Durante años, un punto débil en su sistema de criptografía se consideraba un hallazgo interno. Con el CMMC 2.0, esto puede suponer el fin de una licitación antes incluso de que se tenga en cuenta. El estado de la Certificación del Modelo de Madurez en Ciberseguridad (CMMC) es ahora un requisito para poder optar a la adjudicación, y el responsable de contratación puede exigir conocer su estado actual antes incluso de evaluar una propuesta.
Este cambio supone un duro golpe para los proveedores de servicios de « software » y SaaS. La información no clasificada controlada (CUI) no permanece en la infraestructura. Se mueve a través de las capas de aplicación, se almacena en tus bases de datos y circula por tus API. Esto hace que los controles criptográficos entren en el ámbito de la propia aplicación « software », y no solo en el de los servidores que la sustentan.
En este artículo se analizan los requisitos de CMMC 2.0, por qué la criptografía es el aspecto que más dificultades plantea a la mayoría de los proveedores y cómo afrontar una evaluación estando preparado para demostrarlo.
Situación a fecha de agosto de 2026: Los requisitos de autoevaluación de la Fase 1, la cláusula DFARS 252.204-7012, la puntuación SPRS y las declaraciones anuales siguen vigentes. La transición de la Fase 2 hacia la certificación obligatoria C3PAO, prevista para el 10 de noviembre de 2026, quedó suspendida el 13 de julio de 2026, junto con las fases posteriores, a la espera de una revisión por parte del Grupo de Trabajo para la Reforma del CMMC. La norma del programa 32 CFR Parte 170 y las cláusulas del DFARS no fueron derogadas.
Qué es el CMMC 2.0 y por qué ha cambiado las reglas
CMMC 2.0 es el programa de verificación por niveles del Departamento de Defensa basado en la norma NIST SP 800-171, revisión 2. La revisión 3 se publicó en 2024, pero la normativa del programa incorpora la revisión 2 por referencia, por lo que es esta última la que se evalúa. Convierte los requisitos de seguridad, que antes eran una cuestión de autodeclaración, en una condición verificada para poder operar. Una implementación verificada es ahora un requisito previo para la adjudicación del contrato, no una promesa que se hace sobre el papel.
La norma tiene fuerza ejecutiva y un calendario. La norma definitiva del DFARS (cláusula 252.204-7021) entró en vigor el 10 de noviembre de 2025, dando inicio a la Fase 1 de un proceso de implantación de cuatro fases y tres años de duración que debía concluir con la plena aplicación en noviembre de 2028. Ese calendario se encuentra ahora en suspenso más allá de la Fase 1. El enfoque por fases tiene por objeto dar tiempo a la base industrial de defensa para obtener la certificación, pero la dirección a seguir está fijada.
Hay tres niveles que definen lo que debes demostrar:
- Nivel 1: Protege la información sobre contratos federales (FCI) mediante una autoevaluación basada en 15 prácticas.
- Nivel 2: Protege la CUI frente a los 110 controles del NIST SP 800-171. Existen dos vías: la autoevaluación, Nivel 2 (Self), y la certificación C3PAO, Nivel 2 (C3PAO); ambas con un ciclo de tres años y una confirmación anual. La certificación iba a convertirse en la opción por defecto en la Fase 2; al haberse suspendido la Fase 2, la autoevaluación es la vía vigente por el momento».
- Nivel 3: Añade 24 requisitos mejorados extraídos de la norma NIST SP 800-172.
La magnitud es considerable. El Departamento de Defensa estima que más de 80.000 contratistas y subcontratistas necesitarán una certificación de nivel 2 o nivel 3. Si vendes un software e a la cadena de suministro de defensa, es muy probable que esto te afecte.
Por qué la criptografía es la parte más difícil del apartado 3.13
La familia «Protección de sistemas y comunicaciones» (§3.13) es, sistemáticamente, una de las más difíciles de superar para los proveedores de « software ». El motivo es una distinción que puede parecer una mera cuestión semántica, pero que determina el resultado.
