TL;DR: Nada de tu obligación de proteger la CUI se volvió más ligero este mes. El DoW les dio tiempo a los proveedores, no una exención. Huntress está usando este momento para seguir invirtiendo en cobertura, no para relajarse. Y tú también deberías hacerlo.
El DoW pausó el plazo. Tu trabajo de Cumplimiento normativo no está en pausa.
La versión corta: el plazo de certificación de noviembre está pausado, pero las autoevaluaciones de NIST SP 800-171, las obligaciones de DFARS 252.204-7012 y las expectativas de los contratistas principales siguen vigentes; y cumplir con la False Claims Act sigue siendo tu norte. El FAR Council también avanza con una regla separada y de alcance gubernamental sobre la CUI. Mantén el rumbo en la protección de tu CUI para blindar a futuro tus ingresos del DoW.
La necesidad de proteger la CUI y de autoevaluarte en L1, L2 y L3 no desaparece. Lo único que se suspende es el requisito del DoW de que un C3PAO o el DIBCAC te certifiquen antes de noviembre de 2026. El DoW todavía exige que cumplas con los 110 requisitos de L2 para proteger la CUI, y se reserva el derecho de auditar tu autoevaluación en cualquier momento.
Lee entre líneas: esto es el DoW admitiendo que los proveedores no están listos. Para las pymes, eso es un regalo de tiempo extra. Úsalo con sabiduría. Esto no es excusa para retrasar la preparación. Es una oportunidad para llegar a tu eventual evaluación preparado, en lugar de corriendo contra el reloj.
Por separado, el FAR Council propuso una regla el 23 de junio para que el reporte de incidentes de CUI en menos de 72 horas sea un requisito de alcance gubernamental, no solo del DoW.
La protección de la CUI no se está desacelerando. Se está expandiendo.
Qué cambió realmente
DFARS 252.204-7012 y NIST SP 800-171 Rev 2 siguen vigentes. No hay ningún cambio. Todavía tienes que hacerlo. Punto.
El CMMC en sí está suspendido a la espera de una revisión de 60 días. En la práctica, eso significa que el DoW no puede exigir contractualmente ahora mismo el CMMC Nivel 2 (C3PAO) ni el Nivel 3 (DIBCAC). Las solicitudes activas que ya incluían ese requisito están siendo modificadas para eliminarlo.
Los contratistas principales son la gran incógnita. Nada impide que un contratista principal exija la certificación por su cuenta, aunque el DoW se retracte. Si eres subcontratista, no asumas que tu contratista principal se va a relajar solo porque el DoW lo hizo.
Y los C3PAO no han dejado de trabajar. Confirmamos que las evaluaciones siguen en marcha hoy para las organizaciones que ya las tenían programadas. Quienes avancen con sus evaluaciones estarán blindando a futuro su embudo y sus ingresos del DoW. Mantén el rumbo.
Qué significa esto para ti
Si tienes una evaluación de Nivel 2 o Nivel 3 en marcha o programada, la presión del plazo de noviembre desapareció. Ese es un alivio real. No lo desperdicies. Usa el tiempo extra para cerrar brechas de forma adecuada en lugar de apurar un ejercicio de casillas. Pero no canceles tus planes. Sigue haciendo el trabajo para proteger la CUI.
Si esperabas que esta suspensión significara que podías dejar de preocuparte por la CUI, eso no es lo que pasó. La autoevaluación de NIST SP 800-171 Rev 2 sigue siendo obligatoria. DFARS 252.204-7012 todavía te obliga a resguardar la información de defensa protegida, tengas o no estatus de certificación. El DoW todavía puede auditar tu autoevaluación cuando quiera. Y el FAR Council está construyendo activamente una regla de reporte de CUI de alcance gubernamental que aplicará mucho más allá de los contratos del DoW. Las protecciones de la CUI se están expandiendo, no desapareciendo.
Mientras tanto, Huntress te acaba de acercar a la mitad de los controles
Este mes, Huntress agregó Managed Identity Security Posture Management (ISPM) a nuestra documentación de CMMC. Esa actualización lleva el soporte de Huntress de 37 de los 110 requisitos de NIST SP 800-171 a 55, lo que supera la mitad de los controles sobre los que se basa una evaluación CMMC L2. Los mapeos actualizados ya están disponibles en la Matriz de responsabilidad compartida, descargable en nuestro Trust Center.
