Hace un par de semanas estuve en XChange y en nuestro stand no dejaba de hacer la misma pregunta: "¿Alguien aquí tiene clientes que sean contratistas de defensa? ¿Les importa la CMMC?"
Las respuestas fueron bastante parecidas:
"Teníamos dos clientes muy enfocados en eso. Los dos se quedaron callados después de la noticia".
"El contratista principal de mi cliente le dijo que siguiera adelante. Nadie sabe a quién hacerle caso".
"Espera, ¿la pausaron? ¿Qué significa eso?"
Esa última salió más de una vez. Y entiendo por qué. Si solo leíste el titular del 13 de julio, te habrás quedado con la idea de que todo se esfumó.
No fue así. Y mientras todos estaban ocupados leyendo las exageraciones sobre la CMMC, salió otra regla con un radio de impacto mucho mayor. Te explico las dos.
Qué pasó realmente el 13 de julio
El DoD suspendió la Fase 2 de la CMMC. Es la fase en la que los oficiales de contratación exigen evaluaciones de certificación de terceros para las licitaciones publicadas después del 10 de noviembre de 2026. Con esta "pausa estratégica", las licitaciones siguen incluyendo la disposición de la CMMC y los contratos siguen incluyendo la cláusula de la CMMC (DFARS 252.204-7021) para la fase 1 con autoevaluaciones.
Un nuevo grupo de trabajo para la reforma de la CMMC está haciendo una revisión completa del programa y le reportará al CIO en un plazo de 60 días. Haciendo cuentas rápidas, eso pone las recomendaciones más o menos entre septiembre y octubre.
No se detiene, ni se va a detener
Esta es la parte que se perdió.
La Fase 1 nunca se detuvo. Las autoevaluaciones de Nivel 1 y Nivel 2 siguen apareciendo en las licitaciones y contratos aplicables. Están vigentes desde noviembre de 2025. Las licitaciones siguen incluyendo la disposición de la CMMC (DFARS 252.204-7025) y los contratos siguen incluyendo la cláusula de la CMMC (DFARS 252.204-7021) con la "autoevaluación" de Nivel 1 y Nivel 2.
Los puntajes del SPRS siguen importando. Tu cliente sigue enviando un puntaje. Lo que cambió es la aplicación, no la regla. Un contrato que especifica el Nivel 2 siempre ha exigido al menos 88 de 110 puntos; la Fase 1 solo significa que ahora alguien de verdad lo está revisando.
La DFARS 252.204-7012 no se movió. La obligación de proteger la CUI y reportar incidentes en un plazo de 72 horas está en los contratos de defensa desde 2017. Un memorándum que pausa una fase de certificación no afecta en nada esta cláusula contractual.
Los contratistas principales no se han detenido por lo que anunció el Pentágono. Ya vimos contratistas principales enviar avisos a sus proveedores pidiéndoles a sus subcontratistas que sigan adelante. Las obligaciones que tu cliente hereda vienen de su contrato, no de un comunicado de prensa.
Y la exposición bajo la False Claims Act podría decirse que empeoró. La combinación de puntajes mínimos más altos y el requisito de que altos directivos de la empresa confirmen cada año la exactitud del puntaje significa más oportunidades de tergiversar el cumplimiento. Mientras tanto, los propios equipos de evaluación del Departamento (DIBCAC) ahora están cooperando directamente con el Departamento de Justicia en casos de la False Claims Act. Sin necesidad de un denunciante.
En pocas palabras: el nivel de certificación está en pausa. Demostrar el cumplimiento, no.
Ahora, la regla de la que nadie habló, y va a llegar lejos con la FAR
Diez días antes del anuncio de la CMMC, el 23 de junio, el FAR Council publicó su propuesta de regla sobre CUI como parte de la Revolutionary FAR Overhaul. El FAR Council incluye al DoD. Es decir, está un nivel por encima del DoD y tiene un alcance mucho más amplio.
Tres cosas que debes saber:
Ya no es solo para defensa. Las cláusulas propuestas aplicarían a los contratistas federales con contratos basados en la FAR, no solo a la base industrial de defensa. Si un contrato involucra CUI, el oficial de contratación llena un formulario que identifica qué CUI está involucrada y dónde reside, y ese formulario acompaña al contrato. Las agencias civiles nunca tuvieron una cláusula para todo el gobierno sobre esto. Cada agencia improvisaba. Esto cierra esa brecha.
La base pasó a NIST 800-171 Revisión 3. La versión de enero de 2025 de esta regla apuntaba a la Rev 2, la misma base que usa hoy la DFARS 252.204-7012. La versión de junio de 2026 apunta a la Rev 3. No es una simple corrección de referencias. La Rev 3 reestructura y amplía los requisitos. Mientras tanto, el Nivel 2 de la CMMC sigue ligado a la Rev 2. Así que, por un tiempo, un contratista que trabaje tanto en defensa como en el sector civil podría estar lidiando con dos revisiones del mismo estándar al mismo tiempo.
Nota: creemos probable que uno de los resultados de la pausa sea que la CMMC pase a la Rev. 3 en 2027 para alinear ambas reglas. Mantente atento a eso, es importante.Reporte de incidentes en 72 horas, y se extiende a los subcontratistas. Lo que significa que tarde o temprano le llega al MSP de alguien.
Los comentarios cerraron el 23 de julio. Todavía no hay regla final, así que nada de esto es lenguaje contractual vigente hoy. No te pongas a reescribir el programa de seguridad de nadie basándote en una regla propuesta.
