¿Qué es el cumplimiento de CMMC? Definición, niveles y requisitos

El cumplimiento de CMMC es el marco de certificación del DoD para proteger CUI y FCI en tres niveles de madurez. Conozca los 14 dominios de práctica y el cronograma de implementación.

¿Qué es CMMC?

La Cybersecurity Maturity Model Certification (CMMC) es el marco del Department of Defense para verificar que los contratistas realmente protejan la información sensible. A nivel de programa, la CMMC Program Final Rule establece el propósito de CMMC: proteger la Controlled Unclassified Information (CUI) y la Federal Contract Information (FCI) que usted procesa, almacena o transmite durante la ejecución de contratos del DoD. Según DFARS 204.7500, CMMC es "un marco para evaluar las protecciones de seguridad de la información de un contratista" que prescribe políticas y procedimientos para incluir requisitos de nivel de certificación en los contratos del DoD. CMMC 2.0 simplificó el modelo original de cinco niveles a tres niveles, y la Final Rule documenta esa estructura actualizada.

Antes de CMMC, los contratistas autoatestaban el cumplimiento de NIST SP 800-171 con una verificación externa limitada. Si usted presentaba una puntuación inflada en el Supplier Performance Risk System (SPRS) y una auditoría encontraba una puntuación real profundamente negativa, podría desencadenar un problema bajo la False Claims Act, no solo una verificación de cumplimiento fallida. Esa es la razón operativa por la que existe CMMC: el DoD ya no depende de la autoatestación cuando CUI está involucrada.

Los incidentes en la cadena de suministro dejaron más claras las implicaciones. En 2022, atacantes impactaron a Viasat con un ataque destructivo de wiper contra su red satelital KA-SAT, interrumpiendo las comunicaciones de decenas de miles de clientes en toda Europa y Ucrania, según el informe de SentinelLabs. En 2020, el compromiso de la cadena de suministro de SolarWinds alcanzó hasta 18,000 clientes, según la alerta de CISA. Cuando su entorno está vinculado a programas del DoD, CMMC le exige demostrar que puede proteger CUI, no solo afirmarlo.

FCI vs. CUI: Qué protege su nivel de certificación

El cumplimiento de CMMC conecta la documentación de los controles con pruebas verificables de que funcionan en su entorno. CMMC aplica un modelo de certificación de aprobado/reprobado. O bien demuestra controles operativos mediante evidencia verificable, o no recibe la certificación. Dos categorías de información determinan sus requisitos:

• Federal Contract Information (FCI): El Gobierno proporciona o genera esta información para su trabajo contractual, y no está destinada a su divulgación pública. Usted la protege con salvaguardas básicas según FAR 52.204-21.
• Controlled Unclassified Information (CUI): Las leyes o la política gubernamental general exigen salvaguardas para esta información. Usted la protege alineándose con NIST SP 800-171.

Esa distinción determina cómo delimita los sistemas, elige un nivel objetivo y construye su plan de evidencia. El ISOO de los National Archives aclara la jerarquía en la guía de ISOO: "Toda CUI en posesión de un contratista del Gobierno es FCI, pero no toda FCI es CUI". Si clasifica sus datos correctamente, puede delimitar correctamente, y la delimitación es donde comienzan la mayoría de los resultados de CMMC.

A continuación, confirme si CMMC se aplica a sus contratos y a su función en la cadena de suministro.

A quién se aplica el cumplimiento de CMMC

CMMC se aplica a usted si es contratista o subcontratista en la Defense Industrial Base y maneja FCI o CUI durante la ejecución de contratos del DoD. El nivel requerido depende de la sensibilidad de lo que maneja y de hacia dónde fluye esa información.

