definidos ni gobierno formal; la seguridad depende de personas concretas.
- Tier 2 (Risk Informed): algo formalizado, pero inconsistente.
- Tier 3 (Repeatable): procesos formalizados y documentados, con política aprobada por la dirección.
- Tier 4 (Adaptive): mejora continua basada en lecciones aprendidas, con la seguridad integrada en la cultura de la organización.
En la práctica, alrededor del 75% de las organizaciones que se evalúan se sitúan entre el Tier 2 y el Tier 3: ya documentan procesos, pero la consistencia y la mejora continua siguen siendo asignaturas pendientes. El objetivo realista de la mayoría de las empresas españolas es estabilizarse en Tier 3 con elementos de Tier 4 en las funciones críticas.
Un matiz importante: una organización puede estar en Tier 1 en Gobernanza y Tier 3 en Detección. La evaluación por funciones, no global, es la que permite priorizar.
4. Marcos complementarios: C2M2, ENS, ISO 27001 y NIS2
El NIST CSF indica qué hacer; el Cybersecurity Capability Maturity Model (C2M2 v2.1, del Departamento de Energía de EE. UU., julio de 2022) indica con qué madurez hacerlo. C2M2 cubre 10 dominios y define tres niveles MIL: MIL1 (Initiated, ad hoc), MIL2 (Performed, definido, planificado y documentado) y MIL3 (Managed, medido con KPIs, revisado y mejorado).
En España, el Esquema Nacional de Seguridad (ENS, RD 311/2022) aporta la referencia obligatoria para el sector público: nivel Básico (impacto limitado), Medio (grave) y Alto (muy grave, con auditoría bienal externa obligatoria). Las equivalencias orientativas con los Tiers del NIST CSF son: Básico entre Tier 1 y 2, Medio entre Tier 2 y 3 y Alto entre Tier 3 y 4.
| Marco | Niveles | Equivalencia aproximada con NIST CSF | Uso recomendado |
|---|---|---|---|
| NIST CSF 2.0 | Tier 1 a 4 | Referencia propia | Visión global por funciones |
| C2M2 v2.1 | MIL1 a MIL3 | MIL1≈Tier 1-2, MIL2≈Tier 2-3, MIL3≈Tier 3-4 | Capacidades por dominio |
| ENS | Básico, Medio, Alto | Básico≈Tier 1-2, Medio≈Tier 2-3, Alto≈Tier 3-4 | Sector público y contratistas |
| ISO/IEC 27001:2022 | Certificado o no | Certificación sostenida ≈ Tier 3 | Confianza frente a terceros |
Fig. 1 – Marcos de madurez de ciberseguridad y sus equivalentes aproximados.
ISO/IEC 27001:2022 aporta la certificación con su Anexo A de 93 controles en cuatro temas (organizativos, de personas, físicos y tecnológicos). La certificación sostenida y la ampliación de su alcance es un indicador sólido de madurez porque exige medir, auditar y mejorar de forma continua.
5. Cómo evaluar la madurez de tu empresa en la práctica
La evaluación recomendada combina tres aproximaciones: una autoevaluación estructurada con los cuestionarios de NIST CSF y C2M2, una evaluación técnica complementaria (pentest, revisión de configuraciones y auditoría de identidades) y una evaluación externa independiente anual o bienal que elimine el sesgo de la autopercepción.
# Checklist de autoevaluación NIST CSF 2.0 sobre Gobernanza (GV)
1. ¿Existe una política de ciberseguridad aprobada por la dirección?
2. ¿Hay un responsable de seguridad con presupuesto y autoridad?
3. ¿El análisis de riesgos se actualiza al menos una vez al año?
4. ¿Los riesgos de terceros y proveedores se evalúan de forma sistemática?
5. ¿Las decisiones de inversión en seguridad se basan en datos?
6. ¿Existen KPIs de seguridad que se revisan con la dirección?
7. ¿La mejora continua está documentada y tiene responsables?
(7 respuestas "sí" = Tier 3; menos de 5 = Tier 2 o inferior)
Fig. 2 – Checklist mínimo para evaluar la función Gobernanza del NIST CSF 2.0.
La evaluación técnica complementaria es imprescindible: muchas organizaciones puntúan bien en papel y mal en la práctica. Una comparación simple de la postura documentada con la real en tres controles (MFA universal, cobertura EDR y parcheado) suele revelar la madurez real.
6. KPIs de madurez y cómo informar a la dirección
La madurez solo se sostiene si se mide con indicadores estables. Los KPIs más útiles son: MTTD (tiempo medio de detección), MTTR (tiempo medio de respuesta y recuperación), porcentaje de usuarios con MFA (objetivo 100%), cobertura de EDR y porcentaje de activos parcheados (objetivo: 14 días para CVSS mayor o igual a 7, 7 días para el catálogo KEV de CISA).
