El Nivel 1 de CMMC se aplica a los contratistas que manejan únicamente información de contratos federales (FCI). Esto incluye información proporcionada por el gobierno o generada para este bajo contrato, que no está destinada a divulgación pública pero no llega al nivel de CUI. Algunos ejemplos son los detalles de logística y gestión de proyectos, listas de personal y registros financieros. Los contratistas de Nivel 1 deben practicar una higiene cibernética básica cumpliendo con los 17 controles de seguridad de la FAR 52.204-21. Estos incluyen la protección contra código malicioso (antivirus), la limitación del acceso al sistema, la aplicación de actualizaciones de seguridad y garantizar que los empleados comprendan los riesgos básicos de ciberseguridad.

Para mantener el cumplimiento del Nivel 1, los contratistas deben autoevaluarse y demostrar anualmente que cumplen con los controles. 

La mayoría de los contratistas del DoD se ubican en el Nivel 2 de CMMC. Este nivel es para proveedores que manejan información no clasificada controlada (CUI), como planos técnicos, especificaciones de ingeniería y detalles de programas que son sensibles pero no clasificados. Aunque la CUI no llega al nivel de secretos de estado, igual podría dañar la seguridad nacional si se filtra. Con adversarios patrocinados por estados que cada vez más atacan a proveedores externos, los controles del Nivel 2 son mucho más estrictos que los del Nivel 1.

Los contratistas de este nivel deben implementar los 110 controles de NIST SP 800-171 Rev. 2. Estos incluyen autenticación multifactor (MFA), cifrado de la CUI en reposo y en tránsito (cuando corresponda), registro de auditoría continuo, planes de respuesta a incidentes, gestión segura de configuraciones, entre otros. 

La mayoría de los contratos de Nivel 2 requieren una evaluación formal por un tercero (C3PAO) de estos controles cada tres años, además de una certificación anual de cumplimiento. Lee nuestra guía sobre el proceso de certificación CMMC.

El nivel 3 aplica a un pequeño subconjunto de contratistas que manejan programas críticos. Este nivel gestiona datos técnicos altamente sensibles que podrían dar a los adversarios una ventaja estratégica. Por ejemplo, un contratista principal que diseña un nuevo recubrimiento furtivo para bombarderos de largo alcance sería un objetivo de alto valor para las amenazas persistentes avanzadas (APT) como hackers patrocinados por estados. 

El nivel 3 se construye sobre el nivel 2 y agrega un subconjunto de controles mejorados derivados de NIST SP 800‑172, enfocados en la resiliencia ante amenazas avanzadas. Estos incluyen monitoreo continuo del sistema, caza de amenazas proactiva, respuesta a incidentes fortalecida, gestión de riesgos en la cadena de suministro y protecciones ampliadas de identidad de usuario. 

Los contratistas que buscan la certificación de nivel 3 deben someterse a auditorías lideradas por el gobierno (a cargo del DIBCAC de la DCMA) cada tres años y también afirmar anualmente el cumplimiento de los 24 nuevos controles. 

Para profundizar en los requisitos de seguridad específicos, lee Controles de CMMC explicados.

Se espera que para noviembre de 2028, CMMC esté completamente integrado en la contratación del DoD. Dado que toma entre 12 y 18 meses alcanzar los estándares de CMMC partiendo de baja madurez, comenzar ahora es crucial para seguir siendo elegible para contratos del DoD. Los proveedores que obtienen la certificación anticipadamente también logran una ventaja competitiva al momento de licitar. Más de un millón de contratos imponen requisitos de NIST 800-171 cada año, y la carrera por certificarse sin duda generará un cuello de botella en las evaluaciones antes de 2028.

Entender los requisitos de nivel de CMMC en relación con tu entorno de seguridad y flujos de datos también es crucial para el éxito de la auditoría y para mantener los costos de cumplimiento bajo control. Muchos contratistas manejan datos tanto de nivel 1 como de nivel 2, y es esencial mantener estos dos tipos aislados entre sí. Encontrar datos de nivel 2 en un dispositivo de nivel 1 es una violación grave que puede impedir la certificación hasta que el problema se resuelva por completo y el entorno se vuelva a delimitar correctamente.

Por otro lado, tratar todos los datos con controles de nivel 2 es ineficiente y costoso. Al desarrollar un plan de seguridad del sistema (SSP) que clasifique correctamente los activos y defina los límites de seguridad, una organización puede detectar brechas de seguridad a tiempo, reducir el riesgo de remediación y simplificar la certificación de CMMC.

Huntress se alinea directamente con los requisitos de CMMC. Nuestro Managed EDR respalda los requisitos de endpoints (por ejemplo, escaneo automatizado de malware, verificación de parches, recopilación de registros), mientras que Managed SIEM e ITDR ofrecen análisis de registros centralizado y monitoreo de identidad de usuario las 24/7.

¿Te estás preparando para una evaluación de nivel 2? Huntress cumple con 55 de los 110 controles requeridos y proporciona documentación lista para los evaluadores que lo respalda. Descubre cómo Huntress respalda tu evaluación de CMMC nivel 2.