• Level 1 (Foundational): Usted maneja solo FCI, sin CUI involucrada. Esto suele ajustarse a funciones básicas de soporte donde CUI nunca ingresa en sus sistemas.
• Level 2 (Advanced): Usted maneja CUI como datos técnicos, especificaciones de ingeniería, información sensible de adquisiciones o documentos de diseño. Verá este nivel cuando CUI fluya a través de la cadena de suministro, cuando ejecute programas de I+D con resultados marcados como CUI, o cuando proporcione servicios de TI que mantengan sistemas que contienen CUI.
• Level 3 (Expert): Usted gestiona CUI dentro de los programas de máxima prioridad del DoD, donde una vulneración crearía una ventaja significativa para el adversario o donde el impacto en la misión y la agregación elevan su perfil de riesgo.

Los niveles de CMMC son acumulativos: cuando apunta a un nivel superior, también cumple los requisitos de los niveles inferiores, y la CMMC Program Final Rule define esa estructura.

Una vez que conoce su nivel, puede asignarlo a las cláusulas, evaluaciones y consecuencias que determinan la elegibilidad.

Cómo funciona el cumplimiento de CMMC: regulaciones y consecuencias

CMMC es vinculante mediante el lenguaje contractual, no por adopción voluntaria. Dos regulaciones federales crean el peso legal, y no cumplirlas tiene consecuencias que van más allá de una auditoría fallida. Comprender la estructura regulatoria, su vía de evaluación y lo que realmente le cuesta el incumplimiento es la base para delimitar correctamente su trabajo de preparación.

El marco regulatorio

Dos cláusulas DFARS incorporan CMMC en sus contratos.

• La cláusula DFARS 252.204-7021 le exige "tener y mantener durante la vigencia del contrato un estado actual de CMMC en el siguiente nivel de CMMC, o superior".
• La disposición DFARS 252.204-7025 le exige publicar los resultados de la evaluación en SPRS antes de la adjudicación e identificar los sistemas que procesarán FCI o CUI.

Esas cláusulas son las que convierten a CMMC de guía en criterio de acceso contractual.

Vías de evaluación

Las vías de evaluación varían según el nivel y la solicitud. También debe proporcionar una afirmación anual de cumplimiento continuo, y la oficina del programa del DoD determina si su contrato de Level 2 requiere autoevaluación o certificación C3PAO.

Dos detalles operativos suelen determinar lo que ocurre en la práctica:

• Level 2 requiere 110 requisitos de NIST SP 800-171, tal como se define en NIST SP 800-171.
• Bajo la vía condicional, Level 2 permite Plans of Action and Milestones (POA&Ms) limitados cuando usted cumple el umbral mínimo de implementación del programa, y las definiciones de DFARS 204.7501 documentan los términos de estado de CMMC.

Cuando se permiten POA&Ms, usted sigue teniendo un plazo estricto. El estado condicional es limitado en el tiempo, según las mismas definiciones de DFARS 204.7501.

Consecuencias del incumplimiento

No mantener el estado de CMMC requerido conlleva consecuencias en tres dimensiones: elegibilidad contractual, exposición legal y continuidad operativa.

• La inelegibilidad contractual es estructural, no discrecional. Si no mantiene el estado de CMMC requerido, no puede obtener una adjudicación ni continuar la ejecución cuando el contrato exige ese estado.
• La exposición bajo la False Claims Act se convierte en su riesgo legal más grave cuando usted declara cumplimiento para elegibilidad, adjudicación o pago, pero no puede respaldarlo con evidencia.
• La terminación del contrato y otros recursos pueden producirse si su estado condicional expira y aun así no puede mantener el estado que necesita para seguir ejecutando.

Las consecuencias regulatorias son intencionalmente severas. El DoD diseñó CMMC para hacer que la autoatestación inexacta sea lo suficientemente costosa como para que los contratistas traten la recopilación de evidencia como un requisito operativo continuo, no como una carrera de último momento antes de la evaluación.

Ahora que comprende la mecánica, puede traducir su nivel requerido en las expectativas de madurez que los evaluadores validarán.

Comprender los niveles de madurez de CMMC 2.0

Su nivel requerido está determinado por el tipo de información que maneja y los programas que respalda. Cada nivel se basa en el inferior, por lo que una certificación superior significa que también ha cumplido todo lo requerido en los niveles inferiores. Esto es lo que exige cada nivel en la práctica.