Dos indicadores merecen atención especial. La tasa de phishing simulado debe tener tendencia decreciente sostenida. Y las notificaciones al SOC: una cifra decreciente puede ser una mala señal si significa que los empleados comunican menos incidentes, no que ocurren menos. El informe debe distinguir entre reducción real del riesgo y reducción de la visibilidad.
El informe a dirección debería ser trimestral o semestral, con formato consistente, indicadores con tendencia, incidentes del periodo contextualizados, inversión realizada con su retorno estimado y un plan de mejora alineado con el plan director. Compare los resultados con la propia línea base histórica: esa es la única comparación que refleja progreso real.
7. Hoja de ruta por fases: ganancias rápidas primero
La hoja de ruta de madurez de ciberseguridad se organiza en tres fases y ninguna organización pasa de Tier 1 a Tier 4 en seis meses. La Fase 1, de ganancias rápidas con plazos inferiores a seis meses, reduce el riesgo con cambios de configuración y política: MFA universal, EDR al 100%, backups inmutables con restauraciones probadas, parcheo priorizado, cifrado de discos obligatorio y concienciación con phishing simulado.
# Ganancia rápida tipo: despliegue de MFA universal
1. Inventario de identidades (Entra ID, Google, SaaS, VPN).
2. Política de acceso condicional con MFA obligatorio para todo.
3. Exclusión temporal documentada y con fecha de revisión.
4. Training de 20 minutos por equipo y materiales de ayuda.
5. Inspección de inicios durante 30 días (baseline).
6. Cierre de exclusiones y reporte de cobertura al 100%.
(Objetivo: cobertura total en 90 días como máximo)
Fig. 3 – Secuencia práctica de implantación de un quick win de madurez.
La Fase 2 construye las capas operativas: SIEM con casos de uso y operación 24/7 (interna o con MDR), SOC con telemetría centralizada y hunting básico, gestión de vulnerabilidades con SLA, IAM moderno con PAM y acceso just-in-time, programa DLP, plan de respuesta a incidentes documentado y ensayado y continuidad de negocio alineada con ISO 22301. La Fase 3 incorpora capacidades proactivas: red team periódico, threat hunting con MITRE ATT&CK, inteligencia de amenazas integrada con el SOC y certificaciones como ISO 27001 o ENS nivel Alto.
8. Cumplimiento normativo y madurez: NIS2 y DORA
En 2026 la madurez de ciberseguridad ya no es opcional para muchas empresas europeas. La Directiva NIS2, transpuesta en España por el RDL 7/2025, exige en su artículo 21 medidas mínimas: gestión del riesgo, gestión de incidentes, continuidad, seguridad de la cadena de suministro, criptografía, control de acceso y concienciación. Las sanciones alcanzan millones de euros, con responsabilidad personal de los directivos e INCIBE como autoridad competente.
El reglamento DORA añade, para el sector financiero, la obligación de pruebas de resiliencia digital avanzadas (TLPT) para entidades significativas, con supervisión del Banco de España, la CNMV y la DGSFP. Evaluar la madurez con el NIST CSF 2.0 es la base razonable para demostrar cumplimiento: un Tier documentado y medido es evidencia muy superior a una política sin ejecución.
Para ampliar esta visión, le recomendamos los artículos sobre análisis de riesgos para empresas y sobre el ciclo PDCA del SGSI y su auditoría de certificación, que complementan la evaluación de madurez con la práctica de la gestión de riesgos y de los sistemas de gestión.
9. Conclusión
La madurez de ciberseguridad es el diagnóstico que toda la dirección debería pedir antes de decidir la siguiente inversión: sitúa a la empresa en un Tier de NIST CSF 2.0, identifica las funciones más débiles y convierte la seguridad en gestión continua del riesgo con datos, KPIs y un plan director con fechas. La progresión sostenida con revisiones periódicas distingue los programas que funcionan de los que solo gastan.
Ninguna organización pasa de Tier 1 a Tier 4 en seis meses, pero todas pueden completar ganancias rápidas en ese plazo y estabilizarse en Tier 3 en dos o tres años. Medir es el primer paso: el siguiente euro se invierte donde la medición demuestra que hace falta.
¿Necesitas ayuda con Madurez de ciberseguridad?
En Jaymon Security ayudamos a las organizaciones a proteger sus sistemas. Desde auditorías de seguridad hasta implementación de SIEM/SOC, nuestro equipo de expertos diseña soluciones a medida.
Contacta con nosotros para una evaluación gratuita de tu infraestructura.