marco normativo
NIST SSDF y OWASP SAMM
Sus clientes preguntan con qué seguridad desarrolla software, y el Cyber Resilience Act lo exigirá pronto para todo producto con elementos digitales. Complass le guía por las 42 tareas del NIST SSDF, muestra su nivel de madurez según OWASP SAMM y vincula ambos con el CRA y IEC 62443-4-1.
¿Qué es NIST SSDF?
El Secure Software Development Framework (SSDF) es un marco voluntario del National Institute of Standards and Technology de EE. UU. (NIST SP 800-218). Describe, en cuatro grupos y 42 tareas, cómo los fabricantes desarrollan software de forma segura y reaccionan ante las vulnerabilidades. OWASP SAMM es un modelo abierto de madurez para la seguridad del software con 15 prácticas y niveles del 0 al 3. Para ninguno de los dos existen certificados.
Complass no tiene ninguna vinculación con el NIST ni con la OWASP Foundation. Los textos originales en inglés de las tareas proceden de NIST SP 800-218, una obra del Gobierno federal de EE. UU. de uso libre. OWASP SAMM (owaspsamm.org) está bajo la licencia CC BY-SA 4.0; Complass solo cita los nombres de las prácticas y describe los niveles con sus propias palabras.
Actualidad de los contenidos:
¿Me afecta?
El SSDF afecta a fabricantes y desarrolladores de software, también de firmware y de software en máquinas y dispositivos: empresas cuyos clientes quieren una acreditación del desarrollo seguro, proveedores de organismos estadounidenses y todos quienes quieran aplicar en la práctica los requisitos de desarrollo del Cyber Resilience Act.
El SSDF no es obligatorio y no sustituye ni al CRA ni a IEC 62443-4-1. Los complementa como lista práctica de tareas; si desarrolla según IEC 62443-4-1, ya ha aplicado muchas de ellas.
Este resumen no sustituye al asesoramiento jurídico. Lo que prevalece es el texto legal o normativo; en Complass usted comprueba la aplicabilidad con ayuda de orientaciones basadas en las referencias.
Fundamentos
- NIST SP 800-218Secure Software Development Framework (SSDF) Version 1.1, febrero de 2022; Version 1.2 como borrador desde diciembre de 2025
- OWASP SAMM v2Software Assurance Maturity Model, licencia CC BY-SA 4.0
Fechas clave
Para el SSDF no existen plazos legales. Quien ofrece productos con elementos digitales en la UE debería tener presentes los plazos del Cyber Resilience Act; el SSDF ayuda a aplicar a tiempo los requisitos de desarrollo y de gestión de vulnerabilidades. Recomendamos repetir la evaluación SAMM cada año.
Cómo le ayuda Complass
- 5fases
- 10pasos guiados
- 3plantillas de documentos
- 42requisitos en el catálogo
Guiado en cinco fases
Ámbito de aplicación, preparar la organización, proteger el software y producirlo de forma segura, responder a las vulnerabilidades, evaluar el nivel de madurez.
42 tareas con ayuda de implantación
Cada tarea con identificador oficial, formulación original del NIST, pasos, alcance mínimo, evidencias típicas y niveles según OWASP SAMM.
Plantillas
Política de desarrollo seguro de software, evaluación del nivel de madurez SAMM y plan de mejora.
Implante una vez, demuestre el cumplimiento muchas veces
Complass propone reutilizar para el SSDF las evaluaciones y evidencias de CRA, IEC 62443-4-1 e ISO 27001.
Las fases del módulo
- Punto de partida y alcance
- Preparar la organización (PO)
- Proteger el software y producirlo de forma segura (PS, PW)
- Responder a las vulnerabilidades (RV)
- Evaluar la madurez con OWASP SAMM
Catálogo: NIST SSDF 1.1 – 42 tareas
Módulos relacionados
Gestión del cumplimiento
Implantar marcos normativos con guía: fases, plantillas, pirámide documental, catálogos, análisis de brechas, objetivos y plan de medidas hasta la auditoría en el portal de auditores.
Más informaciónGestión de riesgos
Registro de riesgos con evaluación cualitativa o cuantitativa, apetito de riesgo y plan de tratamiento, vinculado a activos, vulnerabilidades e incidentes.
Más informaciónGestión de activos
Activos de TI y OT en un solo lugar, recopilados sin agente, con SBOM, avisos de fabricantes, fin del soporte, conciliación de licencias, identidades, relaciones y zonas según IEC 62443-3-2.
Más informaciónPreguntas frecuentes
¿Existe un certificado SSDF?
No. Ni el SSDF ni OWASP SAMM son certificables. Complass le ayuda a describir y acreditar su grado de implantación y su nivel de madurez.
¿Cumplimos el Cyber Resilience Act con el SSDF?
No de forma automática. El SSDF cubre muchos requisitos de desarrollo y de gestión de vulnerabilidades, y Complass muestra la correspondencia con el anexo I. La evaluación de la conformidad con arreglo al CRA sigue siendo una tarea independiente.
¿Para qué SAMM, si ya tenemos el SSDF?
El SSDF indica qué hay que hacer; SAMM muestra el grado de consolidación. Con los niveles del 0 al 3 puede medir el progreso y fijar objetivos.
Ya desarrollamos según IEC 62443-4-1. ¿Tenemos que registrarlo todo de nuevo?
No. A través de las medidas comunes, Complass propone reutilizar evaluaciones y evidencias. Usted revisa cada propuesta antes de confirmarla.
Pruebe Complass con sus propios datos
Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.