Level 1: Foundational

Si solo maneja FCI, Level 1 se alinea con las salvaguardas básicas de FAR 52.204-21. Las 17 prácticas de este nivel cubren la higiene básica: limitar el acceso al sistema a usuarios autorizados, evaluar a las personas antes del acceso, mantener la seguridad física de los espacios relevantes para CUI y garantizar que los sistemas puedan auditarse y recuperarse. Usted completa una autoevaluación anual y no puede usar POA&Ms en este nivel. La autoevaluación es firmada por un alto funcionario de la empresa, lo que crea responsabilidad directa sobre la declaración.

Level 2: Advanced

Si maneja CUI, Level 2 se asigna directamente a NIST SP 800-171 Rev. 2 y requiere evidencia de que los 110 controles están implementados y operando en 14 dominios de práctica. Dependiendo de su solicitud, puede cumplir esto mediante autoevaluación o evaluación de terceros por C3PAO; la oficina del programa del DoD determina qué vía se aplica. Level 2 también requiere mantener un System Security Plan (SSP) que documente cómo se implementa cada control en su entorno.

Level 3: Expert

Si respalda los programas de máxima prioridad, Level 3 se orienta a la defensa contra amenazas persistentes avanzadas y se basa en Level 2 con requisitos mejorados extraídos de un subconjunto de NIST SP 800-172. Los evaluadores gubernamentales de la Defense Contract Management Agency realizan directamente las evaluaciones de Level 3. Este nivel está reservado para contratistas que trabajan con CUI en programas donde el acceso por parte de un adversario crearía un riesgo significativo para la seguridad nacional.

Una vez que conoce su nivel, necesita saber cuándo se aplica a sus contratos.

Cronograma de implementación de CMMC

La CMMC Program Final Rule entró en vigor el 16 de diciembre de 2024 y utiliza una implementación en cuatro fases para incorporar los requisitos en los contratos del DoD durante tres años. No hay un único cambio que active todos los contratos a la vez: el DoD incorpora gradualmente el lenguaje de CMMC según el tipo de solicitud y el nivel.

• Phase 1 (Effective December 16, 2024): El DoD puede incluir requisitos de autoevaluación de Level 1 o Level 2 en las solicitudes. Si su contrato ya incluye lenguaje de CMMC, debe completar su autoevaluación, publicar los resultados en SPRS y proporcionar una afirmación anual antes de la adjudicación o como condición contractual. Esta fase está activa ahora.
• Phase 2 (Starting approximately December 2025): El DoD puede exigir evaluaciones de terceros C3PAO de Level 2 en las solicitudes. Los contratos que antes permitían autoevaluación pueden pasar a certificación independiente. Confirme la vía de evaluación de su contrato a medida que las solicitudes de Phase 2 entren en el mercado, porque los plazos de programación de C3PAO pueden reducir su margen.
• Phase 3 (Starting approximately December 2026): El DoD puede incluir requisitos de Level 3. Si respalda programas de alta prioridad, comience ahora a prepararse para Level 3. La programación de evaluadores gubernamentales a través de DCMA opera con plazos largos.
• Phase 4 (Starting approximately December 2027): Implementación completa. El DoD puede aplicar requisitos de CMMC en todos los contratos aplicables. Ninguna solicitud que involucre CUI estará exenta.

La implicación práctica: si su contrato incluye lenguaje de CMMC, su cronograma ya está activo. Si no lo incluye, consulte con su oficial de contratación y su contratista principal antes de su próximo año de opción o licitación. La incorporación por fases puede afectar contratos en ejecución, no solo nuevas adjudicaciones.

Con el cronograma claro, puede asignar su nivel requerido a los controles específicos que los evaluadores validarán.

Requisitos de cumplimiento de CMMC: los 14 dominios de práctica

Para Level 2, los 110 requisitos de NIST SP 800-171 se asignan a 14 dominios de práctica. Los evaluadores examinarán, entrevistarán y probarán controles en cada uno. Comprender lo que requiere cada dominio le ayuda a delimitar correctamente la evidencia antes de que comience el trabajo de preparación.

