Introdução
O CMMC deixou de ser uma proposta de política para se tornar um requisito contratual exigível. Formalizada no Defense Federal Acquisition Regulation Supplement em novembro de 2025, a Cybersecurity Maturity Model Certification tem agora uma data fixa associada à sua fase seguinte: a partir de 10 de novembro de 2026, o Departamento de Defesa pode condicionar a adjudicação de contratos à certificação CMMC de Nível 2 por terceiros em qualquer trabalho que envolva informação não classificada controlada (Controlled Unclassified Information, CUI), e à avaliação de Nível 3 nos contratos de maior sensibilidade. Esta não é uma questão exclusiva dos EUA. Qualquer organização da cadeia de abastecimento da defesa - incluindo subcontratados europeus, fornecedores de tecnologia e prestadores de serviços que apoiam programas de defesa dos EUA - fica abrangida pelo requisito se a CUI passar pelos seus sistemas.
Os três níveis, em resumo
- Nível 1: proteção básica da informação contratual federal (Federal Contract Information), verificada por autoavaliação anual
- Nível 2: alinhamento total com os 110 controlos da NIST SP 800-171, exigindo em geral, a partir da Fase 2, avaliação por terceiros realizada por uma Certified Third-Party Assessment Organization (C3PAO), com autoavaliação permitida para um subconjunto de contratos de três em três anos, acrescida de confirmações anuais
- Nível 3: o nível mais elevado, avaliado pelo Defense Industrial Base Cybersecurity Assessment Center (DIBCAC), reservado aos programas mais sensíveis
Porque é que isto importa fora dos Estados Unidos
O CMMC propaga-se pela cadeia de abastecimento através de cláusulas contratuais, não pela geografia. Um integrador de sistemas, prestador de serviços de computação em nuvem ou fabricante de componentes europeu que apoie um contratante principal dos EUA fica vinculado ao mesmo requisito que um subcontratado sediado nos EUA, se a informação não classificada controlada chegar ao seu ambiente. Para as empresas europeias que procuram negócio ligado à defesa dos EUA - um objetivo de crescimento declarado das organizações que se expandem para o mercado norte-americano - a preparação para o CMMC deixou de ser uma questão distante de política norte-americana. É um pré-requisito que determina se uma proposta é sequer elegível para ser considerada na adjudicação, a partir do momento em que a Fase 2 entrar em vigor.
O problema das evidências nos 110 controlos
Os 110 controlos da NIST SP 800-171 desdobram-se em 320 objetivos de avaliação individuais, e o avaliador de uma C3PAO espera ver cada um deles sustentado por evidências, não por declarações. As organizações que se preparam para o Nível 2 referem de forma consistente que documentar registos de auditoria, registos de acessos e histórico de configurações em 14 famílias de controlos é o maior esforço de toda a certificação - maior do que implementar os próprios controlos. Um controlo que existe, mas que não consegue produzir um rasto de evidências defensável para o período de avaliação, não passa.
Construir o rasto de evidências antes de a Fase 2 chegar
As organizações que tratam as evidências CMMC como algo a reunir nas semanas anteriores a uma avaliação C3PAO agendada subestimam, de forma consistente, o esforço necessário. Os objetivos de avaliação que se referem ao histórico de acessos, aos registos de alterações de configuração e aos registos de incidentes exigem um rasto contínuo que recue ao longo de todo o período de avaliação - não um retrato fabricado retroativamente. Iniciar esse rasto agora, antes do prazo de novembro de 2026, faz a diferença entre uma avaliação que assenta em evidências existentes e outra que obriga a reconstruir meses de histórico de memória e a partir de sistemas sem ligação entre si.
Para as organizações europeias que procuram contratos ligados à defesa dos EUA, a preparação para o CMMC é hoje um requisito de acesso ao mercado, não uma consideração futura. Veja como a ROOTKey constrói rastos de evidências contínuos e prontos para auditoria para referenciais de conformidade, incluindo a NIST SP 800-171.