Guía de Cumplimiento de Nivel 2 de CMMC
Ciberseguridad
12 jun 2025
Los contratistas de defensa se enfrentan a un paisaje de ciberseguridad cada vez más complejo donde proteger la Información Controlada No Clasificada (CUI) no es solo un requisito regulatorio, sino un imperativo de seguridad nacional. La Certificación del Modelo de Madurez de Ciberseguridad (CMMC) Nivel 2 representa un paso significativo más allá de la higiene cibernética básica, requiriendo que las organizaciones implementen 110 controles de seguridad avanzados a través de 15 dominios.
¿Qué es CMMC?
La Certificación del Modelo de Madurez de Ciberseguridad (CMMC) es un marco de ciberseguridad unificado desarrollado por el Departamento de Defensa de los EE. UU. (DoD) para fortalecer la protección de la información sensible no clasificada a través de la base industrial de defensa. El marco de CMMC está en constante evolución a partir de enfoques de cumplimiento anteriores. Combina normas de ciberseguridad, referencias y mejores prácticas en un mecanismo de verificación integral.
El marco de CMMC incluye requisitos de seguridad de dos documentos:
NIST SP 800-171 Rev 2 y NIST SP 800-172. NIST SP 800-171 Rev 2 se centra en proteger Información Controlada No Clasificada (CUI) en sistemas y organizaciones no federales.
NIST SP 800-172 proporciona requisitos adicionales de seguridad para el mismo propósito.
El marco de CMMC organiza estas prácticas de seguridad en diferentes áreas, que se alinean con las categorías en NIST SP 800-171 Rev 2. Hay tres niveles en el CMMC: Nivel 1, Nivel 2 y Nivel 3.
Descripción del Modelo CMMC 2.0
CMMC 2.0 equipa al Departamento de Defensa de los EE. UU. (DoD) con un marco robusto para salvaguardar la información sensible dentro de su cadena de suministro de amenazas cibernéticas. Alinea cada una de sus prácticas de Nivel 2 con los requisitos de NIST SP 800-171, e incorpora 24 controles adicionales de NIST SP 800-172 para el cumplimiento de Nivel 3.
Descripción general del marco CMMC 2.0 que muestra tres niveles de seguridad.
Nivel 1: Cubre los requisitos básicos de salvaguarda para la Información de Contrato Federal (FCI) según lo especificado en la cláusula 52.204-21 del Reglamento Federal de Adquisiciones (FAR). Este nivel se centra en prácticas de ciberseguridad fundamentales para proteger la FCI, que consta exclusivamente de controles básicos de salvaguarda.
Nivel 2: Enfatiza la protección de Información Controlada No Clasificada (CUI) al requerir la adhesión a los 110 controles de seguridad descritos en NIST SP 800-171 Rev 2.
Nivel 3: Los detalles para el Nivel 3 se proporcionarán en el futuro e incluirán un subconjunto específico de requisitos de seguridad descritos en NIST SP 800-172.
El cumplimiento con el Nivel 1 de CMMC se centra en prácticas básicas de higiene cibernética. A medida que las organizaciones buscan el cumplimiento con el Nivel 2 de CMMC, deben implementar controles de seguridad más avanzados, mantener documentación exhaustiva y establecer procesos de monitoreo continuo para proteger efectivamente la información sensible.
El programa CMMC representa la respuesta del DoD a las crecientes amenazas cibernéticas que apuntan a la base industrial de defensa, donde los adversarios a menudo explotan las vulnerabilidades en las redes de los contratistas para acceder a información sensible. A diferencia de los modelos de auto-certificación anteriores, el CMMC requiere evaluaciones de terceros para niveles superiores, asegurando la verificación independiente de las implementaciones de ciberseguridad.
¿Quién necesita el cumplimiento con el Nivel 2 de CMMC?
Los requisitos de CMMC cubren cada entidad involucrada en la cadena de suministro del DoD que maneje información de contratista federal (FCI), información controlada no clasificada (CUI), o otros datos sensibles, sin importar qué organización tenga el contrato. Esto abarca a los contratistas principales, subcontratistas de todos los niveles, así como a proveedores, vendedores y consultores involucrados en la base industrial de defensa.