Identidad, acceso y personal

• Access Control: Limite el acceso al sistema a usuarios y procesos autorizados. Los artefactos requeridos incluyen cuentas de usuario documentadas, asignaciones de roles, controles de sesión y prácticas de control de acceso para acceso remoto.
• Identification and Authentication: Verifique la identidad antes de conceder acceso. La autenticación multifactor, las políticas de contraseñas y los controles de cuentas privilegiadas son puntos de control comunes en las evaluaciones.
• Personnel Security: Evalúe a las personas antes de conceder acceso a sistemas con CUI y aborde los riesgos de seguridad durante y después del empleo. Las listas de verificación de terminación y los procesos de verificación de antecedentes corresponden aquí.

Registro, monitoreo e integridad

• Audit and Accountability: Registre la actividad de los usuarios y los eventos del sistema, proteja esos registros y consérvelos para su revisión. Su configuración de retención de registros de SIEM y su política de retención son artefactos centrales.
• System and Information Integrity: Aborde las fallas del sistema, proteja contra código malicioso y supervise las alertas de seguridad. La configuración de protección de endpoints y los registros de gestión de parches son solicitudes de evidencia comunes.

Configuración y mantenimiento

• Configuration Management: Establezca y aplique configuraciones seguras para los sistemas que manejan CUI. Las líneas base, los registros de control de cambios y el inventario de software satisfacen este dominio.
• Maintenance: Controle las actividades de mantenimiento en sistemas que procesan CUI, especialmente las sesiones remotas. Registre toda la actividad de mantenimiento y restrinja quién puede realizarla.

Protección de datos y física

• Media Protection: Controle cómo se almacena, transporta y destruye CUI en medios físicos y digitales. Se requieren políticas de saneamiento, eliminación y uso de medios extraíbles.
• Physical Protection: Limite el acceso físico a sistemas y entornos donde se procesa CUI. Los registros de visitantes, los registros de acceso con credencial y las políticas de seguridad física satisfacen este dominio.

Riesgo, evaluación y capacitación

• Risk Assessment: Evalúe periódicamente el riesgo operativo derivado del uso de sistemas con CUI. Se espera un proceso documentado de evaluación de riesgos con resultados y seguimiento de remediación.
• Security Assessment: Evalúe sus controles periódicamente, mantenga planes de acción y supervise la seguridad de forma continua. Su SSP y su proceso de POA&M respaldan directamente este dominio.
• Awareness and Training: Capacite al personal sobre responsabilidades de seguridad y riesgos específicos del rol. Los evaluadores esperan registros de capacitación, seguimiento de finalización y evidencia de contenido basado en roles.

Comunicaciones y respuesta a incidentes

• System and Communications Protection: Supervise, controle y proteja los datos transmitidos a través de sus sistemas. La segmentación de red, el cifrado en tránsito y los controles de protección perimetral son artefactos clave.
• Incident Response: Desarrolle, pruebe y documente su capacidad para detectar, contener y recuperarse de incidentes. Los evaluadores quieren un plan documentado, evidencia de pruebas y registros posteriores a la acción. Su documentación de planificación de respuesta a incidentes y los artefactos de prueba son un foco principal de evaluación en este dominio.

Con sus requisitos de dominio definidos, puede planificar los puntos de fricción que con mayor frecuencia descarrilan la preparación.

Qué hace difícil el cumplimiento de CMMC

El modelo basado en evidencia de CMMC es sencillo en principio, pero exigente en la práctica. La mayoría de los equipos que tienen dificultades con la preparación no fallan por brechas técnicas exóticas; fallan por barreras estructurales que requieren inversión sostenida y coordinación para superarse. Estos son los cuatro puntos de fricción que aparecen con mayor consistencia.

