Los proveedores de servicios administrados (MSP) deben estar atentos cuando clientes potenciales o existentes sean contratistas de defensa, ya que las empresas sujetas a DFARS (252.204-7012 y -7021) requieren más controles de seguridad, documentación y soporte que un cliente promedio.
Pero hay un problema: muchas organizaciones no se identifican como contratistas de defensa. Se consideran empresas comerciales que venden productos y servicios comerciales. Esto es aún más común entre los subcontratistas de defensa que venden a "contratistas principales" en lugar de directamente a una agencia gubernamental.
¿Cómo pueden los MSP y los proveedores de servicios de seguridad administrada (MSSP) entender mejor las necesidades de una empresa para evitar sorpresas como la Certificación del Modelo de Madurez de Ciberseguridad (CMMC) del DoD, las evaluaciones de NIST 800-171 y las afirmaciones anuales de cumplimiento?
Si investigamos un poco y hacemos mejores preguntas, podemos eliminar el ruido y ver las necesidades reales de una organización.
La investigación
Puedes consultar información pública valiosa para ver cuánto se relaciona una organización con la industria de defensa.
USASpending.gov: El gobierno federal mantiene registros públicos de sus actividades de contratación.
Haz clic en el botón "Start Searching Awards"
Expande la pestaña "Recipient"
Busca el nombre de la empresa de tu cliente.
Los resultados de búsqueda te permiten hacer clic en el perfil del destinatario para confirmar el nombre y la dirección de la empresa.
Estos resultados no incluirán adjudicaciones de subcontratos, pero ver las adjudicaciones de contratos individuales, las transacciones a lo largo del tiempo y los montos en dólares puede ayudar a tu equipo a determinar si una empresa está activa en la base industrial de defensa. También te ayudará a entender cuánto negocio directo puede verse afectado por CMMC.
Sitios web de empresas: Te sorprendería cuántas empresas no se consideran contratistas de defensa y, sin embargo, publicitan experiencia en defensa en su propio sitio web. Algunos indicadores sólidos pueden incluir:
Registro ITAR: Registrarse ante la Directorate of Defense Trade Controls (DDTC) indica que una empresa está preparada para desarrollar, fabricar o manejar en general "artículos de defensa" regidos por el International Traffic in Arms Regulations (ITAR).
AS9100: Esta es una norma de gestión de calidad para los sectores aeroespacial, de aviación y de defensa. Mientras que las empresas puramente comerciales cuentan con la certificación ISO 9001, los contratistas de defensa suelen tener esta certificación adicional.
Acreditación Nadcap: Los fabricantes que realizan procesos críticos como procesamiento químico, soldadura o pruebas no destructivas a veces están acreditados bajo el National Aerospace and Defense Contractors Accreditation Program (Nadcap). Consulta los directorios públicos de fabricantes acreditados para ver si tu cliente figura en la lista. Si es así, es probable que realice trabajo subcontratado para grandes contratistas principales del sector aeroespacial, lo cual a menudo involucra Controlled Unclassified Information (CUI).
"Vehículos de contrato": Esto significa que la empresa ya pasó por procesos extensos de verificación, y las agencias gubernamentales pueden comprarle sin necesidad de una licitación abierta. Las empresas suelen listar estos contratos (IDIQ, GWAC, BPA, OTA, etc.) en su sitio web.
"Defense" aparece listado en su navegación del sitio bajo "Sectores atendidos".
Otros indicadores: ¿El sitio web tiene un águila calva chillando en la página principal? ¿Qué tal un F-35 Joint Strike Fighter? ¿Una foto de operadores de fuerzas especiales sosteniendo el producto de la empresa mientras marchan y señalan cosas? Por lo general, los contratistas de defensa quieren que los visitantes del sitio sepan que las fuerzas militares usan sus productos y servicios.
Las preguntas
Una vez que hayas hecho tu propia investigación inicial, puedes hacerle estas preguntas a un cliente para identificar si realmente es un contratista de defensa:
¿Alguno de tus contratos, órdenes de tarea u órdenes de compra incluye cláusulas de la Federal Acquisition Regulation (FAR) o del Defense Federal Acquisition Regulation Supplement (DFARS)?
Las empresas privadas deben incluir cláusulas específicas de FAR/DFARS en los subcontratos cuando el trabajo se realiza en nombre de una agencia. Si recibes cláusulas DFARS en subcontratos, eres un subcontratista de defensa.
¿Recibes datos técnicos de clientes marcados con declaraciones de distribución del DoD?
Los documentos con declaraciones de distribución del DoD provienen de una agencia o se marcan con estas declaraciones porque eventualmente se entregarán a una agencia. Si una empresa recibe estos documentos, verifica si están relacionados con un contrato, orden de tarea u orden de compra que contenga cláusulas DFARS (si es así, es un contratista de defensa).
No todos los documentos con declaraciones de distribución califican como CUI. Sin embargo, si aunque sea algunos de ellos califican, o llegan futuros documentos con marcas CUI, los sistemas que procesan, almacenan o transmiten estos documentos probablemente también sean tus flujos de datos CUI actuales o futuros.
¿Tu empresa tiene una cuenta en el sistema Procurement Integrated Enterprise Environment (Entorno Empresarial Integrado de Adquisiciones, PIEE)?
El acceso a PIEE es necesario para los contratistas de defensa que reciben informes y solicitan pagos de progreso a través de Wide Area Workflow (WAWF).
PIEE también se requiere para enviar las autoevaluaciones de NIST 800-171 en el módulo Supplier Performance Risk System (SPRS). Las empresas tendrán acceso a PIEE si antes trabajaron en contratos de defensa. Si tu cliente tiene acceso a PIEE, pregúntale si en el pasado presentó una "autoevaluación básica" para NIST 800-171. Solo los contratistas de defensa las presentan.
Cómo ayuda Huntress
Huntress cumple con 51 de los 110 controles requeridos para tu evaluación de CMMC Nivel 2, con evidencia en nuestra Matriz de responsabilidad compartida.
Si tienes contratos con el DoD o trabajas con clientes que los tienen, cumplir con CMMC es indispensable a partir del 10 de noviembre de 2025. Huntress cubre casi la mitad de los controles requeridos con tecnología que cumple con CMMC y documentación lista para el evaluador. Si antes no habías considerado a Huntress, ahora es el momento.
Solicita una demo hoy y descubre cómo Huntress te ayuda a cumplir con CMMC.
Ryan Bonner es el fundador y director ejecutivo de DEFCERT. Ryan ha liderado proyectos de transformación de cumplimiento de DFARS y CMMC para más de 150 contratistas de la Base Industrial de Defensa (DIB), a menudo con la participación de MSP.
