"Esto no es solo cumplimiento normativo...es un imperativo de seguridad nacional."
Chief DIB Cybersecurity, DCIO(CS), OCIO
La espera terminó. El 10 de septiembre de 2025, el Departamento de Defensa (DoD) publicó la regla final para la Certificación del Modelo de Madurez en Ciberseguridad (CMMC). La regla entra en vigencia oficialmente el 10 de noviembre de 2025, y si eres subcontratista del DoD, debes prestar mucha atención.
Los contratistas principales pronto deberán verificar que sus subcontratistas estén certificados antes de otorgar un contrato. Esta publicación explica qué es la regla final de CMMC, qué significa para ti y por qué debes empezar a prepararte para tu evaluación. Vamos a entrar en detalle.
¿Qué es la regla final de CMMC?
Piensa en CMMC como la nueva verificación de antecedentes de ciberseguridad estándar del DoD para su cadena de suministro. Ten en cuenta que los requisitos basados en NIST SP 800-171 no son nuevos, y como subcontratista del DoD, ya deberías estar cumpliendo con estos requisitos. Pero hasta ahora, los contratistas autodeclaraban su postura de seguridad.
Ahora se añade un componente de verificación para asegurarse de que los contratistas realmente protejan la información confidencial del gobierno. Está diseñado para proteger la cadena de suministro de ciberataques y robo de datos.
El programa protege dos tipos principales de información:
- Información federal de contrato (FCI): Información que no está destinada a divulgación pública y que es proporcionada por el gobierno o generada para este en virtud de un contrato.
- Información no clasificada controlada (CUI): Una categoría amplia de información que requiere salvaguardas o controles de difusión conforme a las leyes, regulaciones y políticas gubernamentales. Si manejas información como la Información Técnica Controlada (CTI), estás trabajando con CUI.
CMMC se divide en tres niveles, cada uno con requisitos de seguridad crecientes. El nivel que necesitas depende del tipo de información que manejes.
- CMMC Nivel 1: Este es el nivel fundamental para cualquiera que maneje FCI. Requiere una autoevaluación anual frente a 15 controles de seguridad básicos que se encuentran en FAR 52.204-21.
- CMMC Nivel 2: Este es el importante. Si almacenas, procesas o transmites CUI, necesitarás una certificación de Nivel 2. Se alinea con los 110 requisitos de NIST SP 800-171 y exige que la mayoría de los contratistas pasen por una evaluación de terceros realizada por una organización certificada (C3PAO) cada tres años.
- CMMC Nivel 3: Este nivel superior es para contratistas que manejan la información CUI más confidencial. Incluye los 110 controles del Nivel 2 más 24 adicionales de NIST SP 800-172. El gobierno realizará estas evaluaciones.
El DoD estima que más de 80.000 contratistas necesitarán una certificación de Nivel 2 o Nivel 3. Pero ese número es una estimación muy conservadora, dado que no existe una base de datos de subcontratistas del DoD. El número real probablemente sea mucho, mucho más alto.
Cronología de implementación de CMMC y requisitos de traspaso
Aunque la regla entra en vigencia el 10 de noviembre de 2025, los requisitos de CMMC se implementarán de forma escalonada en los nuevos contratos del DoD. Durante los primeros tres años, el DoD decidirá qué contratos recibirán el tratamiento de CMMC, y en qué nivel. Después del 10 de noviembre de 2028, será estándar para los contratos que involucren FCI o CUI.
No dejes que la "implementación escalonada" te lleve a la complacencia. El lenguaje final de la cláusula DFARS es muy claro: los contratistas principales deben verificar que sus subcontratistas tengan la certificación CMMC requerida antes de otorgar un contrato. Este es un cambio enorme. Los contratistas principales no esperarán a que el DoD lo exija en un contrato específico; empezarán a exigirlo en toda su cadena de suministro para reducir su propio riesgo.
Este requisito de "traspaso" significa que los subcontratistas ya no pueden pasar desapercibidos. Si quieres seguir trabajando con contratistas principales del DoD, debes ser proactivo y certificarte en el nivel correspondiente. Piénsalo así: toma la cifra conservadora de 80.000 contratistas en el alcance del Nivel 2. Compárala con 82 C3PAO certificados en el sitio web de Cyber AB (al momento de escribir esto).