Pero lee el ambiente. Esta es una administración que pasó un año sacando cláusulas de la FAR bajo una orden ejecutiva que, literalmente, trata de devolverle el sentido común a las compras públicas. En ese proceso casi no se agregó nada. Esto sí se agregó.
Sobre ese plan de "lo resolvemos con un POA&M"
Aquí quiero detenerme un minuto, porque es el malentendido más común que me encuentro, y es el que le cuesta dinero a la gente.
Muchos tratan el plan de acción e hitos como un pase libre. El puntaje está un poco bajo, no pasa nada, escribimos un POA&M y lo arreglamos después.
Lee el 32 CFR 170.21 y esa idea se cae rápido.
Las autoevaluaciones de Nivel 1 no tienen POA&M. Nunca. No es una excepción limitada. Cero.
En el Nivel 2, necesitas un puntaje de al menos 88 de 110 antes de que un POA&M sea siquiera una opción.
Solo pueden incluirse requisitos de 1 punto. Cada requisito vale 1, 3 o 5 puntos. Todos los requisitos de 3 y 5 puntos tienen que cumplirse por completo desde el inicio. Hay exactamente una excepción: el cifrado de CUI puede ir en un POA&M con 3 puntos si ya estás cifrando pero el módulo no tiene validación FIPS. Eso es todo.
Seis requisitos específicos nunca se pueden postergar, aunque valgan solo un punto cada uno. Conexiones externas, control de información pública, tu plan de seguridad del sistema y tres requisitos de acceso físico relacionados con acompañar a visitantes, registros de acceso y gestión de dispositivos de acceso.
Tienes 180 días. Si no cierras a tiempo, tu estado condicional vence.
Así que el POA&M no es una estrategia. Es un pequeño margen para brechas residuales que encuentres durante la evaluación, no un lugar para estacionar trabajo que ya sabes que no hiciste.
32 de nuestros 55
Por esto importa para cualquiera que use Huntress como parte de su estrategia de cumplimiento.
Nuestro equipo y la gente de DEFCERT revisamos los requisitos que no puedes omitir en el Nivel 2, incluso por la vía de la autoevaluación. De los 55 requisitos de NIST 800-171 que Huntress te ayuda a cumplir actualmente, 32 caen en esa categoría innegociable.
No es "estaría bien tenerlo para la evaluación". No es "ya llegaremos a eso". Tiene que estar hecho.
Es decir, un poco más de la mitad de lo que cubrimos cae de lleno en la categoría donde un POA&M no te va a salvar. Lo cual es un buen argumento de por qué "el cumplimiento está en pausa" es la forma equivocada de interpretar el último mes, y un muy buen argumento para revisar lo que tus clientes ya tienen implementado frente a lo que creen que necesitan comprar.
Ten en cuenta: ese análisis de 32 de 55 se basa en la Rev 2 y en la puntuación del Nivel 2 de la CMMC, que es donde está hoy el programa del DoD. Si la regla de CUI de la FAR se finaliza con la Rev 3, parte de ese mapeo cambia. Ya estamos trabajando con DEFCERT en la ruta de actualización y publicaremos la tabla de equivalencias cuando esté sólida, no antes.
Y para dejar claro lo que hacemos y lo que no: Huntress te ayuda a cumplir estos requisitos. No certificamos a nadie. El producto de nadie lo hace. El SSP de tu cliente y su firma siguen siendo su SSP y su firma.
Qué hacer realmente esta semana
No necesitas un programa de cumplimiento para el viernes. Necesitas mejores preguntas. Tres, para tu próxima conversación con un cliente:
¿Tienes algún contrato federal, como contratista principal o subcontratista? Incluidas las subvenciones, incluido ese contrato aislado. Muchos clientes tienen uno y nunca se les ocurrió mencionarlo.
¿Quién lee las cláusulas? Si la respuesta es "nuestro abogado, a veces", encontraste tu brecha. Los MSP no revisan contratos. Alguien tiene que hacerlo.
¿Dónde están realmente los datos del gobierno ahora mismo? No en el organigrama. En el entorno. Qué endpoints, qué buzones, qué carpetas compartidas.
Si tienes clientes de educación superior, salud, gobiernos estatales y locales o servicios financieros, hazles también esas preguntas. Esos sectores tienen contratos basados en la FAR más seguido de lo que la gente cree, y las categorías de CUI que manejan son justo las que esta regla tiene en la mira.
Dónde estamos
La CMMC no se volvió más fácil. La siguiente fase se pausó mientras los requisitos de fondo se ampliaron y, del lado de la FAR, subieron una revisión en dificultad.
Le estamos dando seguimiento y seguiremos publicando cuando salga el reporte del grupo de trabajo en septiembre y cuando aparezca la regla final. Cuando nos equivoquemos en algo, lo diremos y lo corregiremos.
Si quieres el detalle a nivel de requisito, el kit de CMMC y la documentación de cobertura están en nuestro Trust Center. Y recuerda: obtener los beneficios del cumplimiento de la CMMC con Huntress no tiene costo adicional. Solo necesitas una solicitud de soporte para activar el Sensitive Data Mode, y descargar y usar la Matriz de responsabilidad compartida y la documentación de preparación que creamos para ti en nuestro Trust Center, sin costo.
Esta publicación trata sobre una regla propuesta que no es definitiva. Nada de esto es asesoría legal, y el contrato tuyo o de tu cliente es lo único que realmente lo obliga. Habla con su abogado de contratos.
