Which baseline do we need?

It follows your FIPS 199 categorization: the highest impact level for confidentiality, integrity and availability selects Low, Moderate or High. Complyanz suggests that baseline and refuses a lower one. Add the Privacy baseline when the system processes personally identifiable information.

No. The module covers NIST's own Low, Moderate, High and Privacy baselines from SP 800-53B. FedRAMP baselines, parameter values and templates are not included.

Does Complyanz grant an authorization to operate?

No. Only your authorizing official can authorize a system to operate (ATO). Complyanz records the official's approval of your tailored baseline and their acceptance of risk on POA&M items, and does not assess controls.

Are the control statements translated?

No. Control statements are shown in the official English text of NIST SP 800-53 Rev. 5 (Release 5.2.0). NIST publishes no Portuguese or Spanish translation. The interface and the control titles are translated, and translated titles are marked as unofficial.

Can we tailor the baseline?

Yes. You can scope a control out with a scoping consideration and a written justification, name compensating controls, or supplement the baseline. Any change clears the approval of the tailored baseline until your authorizing official approves it again.

How does it relate to ISO 27001 and the CSF?

Complyanz uses NIST's own mappings from SP 800-53 to ISO/IEC 27001:2022 and from CSF 2.0 to SP 800-53. The ISO mapping links related controls without claiming they are equivalent.

Atestación

NIST SP 800-53

NIST SP 800-53 Rev. 5 es el catálogo de controles de seguridad y privacidad del que seleccionan sus controles los sistemas federales de EE. UU. y muchas de las organizaciones que les prestan servicios, y la Release 5.2.0 es la vigente. Complyanz le ayuda a seleccionar, adaptar, implementar y documentar sus controles: propone la línea base baja, moderada o alta a partir de su categorización FIPS 199, agrega la línea base de privacidad cuando la necesita, registra cada decisión de adaptación con su justificación y reúne en un solo lugar los valores de los parámetros, las declaraciones de implementación y el plan de acción e hitos (POA&M).

Elija su línea base Solicitar una demostración

Lo que obtiene

Un solo catálogo, de la línea base al POA&M

1014controles y mejoras de control activos de la Release 5.2.0, en 20 familias, con las palabras del propio NIST

3líneas base de seguridad, baja (149), moderada (287) y alta (370), además de la línea base de privacidad (96) como superposición

12plantillas de documentos, desde la política de seguridad y privacidad hasta los planes de contingencia y de respuesta a incidentes

4idiomas para la interfaz y los títulos de los controles: inglés, portugués de Brasil, portugués europeo y español

Las líneas base

Qué línea base se aplica y qué contiene

El FIPS 200 selecciona la línea base a partir del nivel de impacto más alto en confidencialidad, integridad y disponibilidad de su sistema y de sus tipos de información. Complyanz la sugiere, usted la confirma, y cada control se marca como aplicable o no, con el motivo escrito al lado. Una decisión tomada manualmente nunca se sobrescribe.

Línea base	Cuándo se aplica	Elementos
Baja	Sistemas en los que una pérdida de confidencialidad, integridad o disponibilidad tendría un efecto adverso limitado	149
Moderada	Sistemas en los que dicha pérdida tendría un efecto adverso grave	287
Alta	Sistemas en los que dicha pérdida tendría un efecto adverso severo o catastrófico	370
Privacidad	Se agrega a cualquier línea base de seguridad cuando el sistema trata datos personales	96

Las líneas base son acumulativas: todo lo que está en la baja está en la moderada, y todo lo que está en la moderada está en la alta. La pertenencia es por elemento, de modo que una mejora de control nunca queda implícita en su elemento principal. Los controles de gestión del programa no están en ninguna línea base de seguridad porque se implementan en toda la organización; actívelos en su perfil para incluirlos. Los 591 elementos que no están en ninguna línea base siguen disponibles para agregarse mediante la adaptación.

En la plataforma

Seleccione, adapte, implemente y documente

Categorización y línea baseRegistre el sistema, su límite de autorización y el impacto FIPS 199 de cada objetivo de seguridad y tipo de información. Complyanz aplica el criterio del valor más alto (high-water mark), sugiere la línea base y rechaza una inferior a su categorización. Su autoridad de autorización aprueba la línea base adaptada, y cualquier cambio posterior borra esa aprobación.

Adaptación con justificaciónExcluya un control del alcance con su consideración de alcance y una justificación, y sus mejoras lo acompañan. Complemente la línea base con cualquier elemento del catálogo, incluidas las incorporaciones de la Release 5.2.0 SA-15(13), SA-24 y SI-2(7). Las decisiones que ya no encajan en la línea base se marcan como desactualizadas.

Valores de parámetros y declaraciones de implementaciónDefina cada parámetro definido por la organización una sola vez y vea la declaración con sus valores ya aplicados. Registre si un control es específico del sistema, común o híbrido, quién lo proporciona, el rol responsable, la declaración de implementación, un responsable y evidencias.

Registro y exportación del POA&MDé seguimiento a cada debilidad con los controles que afecta, sus hitos, la fecha prevista de finalización y el punto de contacto. Los elementos vencidos y los hitos incumplidos se marcan, solo un aprobador puede aceptar el riesgo, con una justificación escrita, y el registro se exporta a una hoja de cálculo.

Resultados de evaluación de SP 800-53ARegistre los resultados de evaluación de SP 800-53A por objetivo y vincule los hallazgos al POA&M. Los objetivos y los métodos se muestran en el inglés oficial del NIST, y cada resultado conserva la determinación, los métodos, el evaluador y la fecha.