Si bien una evaluación típica puede tomar de cuatro a ocho semanas de principio a fin, supongamos una semana de tiempo sólido de C3PAO por evaluación. Seamos generosos y supongamos que cada uno de los 82 C3PAO puede manejar mágicamente 10 evaluaciones a la vez. Sin días libres, 82 C3PAO x 52 semanas al año x 10 evaluaciones simultáneas = 42.640.
¡Eso significa que tomará aproximadamente dos años completar los primeros 80.000 contratistas! Si no haces esto de forma proactiva, estás arriesgando todo tu negocio como contratista del DoD.
Requisitos de evaluación de CMMC Nivel 2
Para las decenas de miles de subcontratistas que manejan CUI, una evaluación de CMMC Nivel 2 está en tu futuro. Esta es una evaluación rigurosa de tu madurez en ciberseguridad, y pasar una evaluación de C3PAO requiere una preparación seria.
Necesitas poner en orden estas tres áreas clave:
- Tecnología: ¿Tienes las herramientas adecuadas? Esto incluye protección de endpoints, gestión de información y eventos de seguridad (SIEM), escaneo de vulnerabilidades y control de aplicaciones. Tu conjunto de tecnologías debe poder cumplir con los 110 requisitos de seguridad.
- Procesos: Necesitas procesos bien definidos y repetibles para todo, desde la incorporación de empleados hasta las aprobaciones de control de cambios y la respuesta a incidentes. Los auditores querrán ver que tus prácticas de seguridad están integradas en tus operaciones diarias, no solo escritas en algún lugar y olvidadas.
- Documentación: Si no está documentado, no sucedió. Los auditores viven y respiran documentación. Necesitarás un plan de seguridad del sistema (SSP) actualizado, políticas para cada familia de controles, procedimientos detallados y registros que demuestren que haces lo que dices que haces. Este suele ser el mayor obstáculo para la mayoría durante el proceso de auditoría.
Reunir toda esta evidencia, organizarla y cumplir con las expectativas del evaluador es una tarea monumental. Tratar de hacerlo todo tú mismo mientras diriges tu negocio puede sentirse como una gran distracción.
Ten en cuenta que esto no es como otras iniciativas de cumplimiento normativo. La evaluación de CMMC Nivel 2 se califica sobre 110 puntos. Para aprobar, debes obtener una puntuación de 110 sobre 110.
Sin embargo, si obtienes al menos 88 de 110 puntos y no tienes deficiencias en ciertos controles críticos, no reprobarás por completo. En cambio, tu C3PAO puede emitir una Certificación Condicional. En esencia, esto te otorga una certificación temporal con la condición de que corrijas los elementos pendientes dentro de un plazo estricto de 180 días. Una preparación adecuada es fundamental.
Cómo Huntress Managed SIEM ayuda con el cumplimiento normativo de CMMC Nivel 2
La regla final de CMMC ya está aquí, y el reloj de implementación ha comenzado. Los subcontratistas que esperen para prepararse no podrán ganar contratos que requieran un estado CMMC de Nivel 2 (C3PAO). La demanda de evaluaciones C3PAO ya es alta y solo se intensificará, lo que genera un cuello de botella importante (hay aproximadamente un C3PAO por cada más de 1.000 subcontratistas del DoD que necesitan la certificación L2).
Toma estas medidas hoy mismo:
- Determina tu nivel: Identifica si manejas FCI o CUI para entender qué nivel de CMMC debes cumplir.
- Realiza un análisis de brechas: Evalúa tu entorno actual frente a los controles requeridos de CMMC. Identifica en qué puntos no cumples.
- Elabora tu plan: Crea un plan de acción e hitos (POA&M) detallado para abordar tus brechas.
- Encuentra socios confiables: Trabaja con proveedores de seguridad que entiendan CMMC y puedan ayudarte a implementar la tecnología, los procesos y la documentación necesarios. (Lo adivinaste: si tienes productos de Huntress, tenemos la documentación que necesitas para respaldar una auditoría exitosa.)
Puedes encontrar ayuda calificada en el sitio web de Cyber AB. Es hora de empezar para conservar tu lugar en la cadena de suministro del DoD.