Los evaluadores distinguen entre un algoritmo que simplemente cumple con la norma FIPS y un módulo criptográfico que ha sido validado formalmente según la norma FIPS en el marco del Programa de Validación de Módulos Criptográficos (CMVP). «Conforme» significa que se ha utilizado un algoritmo aprobado. «Validado» significa que un laboratorio acreditado ha sometido a prueba ese módulo concreto y que el CMVP ha expedido un certificado para el mismo.
Aquí está el problema. Un proveedor que haya desarrollado su propio sistema de cifrado utilizando algoritmos aprobados, sin validar el propio módulo, no supera el control. La solidez de la implementación no le salva. «Utilizamos AES-256» no es prueba de cumplimiento. El número de certificado es el punto de partida de la respuesta. Deben cumplirse cuatro requisitos: el certificado debe estar activo, no «histórico» (véase más adelante en el artículo); la versión validada debe coincidir con la versión que se ha implementado; la plataforma debe encontrarse dentro del entorno operativo probado que figura en el certificado; y el módulo debe estar ejecutándose realmente en su modo homologado por FIPS. El hecho de que el producto sea compatible con FIPS pero se suministre con la configuración predeterminada es la forma más habitual en que un proveedor con un certificado válido sigue sin superar la comprobación.
Cómo se corresponden los controles criptográficos con el CMMC 2.0
Esta es la sección de referencia principal. Los controles que figuran a continuación son aquellos en los que los « software » y los proveedores de servicios en la nube suelen detectar deficiencias con mayor frecuencia, por lo que debes tratar cada uno de ellos como una partida para la que necesitas aportar pruebas.
Criptografía validada según FIPS (§3.13.11)
Emitir y gestionar certificados respaldados por módulos criptográficos validados según FIPS 140-2 o 140-3 siempre que se proteja la confidencialidad de la información clasificada (CUI). La validación se refiere a una versión específica del módulo que se ejecuta en su modo aprobado, no al algoritmo. Por lo tanto, la simple indicación de que «es compatible con AES-256» no prueba nada por sí sola. En cambio, el número de certificado CMVP sí lo hace.
Establecimiento y gestión de claves criptográficas (§3.13.10)
Documenta cómo se generan, distribuyen, almacenan y destruyen las claves en todo tu ámbito de información controlada (CUI). Esto incluye las claves de la capa de aplicación que se encuentran dentro de tu entorno de datos de confianza ( software), y no solo las claves que gestiona tu equipo de infraestructura.
Confidencialidad durante la transmisión y en reposo (§3.13.8, §3.13.16)
Protege la información confidencial (CUI) en tránsito mediante el cifrado « TLS », respaldado por certificados. Protege la información confidencial (CUI) en reposo con claves emitidas por la infraestructura de clave pública (PKI) allá donde tu « software » la almacene, incluidas bases de datos, cachés y almacenamiento de objetos.
Autenticación de dispositivos y usuarios (apartados 3.5.1 a 3.5.4)
Sustituya las contraseñas compartidas por una autenticación basada en certificados para acceder a las aplicaciones y servicios que gestionan información controlada (CUI). Utilice una autenticación resistente a la repetición para el acceso a la red, tanto para cuentas con privilegios como para cuentas sin privilegios.
Confidencialidad de las sesiones de acceso remoto (§3.1.13)
Utiliza mecanismos criptográficos para proteger la confidencialidad de las sesiones de acceso remoto. La postura del NIST respecto a este requisito apunta directamente a la criptografía validada por FIPS o aprobada por la NSA, lo que significa que el apartado 3.13.11 va en la misma línea. En la práctica, se trata de una VPN con autenticación mutua y respaldada por certificados, o una solución equivalente, para el acceso administrativo a tu sitio web software, alojado en la nube. Inventario de activos criptográficos como prueba de la evaluación.
Mantén un inventario de los algoritmos y bibliotecas criptográficas integrados en tu sistema de gestión de aplicaciones ( software). Dicho inventario sirve de base para tu Plan de Seguridad del Sistema (SSP) y tu Plan de Acción y Hitos (POA&M), que se presentan como documentación para la revisión de la C3PAO.
