CUI
Controlled Unclassified Information, como planos técnicos o especificaciones marcados por el gobierno. El lugar donde se almacena, procesa o transmite la CUI define el alcance de su evaluación.
Para contratistas y proveedores de defensa
CMMC en su TIListos cuando el contrato lo exija
Desde el 10 de noviembre de 2025, el Departamento de Defensa (DoD) puede exigir un estatus CMMC como condición para adjudicar un contrato. Los proveedores que manejan Federal Contract Information (FCI) o Controlled Unclassified Information (CUI) deben demostrar que su TI cumple los controles exigidos. Le ayudamos a prepararse e implementamos los requisitos técnicos, para que su evaluación no fracase por lo básico.
Situación actual de CMMC
El programa Cybersecurity Maturity Model Certification está establecido en 32 CFR Part 170, que entró en vigor el 16 de diciembre de 2024. La norma contractual del DFARS entró en vigor el 10 de noviembre de 2025. Desde entonces, los requisitos de CMMC pueden aparecer en licitaciones y contratos.
La fase 1 está vigente: los contratos exigen principalmente una autoevaluación de nivel 1 o nivel 2, una puntuación en SPRS y una afirmación anual, además de las obligaciones existentes de DFARS 252.204-7012. La fase 2, que a partir del 10 de noviembre de 2026 habría exigido para muchos contratos evaluaciones de nivel 2 por una organización de evaluación externa autorizada (C3PAO), fue suspendida por el Departamento el 13 de julio de 2026 mientras revisa el programa. El oficial de contratación fija el nivel exigido para cada contrato, así que revise cada licitación.
Los tres niveles de CMMC
| Nivel 1 | Federal Contract Information. 15 requisitos básicos de FAR 52.204-21, autoevaluación y afirmación anuales. |
| Nivel 2 | Controlled Unclassified Information. 110 requisitos de NIST SP 800-171 Rev. 2, autoevaluación o evaluación por un C3PAO cada tres años, además de la afirmación anual. |
| Nivel 3 | CUI en programas de alta prioridad. Nivel 2 evaluado por un C3PAO más 24 requisitos de NIST SP 800-172, evaluados por el gobierno (DCMA DIBCAC). |
El nivel aplicable se indica en la licitación. Los contratistas principales trasladan el requisito a los subcontratistas que manejan el mismo tipo de información.
Términos que escuchará
Puntuación SPRS
La puntuación de su autoevaluación de NIST SP 800-171 en el Supplier Performance Risk System. Va de menos 203 a 110, y cada requisito no cumplido la reduce en 1, 3 o 5 puntos.
POA&M
Un plan de acción e hitos (plan of action and milestones) para los requisitos pendientes. El nivel 1 no lo permite. En el nivel 2 necesita al menos 88 de 110 puntos para un estatus condicional, solo ciertos requisitos pueden quedar pendientes y todo debe cerrarse en un plazo de 180 días.
System Security Plan
El SSP describe su entorno, sus límites y cómo se cumple cada requisito. Sin un SSP actualizado, ninguna evaluación puede tener éxito.
Proveedores de servicios externos
Si un proveedor de TI administra sistemas que manejan CUI, sus servicios forman parte del alcance de su evaluación. Documentamos nuestras responsabilidades en una matriz de responsabilidad compartida.
Afirmación anual
Un alto directivo de su empresa confirma cada año en SPRS que los requisitos se siguen cumpliendo. Eso convierte a CMMC en una responsabilidad de la dirección, no solo de TI.
Dónde suelen fallar las evaluaciones de nivel 2
Estos puntos técnicos son los que más puntos cuestan y se encuentran entre los que normalmente no pueden quedar pendientes en un POA&M:
- Autenticación multifactor para todo acceso a la red y para las cuentas privilegiadas
- Cifrado validado según FIPS para la CUI en reposo y en tránsito
- Un límite claro alrededor de los sistemas que manejan CUI, documentado en el SSP
- Registros de auditoría con revisión y protección de los registros
- Retiro de los accesos cuando las personas se van o cambian de puesto
- Protección contra malware y aplicación de parches según un calendario fijo
- Acceso remoto controlado y cuentas de administrador separadas
- Una capacidad de respuesta a incidentes que se haya probado
Cómo trabajamos con usted
- 01
Definición del alcance
Determinamos juntos dónde se encuentran la FCI y la CUI y qué sistemas están incluidos en el alcance. Un enclave más pequeño y bien delimitado suele reducir considerablemente el costo y el esfuerzo.