Informe de estilo SSPGenere un informe de implementación de controles a partir de sus registros: la descripción del sistema, la categorización, la línea base y las superposiciones, la aprobación, cada decisión de adaptación con su justificación, las anulaciones manuales y cada control aplicable con su estado y su declaración con los valores de sus parámetros ya aplicados.

Correspondencias, documentos y riesgosLa correspondencia propia del NIST con ISO/IEC 27001:2022 relaciona 582 pares de controles, mostrados con la advertencia del NIST de no suponer equivalencia, y cada control enumera sus referencias del NIST CSF 2.0. Los 12 modelos de documentos y los 25 escenarios de riesgo se ofrecen en inglés, portugués y español.

Alcance

Qué se incluye y qué no

Solo la Release 5.2.0El catálogo sigue la Release 5.2.0 de la Rev. 5, publicada en agosto de 2025, con las líneas base de SP 800-53B. Los 182 elementos retirados no están en él, y al buscar uno se muestra adónde lo movió el NIST.

Inglés del NIST, cuatro idiomasInterfaz y títulos de los controles en cuatro idiomas; declaraciones de los controles en el inglés oficial del NIST. Las declaraciones de los controles se muestran en el texto oficial en inglés de NIST SP 800-53 Rev. 5 (Release 5.2.0). El NIST no publica traducción al portugués ni al español. Los títulos traducidos se marcan como traducción no oficial.

Fuera del alcanceOtras superposiciones y sus valores de parámetros, las exportaciones OSCAL y más de un sistema por organización. CSF 2.0 aparece como referencias en cada control, no como un marco aparte.

Sin afiliación con el NISTComplyanz no está afiliado ni respaldado por el NIST. Le ayuda a preparar sus controles y su documentación; no los evalúa, y aceptar el riesgo de operar el sistema sigue siendo una decisión de su autoridad de autorización.

Fuente: NIST SP 800-53 Rev. 5 (Release 5.2.0), https://doi.org/10.6028/NIST.SP.800-53r5

Ir más allá

Empiece con cualquier marco y añada los demás más adelante

SP 800-53 comparte terreno con ISO/IEC 27001 en control de acceso, registro de eventos, respuesta a incidentes y riesgo de proveedores. La correspondencia propia del NIST muestra qué controles de ISO se relacionan con cada control del 800-53, de modo que el trabajo que usted registra una vez es visible en ambos programas.

Añadir ISO 27001El NIST relaciona los controles del 800-53 con el Anexo A de ISO/IEC 27001:2022 y con las cláusulas principales, de modo que un sistema de gestión de seguridad de la información se apoya en el mismo trabajo. Añadir SOC 2Las organizaciones que venden a gobiernos y a clientes comerciales suelen necesitar también un informe SOC 2. Los activos, los riesgos y las evidencias se comparten entre ambos programas en un solo espacio de trabajo.

Precios

Incluido en Completo o como complemento

El módulo NIST SP 800-53 está incluido en el plan Completo y puede agregarse a cualquier otro plan, con un precio según el número de personas en el alcance, igual que los propios planes.

Ver precios

Preguntas

Preguntas frecuentes sobre NIST SP 800-53

¿Qué línea base necesitamos?

Depende de su categorización FIPS 199. Usted califica el impacto de una pérdida de confidencialidad, integridad y disponibilidad para el sistema y para cada tipo de información que trata, y la calificación más alta selecciona baja, moderada o alta. Complyanz sugiere esa línea base y rechaza una inferior; usted puede elegir una superior. Agregue la línea base de privacidad cuando el sistema trate datos personales.

¿Esto es FedRAMP?

No. El módulo cubre las líneas base baja, moderada, alta y de privacidad del propio NIST, definidas en SP 800-53B. Las líneas base, los valores de parámetros y las plantillas de FedRAMP no están incluidos, y el informe de estilo SSP y la exportación del POA&M no son documentos de FedRAMP.

¿Complyanz otorga una autorización para operar?

No. Solo su autoridad de autorización puede autorizar la operación de un sistema (ATO), después de que se evalúen sus controles. Complyanz registra la aprobación de su línea base adaptada por esa autoridad y la aceptación del riesgo en los elementos del POA&M. No evalúa controles ni predice esa decisión.

¿Se traducen las declaraciones de los controles?

No. Las declaraciones de los controles se muestran en el texto oficial en inglés de NIST SP 800-53 Rev. 5 (Release 5.2.0). El NIST no publica traducción al portugués ni al español. La interfaz, los títulos de los controles, los documentos y los escenarios de riesgo están traducidos, y los títulos traducidos se marcan como traducción no oficial.

¿Podemos adaptar la línea base?

Sí. Puede excluir un control del alcance, con una consideración de alcance, como la tecnología o el acceso público, y una justificación escrita, indicar controles compensatorios o complementar la línea base con cualquier otro control. Cada decisión se conserva con su justificación para el informe de estilo SSP, y cualquier cambio borra la aprobación de la línea base adaptada hasta que su autoridad de autorización la apruebe de nuevo.

¿Cómo se relaciona con ISO 27001 y el CSF?

El NIST publica una correspondencia de SP 800-53 con ISO/IEC 27001:2022 y otra de CSF 2.0 con SP 800-53. Complyanz usa ambas tal como el NIST las publica: la correspondencia con ISO vincula controles relacionados sin afirmar que sean equivalentes, y siete elementos añadidos en versiones posteriores aún no tienen correspondencia con ISO. CSF 2.0 aparece como referencias en cada control y como cobertura por función en el hub.

Elija su línea base de NIST SP 800-53

Cree una organización, registre la categorización FIPS 199 de su sistema y vea qué controles le corresponden, y por qué.

Empiece gratis Solicitar una demostración