CMMC 2.0 y NIST SP 800-171: ¿Qué significa realmente la criptografía para los « Software » y los proveedores de servicios en la nube de la cadena de suministro de defensa?

Durante años, la detección interna de un punto débil en su sistema de criptografía era un hecho interno. Con el CMMC 2.0, esto puede suponer el fin de una licitación antes incluso de que se tenga en cuenta. El estado de la Certificación del Modelo de Madurez en Ciberseguridad (CMMC) es ahora un requisito para poder optar a la adjudicación, y un responsable de contratación puede exigir que se le facilite su estado actual antes incluso de evaluar una propuesta.

Este cambio supone un duro golpe para los proveedores de servicios de « software » y SaaS. La información no clasificada controlada (CUI) no permanece en la infraestructura. Se mueve a través de las capas de aplicación, se almacena en tus bases de datos y circula por tus API. Esto hace que los controles criptográficos entren en el ámbito de la propia aplicación « software », y no solo en el de los servidores que la sustentan.

En este artículo se analizan los requisitos de CMMC 2.0, por qué la criptografía es el aspecto que más dificultades plantea a la mayoría de los proveedores y cómo afrontar una evaluación estando preparado para demostrarlo.

Situación a fecha de agosto de 2026: Los requisitos de autoevaluación de la Fase 1, la cláusula DFARS 252.204-7012, la puntuación SPRS y las declaraciones anuales siguen vigentes. La transición de la Fase 2 hacia la certificación obligatoria C3PAO, prevista para el 10 de noviembre de 2026, quedó suspendida el 13 de julio de 2026, junto con las fases posteriores, a la espera de una revisión por parte del Grupo de Trabajo para la Reforma del CMMC. La norma del programa 32 CFR Parte 170 y las cláusulas del DFARS no fueron derogadas.

Qué es el CMMC 2.0 y por qué ha cambiado las reglas

CMMC 2.0 es el programa de verificación por niveles del Departamento de Defensa, basado en la norma NIST SP 800-171, revisión 2. La revisión 3 se publicó en 2024, pero la normativa del programa incorpora la revisión 2 por referencia, por lo que es esta última la que se evalúa. Convierte los requisitos de seguridad, que antes eran objeto de una autodeclaración, en una condición verificada para poder operar. Una implementación verificada es ahora un requisito previo para la adjudicación del contrato, no una promesa que se hace sobre el papel.

La norma tiene fuerza ejecutiva y un calendario. La norma definitiva del DFARS (cláusula 252.204-7021) entró en vigor el 10 de noviembre de 2025, dando inicio a la Fase 1 de un proceso de implantación de cuatro fases y tres años de duración que debía concluir con la plena aplicación en noviembre de 2028. Ese calendario se encuentra ahora en suspenso más allá de la Fase 1. El enfoque por fases tiene por objeto dar tiempo a la base industrial de defensa para obtener la certificación, pero la dirección a seguir está fijada.

Hay tres niveles que definen lo que debes demostrar:

• Nivel 1: Protege la información sobre contratos federales (FCI) mediante una autoevaluación basada en 15 prácticas.
• Nivel 2: Protege la CUI frente a los 110 controles del NIST SP 800-171. Existen dos vías: la autoevaluación, Nivel 2 (Self), y la certificación C3PAO, Nivel 2 (C3PAO); ambas con un ciclo de tres años y una confirmación anual. La certificación iba a convertirse en la opción por defecto en la Fase 2; al haberse suspendido la Fase 2, la autoevaluación es la vía vigente por el momento».
• Nivel 3: Añade 24 requisitos mejorados extraídos de la norma NIST SP 800-172.

La magnitud es considerable. El Departamento de Defensa estima que más de 80.000 contratistas y subcontratistas necesitarán una certificación de nivel 2 o nivel 3. Si vendes un software e a la cadena de suministro de defensa, es muy probable que esto te afecte.

Por qué la criptografía es la parte más difícil del apartado 3.13

La familia «Protección de sistemas y comunicaciones» (§3.13) es, sistemáticamente, una de las más difíciles de superar para los proveedores de « software ». El motivo es una distinción que puede parecer una mera cuestión semántica, pero que determina el resultado.

Los evaluadores distinguen entre un algoritmo que simplemente cumple con la norma FIPS y un módulo criptográfico que ha sido validado formalmente según la norma FIPS en el marco del Programa de Validación de Módulos Criptográficos (CMVP). «Conforme» significa que se ha utilizado un algoritmo aprobado. «Validado» significa que un laboratorio acreditado ha sometido a prueba ese módulo concreto y que el CMVP ha expedido un certificado para el mismo.

Aquí está el problema. Un proveedor que haya desarrollado su propio sistema de cifrado utilizando algoritmos aprobados, sin validar el propio módulo, no supera el control. La solidez de la implementación no le salva. «Utilizamos AES-256» no es prueba de cumplimiento. El número de certificado es el punto de partida de la respuesta. Deben cumplirse cuatro requisitos: el certificado debe estar activo, no «histórico» (véase más adelante en el artículo); la versión validada debe coincidir con la versión que se ha implementado; la plataforma debe encontrarse dentro del entorno operativo probado que figura en el certificado; y el módulo debe estar ejecutándose realmente en su modo homologado por FIPS. El hecho de que el producto sea compatible con FIPS pero se suministre con la configuración predeterminada es la forma más habitual en que un proveedor con un certificado válido sigue sin superar la comprobación.

