Introducción
CMMC ha dejado de ser una propuesta normativa para convertirse en un requisito contractual exigible. Formalizada en el Defense Federal Acquisition Regulation Supplement en noviembre de 2025, la Cybersecurity Maturity Model Certification tiene ahora una fecha fija para su siguiente fase: a partir del 10 de noviembre de 2026, el Departamento de Defensa puede condicionar la adjudicación de contratos a la certificación CMMC de nivel 2 por terceros para cualquier trabajo que implique información no clasificada controlada (Controlled Unclassified Information, CUI), y a la evaluación de nivel 3 para los contratos de mayor sensibilidad. No es una cuestión exclusiva de EE. UU. Cualquier organización de la cadena de suministro de defensa - incluidos los subcontratistas europeos, los proveedores de tecnología y los proveedores de servicios que dan soporte a programas de defensa de EE. UU. - queda sujeta al requisito si la CUI pasa por sus sistemas.
Los tres niveles, en resumen
- Nivel 1: protección básica de la información de contratos federales (Federal Contract Information), verificada mediante autoevaluación anual
- Nivel 2: alineación total con los 110 controles de NIST SP 800-171, que por lo general exige, a partir de la fase 2, una evaluación por terceros a cargo de una Certified Third-Party Assessment Organization (C3PAO), con autoevaluación permitida para un subconjunto de contratos cada tres años, más afirmaciones anuales
- Nivel 3: el nivel más alto, evaluado por el Defense Industrial Base Cybersecurity Assessment Center (DIBCAC), reservado a los programas más sensibles
Por qué importa fuera de Estados Unidos
CMMC se traslada a lo largo de la cadena de suministro mediante cláusulas contractuales, no por criterios geográficos. Un integrador de sistemas, proveedor de servicios en la nube o fabricante de componentes europeo que da soporte a un contratista principal estadounidense está sujeto al mismo requisito que un subcontratista con sede en EE. UU. si la información no clasificada controlada llega a su entorno. Para las empresas europeas que buscan negocio vinculado a la defensa de EE. UU. - un objetivo de crecimiento declarado de las organizaciones que se expanden al mercado estadounidense - la preparación para CMMC ya no es una cuestión lejana de política estadounidense. Es un requisito previo que determina si una oferta es siquiera elegible para optar a la adjudicación una vez que la fase 2 entre en vigor.
El problema de la evidencia en 110 controles
Los 110 controles de NIST SP 800-171 se desglosan en 320 objetivos de evaluación individuales, y el evaluador de una C3PAO espera que cada uno de ellos esté respaldado por evidencias, no por declaraciones. Las organizaciones que se preparan para el nivel 2 coinciden sistemáticamente en que documentar los registros de auditoría, los registros de acceso y el historial de configuración en 14 familias de controles es el mayor esfuerzo de toda la certificación - mayor que implementar los propios controles. Un control que existe pero no puede aportar un rastro de evidencias defendible para el periodo de evaluación no superará la evaluación.
Construir el rastro de evidencias antes de que llegue la fase 2
Las organizaciones que tratan las evidencias de CMMC como algo que se reúne en las semanas previas a una evaluación C3PAO programada subestiman sistemáticamente el esfuerzo. Los objetivos de evaluación que hacen referencia al historial de accesos, a los registros de cambios de configuración y a los registros de incidentes exigen un rastro continuo que abarque todo el periodo de evaluación - no una instantánea fabricada a posteriori. Empezar ese rastro ahora, antes del plazo de noviembre de 2026, marca la diferencia entre una evaluación que se apoya en evidencias existentes y otra que obliga a reconstruir meses de historial a partir de la memoria y de sistemas desconectados.
Para las organizaciones europeas que buscan contratos vinculados a la defensa de EE. UU., la preparación para CMMC es ya un requisito de acceso al mercado, no una consideración de futuro. Descubra cómo ROOTKey construye rastros de evidencias continuos y listos para auditoría para marcos de cumplimiento, incluido NIST SP 800-171.