Un giro hacia la prevención temprana
Managed ISPM aplica de forma continua los controles de seguridad en tu superficie de ataque en la nube de Microsoft. Eso es terreno nuevo para nosotros. Hasta ahora, Huntress se había ganado su lugar en el alcance del CMMC principalmente detectando los ataques después de que empezaban. ISPM nos permite configurar y aplicar los ajustes de Microsoft 365 frente a las tácticas actuales de los atacantes antes de que algo se dispare, y por eso la cantidad de requisitos que soportamos pasó de 37 a 55.
Actualizamos la documentación para que coincida. La Matriz de Responsabilidad Compartida y el Plan de Operaciones ahora conviven, con una pestaña de "Cómo usar" y una pestaña separada que mapea 800-171 a los productos de Huntress en términos sencillos. Los partners y clientes reciben la guía más reciente a través del Trust Center, en lugar de tener que perseguir la última versión.
Dónde ISPM se gana la nueva cobertura
Identidad y acceso. Antes de ISPM, Managed Identity Threat Detection and Response (ITDR) y Managed SIEM detectaban ataques basados en identidad y aislaban las cuentas involucradas. ISPM agrega prevención mediante Controles de Seguridad y Políticas de Acceso Condicional Administradas, de modo que las tácticas comunes de los atacantes se bloquean en la puerta. Eso es lo que lleva nuestra cobertura más adentro de las familias de Control de Acceso (AC) e Identificación y Autenticación (IA).
Configuración y protocolos. ISPM funciona de manera independiente de Microsoft 365, así que rastrea la desviación de configuración, mantiene los ajustes en un estado seguro y evita que los cambios no autorizados se mantengan. Muchos de los controles actuales y las políticas administradas existen para deshabilitar o bloquear protocolos y servicios inseguros, lo cual amplía nuestro alcance en Gestión de Configuración (CM) y Protección de Sistemas y Comunicaciones (SC).
Monitoreo continuo. Un evaluador quiere prueba continua de que un control sigue funcionando, no una captura de pantalla del día en que se activó. Los paneles de ISPM muestran la aplicación continua de los Controles de Seguridad junto a las Políticas de Acceso Condicional, tanto las que administra Huntress como las que crea tu equipo. Puedes señalar cuánto tiempo se ha mantenido una configuración, y la alerta de aplicación que se dispara cuando la Aplicación Continua revierte un cambio no autorizado. Esa es la evidencia que piden tanto una evaluación como una auditoría.
Por qué la actualización de la documentación tiene peso
Una mejor seguridad solo ayuda en el cumplimiento normativo cuando está documentada, aplicada y es verificable. Huntress ya construyó su soporte de CMMC alrededor de la Matriz de Responsabilidad Compartida, el Plan de Operaciones y las plantillas complementarias que te ayudan a documentar el trabajo dentro de tu propio negocio. Esos materiales ahora reflejan el alcance más amplio que ISPM habilita y el salto de 37 requisitos a 55.
Para partners, MSP y subcontratistas del DoD, eso significa menos conjeturas al mapear las capacidades de Huntress con los requisitos, y más confianza en una autoevaluación, o al llegar a una evaluación de C3PAO con la evidencia ya lista.
El mismo mensaje, dos frentes: no estamos bajando el ritmo. Tú tampoco deberías.
Fíjate en el patrón. El DoW pausó un plazo, y nosotros lanzamos y mapeamos más cobertura, no menos esfuerzo. La Matriz de Responsabilidad Compartida no es un documento que publicamos una vez y archivamos. Es uno que seguimos actualizando a medida que nuestra plataforma cubre más de los 110 controles. Y el salto de ISPM de 37 a 55 es la prueba más reciente de eso.
Ese es el estándar hacia el que también te orientaríamos a ti. Que el DoW admita que la industria no está lista no es permiso para quedarte quieto. Es tiempo extra. Úsalo para cerrar brechas reales, no para mirar hacia otro lado y esperar que desaparezcan.
La conclusión
Mantén el rumbo. Todavía tienes que proteger la CUI. Todavía tienes que autoevaluarte. Todavía puedes ser auditado sobre esa evaluación. La barrera de certificación se movió, la obligación no, y Huntress tampoco está bajando la guardia.
Trata esta pausa como tiempo extra en un examen que aún tienes que presentar, no como una razón para soltar el lápiz.
¿Listo para ver las novedades? Descarga la guía de SRM + Ops actualizada y explora los últimos recursos de CMMC en el Trust Center.