Prepararse para la evaluación: qué es lo que realmente va a examinar un C3PAO
Una evaluación de Nivel 2 es un ejercicio basado en pruebas. Las preguntas que figuran a continuación reflejan lo que analiza un evaluador y están estructuradas de manera que la respuesta aparece en primer lugar, para que puedas puntuar tu propio trabajo rápidamente.
- Pruebas de validación según FIPS: ¿Puede demostrar que los módulos que protegen la información clasificada de uso restringido (CUI), incluidos los que se encuentran en su propio software, han sido validados formalmente?
- Documentación clave sobre la gestión de claves: ¿Se han documentado y se siguen los procedimientos de generación, distribución, almacenamiento y destrucción de acuerdo con el apartado §3.13.10?
- Cifrado de la información clasificada (CUI) en los límites: ¿Se cifra la información clasificada (CUI) tanto en reposo como en tránsito a través de todos los límites, incluidos los almacenes de datos y los entornos en la nube de software?
- Pruebas de autenticación de dispositivos y usuarios: ¿Se utilizan credenciales únicas basadas en certificados en lugar de contraseñas compartidas para los sistemas que procesan información controlada (CUI)?
- Precisión del SSP y del POA&M: ¿Refleja el SSP los controles implementados, con las deficiencias registradas en un Plan de Acción y Hitos actualizado?
- Paquete de pruebas preparado para la evaluación: ¿Son tus pruebas lo suficientemente actuales como para superar una evaluación completa de nivel 2 en los 110 controles?
Si alguna de las respuestas es «todavía no», esa carencia debe figurar hoy mismo en tu POA&M, no en la sala durante la evaluación.
La expiración de la norma FIPS 140-2 que todos los proveedores deberían tener en cuenta
Hay una fecha límite que merece su atención ahora mismo. El 21 de septiembre de 2026, los certificados FIPS 140-2 que sigan activos pasarán a formar parte de la Lista Histórica del CMVP, un estado que las agencias federales no deberían incluir en sus nuevas contrataciones. El CMVP dejó de aceptar nuevas solicitudes de certificación FIPS 140-2 en 2022, por lo que esta transición lleva años gestándose.
El impacto práctico radica en los plazos. La validación de un módulo FIPS 140-3 de sustitución lleva entre 18 y 30 meses. Un proveedor que no cuente con un certificado vigente corre el riesgo de quedar excluido de los nuevos contratos federales mientras se lleva a cabo la validación. No es posible iniciar este proceso el trimestre anterior a una evaluación.
Relaciona esto directamente con el grado de preparación para el CMMC. Identifica qué módulos implementados se encuentran en la versión 140-2 y cuáles en la 140-3, y luego elabora ya un plan de migración.
Cómo Keyfactor ayudarte Keyfactor
Keyfactor se corresponde directamente con los controles criptográficos del CMMC mencionados anteriormente, por lo que podrás presentar pruebas en lugar de tener que buscarlas a toda prisa.
- Inventario de activos criptográficos (AgileSec): Descubre y realiza un inventario de los algoritmos y bibliotecas integrados en tu software para obtener pruebas de SSP y POA&M.
- PKI validada según FIPS (EJBCA): Emisión de certificados y gestión de claves a través de autoridades de certificación y HSM respaldados por módulos validados según FIPS 140-3, de conformidad con el apartado §3.13.11.
- Artefactos de compilación y lanzamiento firmados (SignServer y Signum): Firmar imágenes de contenedores, artefactos de compilación y parches implementados dentro del perímetro de autorización.
- Bouncy Castle: Un módulo criptográfico validado según la norma FIPS 140-3 para la criptografía en la capa de aplicación.
- Gestión del ciclo de vida de las claves (Keyfactor Command): Centralizar la generación, distribución y destrucción documentadas de claves vinculadas a un módulo validado, de conformidad con el apartado §3.13.10.
La conclusión para los directivos es sencilla. La consolidación de certificados, claves y operaciones de firma en un único sistema de registro permite presentar la documentación de la CMMC con mayor rapidez y de forma coherente ante el evaluador.