Cómo se corresponden los controles criptográficos con el CMMC 2.0

Esta es la sección de referencia principal. Los controles que figuran a continuación son aquellos en los que los « software » y los proveedores de servicios en la nube suelen detectar deficiencias con mayor frecuencia, por lo que debes tratar cada uno de ellos como una partida para la que necesitas aportar pruebas.

Criptografía validada según FIPS (§3.13.11)

Emitir y gestionar certificados respaldados por módulos criptográficos validados según FIPS 140-2 o 140-3 siempre que se proteja la confidencialidad de la información clasificada (CUI). La validación se refiere a una versión específica del módulo que se ejecuta en su modo aprobado, no al algoritmo. Por lo tanto, la simple indicación de que «es compatible con AES-256» no prueba nada por sí sola. En cambio, el número de certificado CMVP sí lo hace.

Establecimiento y gestión de claves criptográficas (§3.13.10)

Documenta cómo se generan, distribuyen, almacenan y destruyen las claves en todo tu ámbito de información controlada (CUI). Esto incluye las claves de la capa de aplicación que se encuentran dentro de tu entorno de datos de confianza ( software), y no solo las claves que gestiona tu equipo de infraestructura.

Confidencialidad durante la transmisión y en reposo (§3.13.8, §3.13.16)

Protege la información confidencial (CUI) en tránsito mediante el cifrado « TLS », respaldado por certificados. Protege la información confidencial (CUI) en reposo con claves emitidas por la infraestructura de clave pública (PKI) allá donde tu « software » la almacene, incluidas bases de datos, cachés y almacenamiento de objetos.

Autenticación de dispositivos y usuarios (apartados 3.5.1 a 3.5.4)

Sustituya las contraseñas compartidas por una autenticación basada en certificados para acceder a las aplicaciones y servicios que gestionan información controlada (CUI). Utilice una autenticación resistente a la repetición para el acceso a la red, tanto para cuentas con privilegios como para cuentas sin privilegios.

Confidencialidad de las sesiones de acceso remoto (§3.1.13)

Utiliza mecanismos criptográficos para proteger la confidencialidad de las sesiones de acceso remoto. La postura del NIST respecto a este requisito apunta directamente a la criptografía validada por FIPS o aprobada por la NSA, lo que significa que el apartado 3.13.11 va en la misma línea. En la práctica, se trata de una VPN con autenticación mutua y respaldada por certificados, o una solución equivalente, para el acceso administrativo a tu sitio web software, alojado en la nube. Inventario de activos criptográficos como prueba de la evaluación.

Mantén un inventario de los algoritmos y bibliotecas criptográficas integrados en tu sistema de gestión de aplicaciones ( software). Dicho inventario sirve de base para tu Plan de Seguridad del Sistema (SSP) y tu Plan de Acción y Hitos (POA&M), que se presentan como documentación para la revisión de la C3PAO.

Prepararse para la evaluación: qué es lo que realmente va a examinar un C3PAO

Una evaluación de Nivel 2 es un ejercicio basado en pruebas. Las preguntas que figuran a continuación reflejan lo que analiza un evaluador y están estructuradas de manera que la respuesta aparece en primer lugar, para que puedas puntuar tu propio trabajo rápidamente.

• Pruebas de validación según FIPS: ¿Puede demostrar que los módulos que protegen la información clasificada de uso restringido (CUI), incluidos los que se encuentran en su propio software, han sido validados formalmente?
• Documentación clave sobre la gestión de claves: ¿Se han documentado y se siguen los procedimientos de generación, distribución, almacenamiento y destrucción de acuerdo con el apartado §3.13.10?
• Cifrado de la información clasificada (CUI) en los límites: ¿Se cifra la información clasificada (CUI) tanto en reposo como en tránsito a través de todos los límites, incluidos los almacenes de datos y los entornos en la nube de software?
• Pruebas de autenticación de dispositivos y usuarios: ¿Se utilizan credenciales únicas basadas en certificados en lugar de contraseñas compartidas para los sistemas que procesan información controlada (CUI)?
• Precisión del SSP y del POA&M: ¿Refleja el SSP los controles implementados, con las deficiencias registradas en un Plan de Acción y Hitos actualizado?
• Paquete de pruebas preparado para la evaluación: ¿Son tus pruebas lo suficientemente actuales como para superar una evaluación completa de nivel 2 en los 110 controles?

Si alguna de las respuestas es «todavía no», esa carencia debe figurar hoy mismo en tu POA&M, no en la sala durante la evaluación.

