Modelo de Madurez para evaluar implementación del NIST CSF

Hola a todos, Para los que han realizado una evaluación o diganóstico a alguna compañía en cuanto al estado actual de la implementación o adopción del Framework de Ciberseguridad del NIST. ¿Que modelo de madurez han utilizado? o ¿Que metodología de evaluación han utilizado? Hay por ahí algunos planes de trabajo de aseguramiento o programas de auditoría, pero más que revisar si se cumple o no cumple con las funciones y categorías que se detallan el Framework , me gustaría saber qué metodologías o modelos se pudiera aplicar para indicar el nivel de madurez. Ideal si alguien ya lo hubiera hecho y comentará su experiencia y los resultados obtenidos y como fueron recibidos estos por los stakeholders. Muchas gracias y espero sus respuestas, Saludos.