- 02
Análisis de brechas
Comparamos su entorno con los 110 requisitos de NIST SP 800-171 y calculamos una puntuación SPRS realista. La evaluación de seguridad comienza en $7,900 y se acredita al proyecto posterior.
- 03
Implementación
Implementamos los requisitos técnicos, como MFA, cifrado, registros y administración de dispositivos, y redactamos las partes técnicas de su SSP.
- 04
Evidencia y operación
Mantenemos actualizados los sistemas y la evidencia para su autoevaluación o su evaluación por un C3PAO y para la afirmación anual.
Nuestro papel
FNLY IT no es un C3PAO ni una Registered Practitioner Organization. No realizamos evaluaciones CMMC ni otorgamos un estatus CMMC. Le ayudamos a prepararse e implementamos los requisitos técnicos. La evaluación la realiza usted, un C3PAO o el gobierno, según su nivel.
Experiencia con fabricantes y proveedores
Proveedor industrial, internacional · 2,000 usuarios, Alemania
Implementación de una solución de gestión de identidad y acceso, depuración de las carpetas compartidas y restablecimiento de contraseñas en autoservicio para los empleados.
Resultado: Los tickets por contraseñas bajaron de casi 300 a 10 por semana, lo que liberó a la mesa de ayuda para otras solicitudes.
Actualizado:
FAQ
Preguntas frecuentes
¿Cuándo se aplica CMMC a mis contratos?
La norma del DFARS entró en vigor el 10 de noviembre de 2025 y se aplica la fase 1: autoevaluaciones, puntuaciones SPRS y afirmaciones anuales. El 13 de julio de 2026, el Departamento suspendió la fase 2, es decir, el inicio previsto de las evaluaciones obligatorias por un C3PAO el 10 de noviembre de 2026, mientras revisa el programa. Los requisitos de NIST SP 800-171 conforme a DFARS 252.204-7012 siguen vigentes, y la licitación indica el nivel que necesita.
¿Qué nivel de CMMC necesito?
Si solo maneja Federal Contract Information, normalmente se aplica el nivel 1. Si maneja Controlled Unclassified Information, necesita el nivel 2, ya sea como autoevaluación o como evaluación por un C3PAO. El nivel 3 solo se aplica a determinados programas de alta prioridad. Su contrato o su contratista principal le indica qué nivel se exige.
¿Qué es una puntuación SPRS?
Es el resultado de su autoevaluación frente a los 110 requisitos de NIST SP 800-171, registrado en el Supplier Performance Risk System. El máximo es 110. Cada requisito no cumplido resta 1, 3 o 5 puntos, por lo que la puntuación puede bajar hasta menos 203.
¿Puedo aprobar CMMC con puntos pendientes?
En el nivel 1, no. En el nivel 2 puede obtener un estatus condicional si alcanza al menos 88 de 110 puntos y los puntos pendientes están permitidos en un plan de acción e hitos. Todos los puntos pendientes deben cerrarse en un plazo de 180 días, y una evaluación de cierre lo confirma.
¿FNLY IT es un C3PAO o una RPO?
No. No somos un C3PAO ni una Registered Practitioner Organization, y no realizamos evaluaciones. Le ayudamos a prepararse, implementamos los requisitos técnicos y mantenemos lista la evidencia para su evaluación.
¿Mi proveedor de TI cuenta para mi evaluación?
Si el proveedor administra sistemas que almacenan, procesan o transmiten CUI, o que los protegen, sus servicios forman parte del alcance de su evaluación. Por eso documentamos en una matriz de responsabilidad compartida qué requisitos cubrimos nosotros y cuáles quedan a su cargo.
¿Cuánto tiempo toma prepararse para CMMC?
Depende de su punto de partida y del alcance. Muchos proveedores pequeños necesitan varios meses para cerrar las brechas frente a NIST SP 800-171. Las evaluaciones externas están en pausa por ahora, pero los requisitos de fondo y su puntuación de autoevaluación ya cuentan, así que conviene empezar antes de que un contrato lo exija.
CMMC
Revisemos su preparación para CMMC
Díganos qué contratos tiene o para cuáles licita y dónde se maneja hoy la CUI. Le explicaremos cómo es su camino hacia el nivel exigido.