La expiración de la norma FIPS 140-2 que todos los proveedores deberían tener en cuenta

Hay una fecha límite que merece su atención ahora mismo. El 21 de septiembre de 2026, los certificados FIPS 140-2 que sigan activos pasarán a formar parte de la Lista Histórica del CMVP, un estado que las agencias federales no deberían incluir en sus nuevas contrataciones. El CMVP dejó de aceptar nuevas solicitudes de certificación FIPS 140-2 en 2022, por lo que esta transición lleva años gestándose.

El impacto práctico radica en los plazos. La validación de un módulo FIPS 140-3 de sustitución lleva entre 18 y 30 meses. Un proveedor que no cuente con un certificado vigente corre el riesgo de quedar excluido de los nuevos contratos federales mientras se lleva a cabo la validación. No es posible iniciar este proceso el trimestre anterior a una evaluación.

Relaciona esto directamente con el grado de preparación para el CMMC. Identifica qué módulos implementados se encuentran en la versión 140-2 y cuáles en la 140-3, y luego elabora ya un plan de migración.

Cómo Keyfactor ayudarte Keyfactor

Keyfactor se corresponde directamente con los controles criptográficos del CMMC mencionados anteriormente, por lo que podrás presentar pruebas en lugar de tener que buscarlas a toda prisa.

• Inventario de activos criptográficos (AgileSec): Descubre y realiza un inventario de los algoritmos y bibliotecas integrados en tu software para obtener pruebas de SSP y POA&M.
• PKI validada según FIPS (EJBCA): Emisión de certificados y gestión de claves a través de autoridades de certificación y HSM respaldados por módulos validados según FIPS 140-3, de conformidad con el apartado §3.13.11.
• Artefactos de compilación y lanzamiento firmados (SignServer y Signum): Firmar imágenes de contenedores, artefactos de compilación y parches implementados dentro del perímetro de autorización.
• Bouncy Castle: Un módulo criptográfico validado según la norma FIPS 140-3 para la criptografía en la capa de aplicación.
• Gestión del ciclo de vida de las claves (Keyfactor Command): Centralizar la generación, distribución y destrucción documentadas de claves vinculadas a un módulo validado, de conformidad con el apartado §3.13.10.

La conclusión para los directivos es sencilla. La consolidación de certificados, claves y operaciones de firma en un único sistema de registro permite presentar la documentación de la CMMC con mayor rapidez y de forma coherente ante el evaluador.

Por dónde empezar

Empieza por la visibilidad y, a continuación, pasa al control. Los primeros pasos prácticos son los mismos que facilitan todas las evaluaciones posteriores:

1. Consigue una visión general de los activos criptográficos presentes en tu código fuente y en los productos lanzados al mercado.
2. Evalúa dichos activos con arreglo a la norma NIST SP 800-171, revisión 2, y a los requisitos de la norma FIPS.
3. Automatiza los ciclos de vida de los certificados y las claves para que la documentación se mantenga actualizada de forma automática.
4. Planifica la preparación para la era poscuántica mientras ya estás modernizando tu criptografía.

El CMMC no es un obstáculo puntual. Premia a los proveedores que tratan la criptografía como una infraestructura gestionada y sanciona a aquellos que la consideran un aspecto secundario. Solicitar una demo

¿Tienes dudas sobre el CMMC 2.0? Tenemos las respuestas.

Is CMMC 2.0 certification really required to win DoD contracts?
Under the DFARS final rule that took effect on November 10, 2025, CMMC status is a condition of eligibility for award. A contracting officer can require your current status before considering a bid. However, since Phase 2 is currently suspended, third party certification is currently paused pending review.

What is the difference between FIPS compliant and FIPS validated?
FIPS compliant means you used an approved algorithm. FIPS validated means an accredited lab tested a specific cryptographic module and CMVP issued a certificate. CMMC assessors require validation, not just compliance.

Which CMMC level applies to software and cloud vendors handling CUI?
Vendors that handle CUI typically need Level 2, which requires all 110 NIST SP 800-171 controls and is usually verified by a C3PAO every three years. Level 1 covers Federal Contract Information only.

Why is cryptography (§3.13) so hard to pass?
The System and Communications Protection family requires formally validated modules, not homegrown encryption built on approved algorithms. A vendor that validated the algorithm but not the module fails the control regardless of implementation strength.

What happens on September 21, 2026?
Remaining active FIPS 140-2 certificates move to the CMVP Historical List. Because validating a replacement FIPS 140-3 module takes between 18 and 30 months, vendors should identify affected modules and plan migration now.

Does CMMC apply to keys inside my application, not just my infrastructure?
Yes. CUI moves through application layers, so §3.13.10 covers key generation, distribution, storage, and destruction for application-layer keys inside the software itself, not only infrastructure keys.

What evidence will a C3PAO ask for?
Expect requests for FIPS validation certificates, documented key management procedures, proof of encryption at rest and in transit, certificate-based authentication records, and a current SSP with a matching POA&M.

How can Keyfactor help with CMMC readiness?
Keyfactor provides FIPS 140-3 validated PKI, centralized key lifecycle management, cryptographic asset inventory, and signing for build artifacts. Together they let you produce assessment evidence from a single system of record.