• Carga de costos (especialmente para pequeñas empresas). Si se encuentra en una etapa temprana de madurez de seguridad, puede necesitar cambios de herramientas, documentación y flujos de evidencia sostenidos que requieren una inversión significativa.
• Operacionalización de la evidencia. Si no puede producir registros, tickets, configuraciones y pruebas de controles consistentes a lo largo del tiempo, tendrá dificultades para aprobar.
• Dependencias de proveedores de nube. Si sus proveedores de nube manejan CUI, su estado de autorización y el límite de responsabilidad compartida pueden bloquear su certificación.
• Complejidad de la delimitación. Una delimitación excesiva incorpora sistemas innecesarios a la evaluación; una delimitación insuficiente omite flujos reales de CUI.

Ninguna de estas barreras es insuperable, pero todas requieren tiempo de planificación que no puede recuperar si empieza tarde. Iniciar temprano su evaluación de brechas y su SSP es la forma más confiable de evitar que los desafíos estructurales se conviertan en riesgos de elegibilidad.

Errores comunes en la implementación del cumplimiento de CMMC

La mayoría de los fallos provienen de una coordinación deficiente o documentación desactualizada, no solo de brechas de control. Estos son los errores que con mayor frecuencia descarrilan las evaluaciones:

• La trampa de "solo políticas". Si muestra políticas sin artefactos que demuestren que los controles operan, no cumplirá una evaluación basada en evidencia.
• Recopilación de evidencia de último momento. Si se apresura a reunir capturas de pantalla justo antes de la evaluación, transmite inmadurez y debilita la confianza en su SSP.
• Tratar los POA&Ms como un plan. Si trata los POA&Ms como su estrategia, corre el riesgo de agotar el tiempo del estado condicional en lugar de cerrar brechas reales de control.
• Usar el mismo C3PAO para preparación y certificación. Si contrata a un C3PAO para apoyo de preparación, no puede usar la misma organización para la evaluación de certificación.

El hilo común en todo esto es el tiempo. Los equipos que tratan la preparación para CMMC como un programa operativo permanente en lugar de un impulso previo a la evaluación evitan todos los puntos de esta lista. Las mejores prácticas a continuación describen cómo estructurar ese programa fase por fase.

Mejores prácticas para el cumplimiento de CMMC

La preparación para CMMC no es un proyecto con una meta final: es un programa operativo que funciona de manera continua. Las cinco fases a continuación le ofrecen una forma estructurada de construir ese programa, desde la evaluación inicial de brechas hasta la capacitación del personal que determina si su equipo aprueba la parte de entrevistas de una evaluación.

• Phase 1: Assess your current posture. Realice una evaluación de brechas frente a NIST SP 800-171 y revise cada contrato y licitación para confirmar el nivel de CMMC que necesita. Si utiliza servicios en la nube, valide temprano el estado de autorización y las responsabilidades compartidas. Comience su SSP desde el inicio, no como un entregable posterior a la evaluación.
• Phase 2: Build a cross-functional readiness team. Necesita liderazgo para afirmaciones y asignación de recursos, TI para la implementación técnica y responsables de cumplimiento para la documentación y los flujos de evidencia. Asigne responsables nominales a cada dominio de control y haga que la rendición de cuentas sea recurrente, no ad hoc.
• Phase 3: Implement continuous evidence collection. Trate su SSP como un documento vivo, no como un entregable previo a la auditoría. Cree flujos de retención para los artefactos que esperan los evaluadores y confirme cómo su configuración de retención de registros de SIEM respalda su narrativa de evidencia.
• Phase 4: Scope accurately. Documente con precisión los flujos y límites de CUI. Una delimitación precisa reduce costos y enfoca sus controles donde más importan.
• Phase 5: Train personnel on documented controls. Los evaluadores van a Examinar, Entrevistar y Probar. Su personal debe poder explicar cómo operan los controles en la práctica, especialmente en torno al acceso de mínimo privilegio y el manejo de incidentes, porque la documentación por sí sola no permite aprobar la parte de entrevistas.

Una vez que tenga disciplina de procesos, puede asignar herramientas a las expectativas de evidencia sin intentar encubrir brechas.

