El cronograma de CMMC del DoD es un despliegue progresivo de tres años que comenzó en noviembre de 2025 con los requisitos de autoevaluación de Nivel 1 y 2. Las evaluaciones de C3PAO ya aparecen en algunos contratos de Nivel 2 y se expandirán de forma significativa a partir de noviembre de 2026. Las evaluaciones de Nivel 3 lideradas por el gobierno se introducen más adelante en el despliegue, tras una adopción más amplia de los requisitos de Nivel 2. Para noviembre de 2028, se espera que CMMC esté completamente implementado en todas las licitaciones y períodos de opción aplicables del DoD.

El tiempo que le toma a una organización obtener la certificación depende en gran medida de la postura de seguridad actual. Muchos contratistas han estado obligados contractualmente a implementar los estándares NIST SP 800-171 (la base de los controles de CMMC) desde 2017, pero los datos de la industria revelan de forma constante una brecha significativa entre el cumplimiento reportado y la realidad operativa.   

Para quienes tienen un entorno de seguridad maduro, el proceso puede durar tan solo de tres a seis meses, enfocándose principalmente en finalizar la documentación y programar una evaluación de un tercero. 

Sin embargo, para la mayoría de las pequeñas y medianas empresas (SMB), el proceso puede extenderse mucho más allá de un año debido a la necesidad de mejoras significativas en la infraestructura, la remediación de deuda técnica heredada y el desarrollo de un cuerpo de evidencia integral. La mayoría de las organizaciones debe planificar entre 6 y 18 meses, dependiendo de su postura de seguridad inicial y del nivel de certificación requerido. 

Fase 1: Alcance e identificación de un activo de ciberseguridad

El primer paso hacia la preparación es determinar el alcance de la evaluación. Eso significa identificar a cada persona, dispositivo e instalación que tenga contacto con información de contratos federales (FCI) o información no clasificada controlada (CUI). El mapeo granular de flujos de datos necesario suele tardar entre varias semanas y algunos meses, según las herramientas, la calidad del inventario de un activo de ciberseguridad y la complejidad de la organización. Un alcance preciso es esencial para evitar retrasos más adelante. 

Aislar la CUI en un “enclave” puede reducir el alcance de los controles y acelerar el proceso de certificación. Sin embargo, esto requiere experiencia arquitectónica especializada para evitar fugas de datos y puede generar fricción en los procesos de negocio relacionados con esos datos.

Fase 2: Implementación técnica y remediación

Una vez identificadas las brechas, las organizaciones pueden avanzar hacia la implementación de los controles requeridos y la corrección de deficiencias. Esta fase suele ser la más larga, y a menudo toma de 6 a 12 meses. La implementación no se trata solo de comprar herramientas; se trata de rediseñar los sistemas para cumplir con los requisitos.

Para muchos contratistas, la infraestructura comercial de TI existente no es suficiente para cumplir con los requisitos de CMMC, en particular en lo relativo a la soberanía de los datos y la criptografía validada por FIPS. Esto puede llevar a la organización a migrar a un entorno especializado como Microsoft 365 GCC High o AWS GovCloud. Si bien usar estos entornos de cloud puede acelerar el cumplimiento, la migración tiene su propio cronograma. La aprobación de licencias solo para GCC High puede tardar entre 30 y 60 días, mientras que la incorporación puede sumar entre 8 y 24 semanas más.

Ciertos controles técnicos son conocidos por causar retrasos. Implementar MFA y criptografía validada por FIPS puede requerir cambios importantes en entornos con sistemas heredados, lo que podría incluir actualizaciones de hardware, software o arquitectura.

Fase 3: Finalización de la documentación

El plan de seguridad del sistema (SSP) es el documento principal que usan los evaluadores para entender la postura de seguridad de una organización. Cuenta cómo se cumple cada uno de los 110 requisitos. La clave de un SSP de calidad es la especificidad. Crear un SSP de alta calidad es un esfuerzo colaborativo entre los equipos de TI, seguridad y gestión, y puede tomar varios meses.

Los evaluadores suelen esperar múltiples formas de evidencia para cada control, como prueba de implementación (por ejemplo, capturas de pantalla de configuraciones o ajustes del sistema), procesos documentados (como políticas o procedimientos) y evidencia de eficacia (como registros o alertas). El tipo y la cantidad exactos de evidencia pueden variar, pero el objetivo es demostrar que los controles no solo se implementan en un momento dado, sino que se siguen y se aplican de manera constante a lo largo del tiempo. Para programas de seguridad menos maduros, este requisito puede ser un obstáculo frecuente.

Incluso los proyectos de cumplimiento bien financiados suelen enfrentar "desviación de configuración" del cronograma a medida que se acumulan cuellos de botella técnicos y administrativos. Una causa común es descubrir tarde en el proceso brechas de registro, endpoints o identidad. Estas pueden incluir errores de alcance y filtraciones de datos, como pasar por alto el dispositivo móvil de un ingeniero al rastrear flujos de datos. A veces estas brechas provienen de TI en la sombra, cuando los empleados encuentran soluciones alternativas (aplicaciones no autorizadas, contraseñas compartidas) para las medidas de seguridad. Con frecuencia, el descubrimiento tardío se debe a una visibilidad limitada de la actividad de seguridad diaria (quién hizo qué y cuándo).

Los retrasos también pueden surgir cuando la documentación no coincide con el comportamiento real del sistema. Por ejemplo, una organización puede tener una política de complejidad de contraseñas, pero sus sistemas no aplican esas configuraciones. Muchos equipos también subestiman la profundidad técnica de los controles de CMMC. Una empresa puede asumir que tiene cubierto el "Control de acceso" porque todos tienen un inicio de sesión, sin darse cuenta de que el requisito se extiende a procesos de autorización documentados y controles de acceso aplicados que sean adecuados para el entorno, como el control de acceso basado en roles (RBAC).

Las organizaciones que buscan acelerar el proceso de cumplimiento deben enfocarse en trasladar la carga del cumplimiento del personal interno hacia socios especializados y plataformas automatizadas. 

Implementa herramientas automatizadas para el registro, el escaneo de vulnerabilidad y la detección de amenazas antes de iniciar los esfuerzos formales de preparación. La documentación se alineará entonces de forma mucho más natural con el comportamiento real del sistema. Además, para cuando ocurra la evaluación oficial, ya tendrás meses de registros detallados, lo que elimina de forma efectiva el período de espera de 90 días para la recopilación de evidencia. 

Al licenciar herramientas de seguridad, las organizaciones deben buscar proveedores de seguridad que ofrezcan documentación "lista para evaluadores" que vincule sus productos directamente con los controles de CMMC. Esto respalda la responsabilidad compartida al permitir que los contratistas aprovechen los controles de seguridad proporcionados por el proveedor, pero los contratistas aún deben documentar cómo estos controles heredados se integran en su propio entorno.

La plataforma de seguridad de Huntress está diseñada para abordar los requisitos técnicos más demandantes en tiempo del CMMC Nivel 2. Al consolidar múltiples servicios de seguridad administrados en una sola plataforma respaldada por un el centro de operaciones de seguridad (SOC) disponible las 24/7, Huntress ayuda a las organizaciones a cerrar la "brecha de madurez" mucho más rápido de lo que podrían lograr creando un equipo de seguridad interno. Huntress también ofrece documentación detallada y lista para auditores sobre cómo da soporte a los requisitos del CMMC.