Por dónde empezar
Empieza por la visibilidad y, a continuación, pasa al control. Los primeros pasos prácticos son los mismos que facilitan todas las evaluaciones posteriores:
- Consigue una visión general de los activos criptográficos presentes en tu código fuente y en los productos lanzados al mercado.
- Evalúa dichos activos con arreglo a la norma NIST SP 800-171, revisión 2, y a los requisitos de la norma FIPS.
- Automatiza los ciclos de vida de los certificados y las claves para que la documentación se mantenga actualizada de forma automática.
- Planifica la preparación para la era poscuántica mientras ya estás modernizando tu criptografía.
El CMMC no es un obstáculo puntual. Premia a los proveedores que tratan la criptografía como una infraestructura gestionada y sanciona a aquellos que la consideran un aspecto secundario. Solicitar una demo
¿Tienes dudas sobre el CMMC 2.0? Tenemos las respuestas.
¿Es realmente necesaria la certificación CMMC 2.0 para conseguir contratos del Departamento de Defensa (DoD)?
Según la norma definitiva del DFARS que entró en vigor el 10 de noviembre de 2025, la certificación CMMC es un requisito para poder optar a la adjudicación de un contrato. Un responsable de contratación puede exigir que se presente el estado actual de la certificación antes de considerar una oferta. Sin embargo, dado que la Fase 2 se encuentra actualmente suspendida, la certificación por parte de terceros está paralizada a la espera de una revisión.
¿Cuál es la diferencia entre «conforme a FIPS» y «validado según FIPS»?
«Conforme a FIPS» significa que se ha utilizado un algoritmo aprobado. «Validado según FIPS» significa que un laboratorio acreditado ha sometido a prueba un módulo criptográfico específico y que el CMVP ha expedido un certificado. Los evaluadores del CMMC exigen la validación, no solo el cumplimiento.
¿Qué nivel del CMMC se aplica a los proveedores de servicios de « software » y de la nube que gestionan información clasificada (CUI)?
Los proveedores que gestionan información clasificada (CUI) suelen necesitar el Nivel 2, que exige el cumplimiento de los 110 controles del NIST SP 800-171 y que, por lo general, es verificado por una C3PAO cada tres años. El Nivel 1 abarca únicamente la información de contratos federales.
¿Por qué es tan difícil superar la prueba de criptografía (§3.13)?
La familia «Protección de sistemas y comunicaciones» exige módulos validados formalmente, no sistemas de cifrado propios basados en algoritmos aprobados. Un proveedor que haya validado el algoritmo pero no el módulo no superará el control, independientemente de la solidez de la implementación.
¿Qué ocurrirá el 21 de septiembre de 2026?
Los certificados FIPS 140-2 que sigan activos pasarán a formar parte de la Lista Histórica del CMVP. Dado que la validación de un módulo FIPS 140-3 sustitutivo lleva entre 18 y 30 meses, los proveedores deben identificar los módulos afectados y planificar la migración desde ya.
¿Se aplica el CMMC a las claves de mi aplicación, y no solo a las de mi infraestructura?
Sí. La CUI circula por las capas de aplicación, por lo que el apartado §3.13.10 abarca la generación, distribución, almacenamiento y destrucción de las claves de la capa de aplicación dentro de la propia « software », y no solo las claves de infraestructura.
¿Qué pruebas solicitará una C3PAO?
Es de esperar que se soliciten certificados de validación FIPS, procedimientos documentados de gestión de claves, pruebas del cifrado en reposo y en tránsito, registros de autenticación basados en certificados y un SSP actualizado con un POA&M correspondiente.
¿Cómo puede ayudar Keyfactor a prepararse para el CMMC?
Keyfactor ofrece una infraestructura de clave pública (PKI) validada según la norma FIPS 140-3, gestión centralizada del ciclo de vida de las claves, inventario de activos criptográficos y firma de artefactos de compilación. En conjunto, te permiten generar pruebas de evaluación desde un único sistema de registro.