Conclusiones clave

Si maneja FCI o CUI del DoD, CMMC es el marco vinculante para verificar su postura de ciberseguridad mediante certificación basada en evidencia, no autoatestación. 

Tendrá éxito cuando establezca una recopilación continua de evidencia, delimite con precisión, gestione la preparación como un programa multifuncional y utilice herramientas que produzcan los artefactos operativos que exigen las evaluaciones de CMMC.

Preguntas frecuentes

¿Qué es el cumplimiento de CMMC?

El cumplimiento de CMMC significa que un contratista o subcontratista del DoD ha cumplido con los requisitos de ciberseguridad vinculados a su nivel de certificación específico, ya sea mediante una autoevaluación o una certificación de terceros, y mantiene ese estado durante la vigencia de su contrato. 

El cumplimiento no es un evento único: requiere una afirmación anual, recopilación continua de evidencia y un Plan de Seguridad del Sistema actualizado. Si su estado de CMMC vence o no puede verificarse, no es elegible para obtener o continuar la ejecución de contratos del DoD que involucren FCI o CUI.

¿Cuál es la diferencia entre CMMC Nivel 1 y Nivel 2?

Si su entorno evaluado solo maneja FCI, el Nivel 1 se centra en salvaguardas básicas alineadas con FAR 52.204-21, y normalmente lo cumple mediante una autoevaluación anual respaldada por evidencias sencillas como listas de cuentas, registros de capacitación y ajustes de configuración. 

Si CUI entra en el alcance, el Nivel 2 requiere que implemente los 110 requisitos de NIST SP 800-171, mantenga un SSP y produzca evidencia objetiva de que los controles operan. Su contrato determina si la evaluación es propia o de un tercero.

¿Puede un contratista usar POA&M para aprobar una evaluación de CMMC?

No debe tratar los POA&M como su estrategia. Cuando el programa permite POA&M, solo puede utilizarlos bajo condiciones específicas y, por lo general, solo para brechas limitadas después de cumplir con el umbral mínimo de implementación del programa. 

Aún necesita documentar cada brecha en su SSP, mostrar un plan de remediación financiado y con plazos definidos, y mantener artefactos de seguimiento como tickets, cambios de configuración y resultados de validación. Si no cumple con el plazo condicional, puede perder el estado y la elegibilidad.

¿Qué sucede si mi proveedor de nube no está debidamente autorizado para CUI?

Si su proveedor de nube procesa, almacena o transmite CUI para el trabajo de su contrato, puede encontrarse con un bloqueo importante durante la preparación. Necesita que la postura de autorización del proveedor se alinee con las expectativas del DoD, y necesita un modelo claro de responsabilidad compartida para controles como el registro, las revisiones de acceso y la gestión de incidentes. 

Si el proveedor no puede cumplir esas expectativas, es posible que deba rediseñar el alcance o trasladar las cargas de trabajo.

¿Cómo crea responsabilidad personal la afirmación anual?

Cuando firma una afirmación anual, vincula su nombre a una declaración de cumplimiento que puede estar relacionada con la elegibilidad del contrato, la adjudicación o el pago. Si su organización no puede respaldar esa declaración con evidencia, puede generar exposición en virtud de la False Claims Act. 

Se protege manteniendo su SSP preciso, manteniendo la evidencia actualizada y asegurándose de que el liderazgo revise el alcance y el riesgo antes de firmar.

¿Se ampliarán los requisitos de CMMC más allá de los contratos del DoD?

Debe esperar que los requisitos de protección de CUI sigan estandarizándose en el trabajo federal, incluso cuando el lenguaje contractual difiera según la agencia. Si operacionaliza ahora controles alineados con NIST SP 800-171, reducirá el retrabajo más adelante porque ya ejecuta los procesos que los auditores desean: manejo de datos dentro del alcance, gobernanza de acceso, retención de registros y respuesta a incidentes repetible. 

CMMC formaliza esos requisitos para el DoD, pero la disciplina de control se transfiere bien a otros programas federales.