CMMC 2.0 / NIST SP 800-171:

Visión general

El CMMC 2.0 es el programa de verificación por niveles del Departamento de Defensa, basado en la norma NIST SP 800-171, revisión 2, que sustituye una década de autodeclaraciones por parte de los contratistas por pruebas evaluadas de forma independiente que demuestran que la información no clasificada controlada está realmente protegida. La norma definitiva del Suplemento del Reglamento Federal de Adquisiciones de Defensa (DFARS) que implementa el programa entró en vigor el 10 de noviembre de 2025 y se implantará en cuatro fases hasta noviembre de 2028. 

En la práctica, el Nivel 1 (solo FCI) sigue consistiendo en una autoevaluación basada en 15 prácticas básicas de protección; el Nivel 2 (CUI) exige la aplicación de los 110 controles de la norma NIST SP 800-171, cuya verificación suele correr a cargo de una organización de evaluación externa certificada (C3PAO) cada tres años; y el Nivel 3 añade 24 requisitos mejorados de la norma NIST SP 800-172, evaluados directamente por el Centro de Evaluación de Ciberseguridad de la Base Industrial de Defensa (DIBCAC) del Departamento de Defensa (DoD) para los programas más sensibles. 

Por qué es importante 

El Departamento de Defensa (DoD) calcula que más de 80 000 contratistas y subcontratistas necesitarán una certificación de nivel 2 o nivel 3, y la situación respecto al CMMC es ahora una condición para la adjudicación de un contrato, más que un mero trámite burocrático: los responsables de contratación pueden exigir una situación actualizada respecto al CMMC y una puntuación del Sistema de Riesgos de Rendimiento de los Proveedores (SPRS) antes incluso de que se tenga en cuenta una oferta. 

La familia «Protección de sistemas y comunicaciones», §3.13, conlleva obligaciones criptográficas directas y es, sistemáticamente, una de las familias más difíciles de superar para los contratistas, ya que los evaluadores distinguen claramente entre un algoritmo de cifrado que simplemente cumple con la norma FIPS y un módulo criptográfico que ha sido validado formalmente según la norma FIPS en el marco del Programa de Validación de Módulos Criptográficos del NIST. 

Cómo se aplica esto a la criptografía 

La norma NIST SP 800-171 aborda la criptografía principalmente a través de las familias de controles «Protección de sistemas y comunicaciones» (§3.13) e «Identificación y autenticación» (§3.5). Las principales áreas de control con implicaciones criptográficas directas son: 

Preparación para la auditoría 

Las evaluaciones del Nivel 2 del CMMC, ya sean realizadas por la propia organización o por una C3PAO, se centran en la implementación verificada de los 110 controles, más que en la mera documentación. Áreas clave que examinan los evaluadores: 

• Pruebas de validación según FIPS: ¿Puedela organización demostrar que los módulos criptográficos que protegen la confidencialidad de la CUI están validados formalmente según las normas FIPS 140-2 o 140-3, y no solo basados en algoritmos aprobados? 

• Documentación sobre la gestión de claves: ¿Estándocumentados y se siguen de forma sistemática los procedimientos de generación, distribución, almacenamiento y destrucción de claves criptográficas, de conformidad con el apartado 3.13.10? 

• Cifrado de la información clasificada (CUI) en los límites del sistema: ¿Secifra la información clasificada (CUI) tanto en reposo como en tránsito a través de todos los límites del sistema, incluidos los entornos en la nube y los terminales remotos? 

• Pruebas de autenticación de dispositivos y usuarios: ¿Puedela organización demostrar que dispone de credenciales únicas basadas en certificados en lugar de contraseñas compartidas para los sistemas que procesan información controlada (CUI)? 

• Plan de seguridad del sistema y precisión del POA&M: ¿Reflejael SSP con precisión los controles criptográficos implementados, y se hace un seguimiento de las posibles deficiencias en un Plan de Acción y Hitos actualizado? 

• Paquete de pruebas preparado para la evaluación: ¿Estánlas pruebas lo suficientemente bien organizadas y actualizadas como para superar una evaluación completa de nivel 2 realizada por terceros que abarque los 110 controles? 

LLEVA ESTO A LA DIRECCIÓN

El CMMC 2.0 puso fin a la década en la que podíamos autocertificar el cumplimiento de la norma NIST SP 800-171. Desde el 10 de noviembre de 2025, el Nivel 2 exige que una C3PAO independiente verifique los 110 controles, incluida la criptografía validada por FIPS y la gestión documentada de claves, antes de que podamos presentar ofertas para contratos del Departamento de Defensa (DoD) que contengan información clasificada (CUI). Perder esa certificación supone perder directamente la elegibilidad para optar a los contratos.

Las dos áreas de control que suelen fallar con mayor frecuencia en una evaluación DIBCAC o C3PAO son de carácter criptográfico: los módulos validados según FIPS y la gestión documentada del ciclo de vida de las claves. Si no podemos demostrar que nuestra criptografía está validada —y no solo que cumple con los requisitos—, no superamos la evaluación. Se trata de una deficiencia que se puede subsanar si la corregimos ahora, pero que resultará muy costosa si la descubrimos en plena fase de evaluación.