Todas las organizaciones civiles que realicen negocios con el gobierno deben cumplir con CMMC 2.0. Este requisito se aplica a:
Contratistas principales del DoD
Subcontratistas del DoD
Proveedores en todos los niveles de la Base Industrial de Defensa (DIB)
Proveedores pequeños del DoD
Proveedores comerciales que procesan, manejan o almacenan CUI
Proveedores extranjeros
Miembros del equipo de los contratistas del DoD que manejan CUI, como proveedores de servicios de gestión de TI
El cumplimiento de los niveles de CMMC se determina para contratistas y subcontratistas en función de los tipos de Información Controlada No Clasificada (CUI) y de Información de Contrato Federal (FCI) que manejan e intercambian.
CMMC 2.0 Implementación y Cronograma
Los contratistas de defensa deben demostrar que siguen el Modelo de Certificación de Madurez de Ciberseguridad 2.0 (CMMC 2.0). Hacen esto completando autoevaluaciones y realizando evaluaciones realizadas por organizaciones acreditadas de Evaluadores de Terceros CMMC (C3PAOs).
La Regla del Programa CMMC 2.0 (32 CFR Parte 170) entró en vigor el 16 de diciembre de 2024, lanzando oficialmente el programa y el mercado de CMMC. Sin embargo, la inclusión real de los requisitos de CMMC en los contratos del DoD depende de la finalización de la normativa complementaria de 48 CFR para la Regulación de Adquisiciones Federales de Defensa (DFARS).
El estado actual indica que se espera que los requisitos de CMMC comiencen a aparecer en nuevos contratos del DoD a mediados de 2025. Se espera que la finalización de la regla de 48 CFR en el segundo trimestre o verano de 2025. En anticipación a la entrada en vigor de la regla final de CMMC en 2025, algunos contratistas del DoD ya están exigiendo que sus subcontratistas demuestren cumplimiento.
¿Qué nivel de CMMC necesita su organización?
Determinar el nivel de CMMC apropiado requiere una evaluación cuidadosa de los tipos de información que maneja su organización y de sus obligaciones contractuales con el DoD. El marco de decisión se centra en dos preguntas críticas:
si su organización procesa Información de Contrato Federal (FCI)
si maneja Información Controlada No Clasificada (CUI)
Si su organización solo trata con FCI, el Nivel 1 de CMMC puede ser suficiente, requiriendo la implementación de 17 prácticas básicas de salvaguarda descritas en FAR 52.204-21. Sin embargo, cualquier involucramiento con CUI automáticamente eleva el requisito al Nivel 2. Esto resulta en la necesidad de cumplir con los 110 controles de seguridad avanzados.
💡 Nuestro consejo:
Las organizaciones deben revisar cuidadosamente tanto sus contratos actuales como los próximos, especialmente buscando cláusulas que hagan referencia a la protección de CUI o el cumplimiento con NIST SP 800-171, ya que esto indica fuertemente un requisito para la certificación de CMMC Nivel 2.
Requisitos de Cumplimiento de CMMC 2.0
Los niveles de CMMC y sus conjuntos asociados de prácticas a través de varios dominios se construyen acumulativamente. Esto significa que para lograr un nivel específico de CMMC, una organización también debe cumplir con todos los requisitos de los niveles inferiores precedentes. Si una organización no cumple con su nivel objetivo, se certificará en el nivel más alto para el cual ha cumplido con todas las prácticas aplicables.
Los 14 Dominios de Seguridad Básica de CMMC 2.0 abarcan las prácticas y procesos de seguridad esenciales que las organizaciones deben seguir al gestionar Información Controlada No Clasificada (CUI). Estos dominios forman la base crítica sobre la cual se establecen los diferentes niveles de certificación CMMC, asegurando una protección integral de datos sensibles.
Los requisitos de CMMC en el Nivel 2 incluyen 110 controles agrupados en 15 dominios, cada uno abordando aspectos específicos de ciberseguridad y protección de información.
Los requisitos están directamente alineados con NIST SP 800-171 Rev 2, asegurando consistencia con las normas federales de ciberseguridad establecidas.
💡 Bueno saber:
El marco requiere que las organizaciones implementen controles tanto técnicos como administrativos, abarcando áreas desde la gestión de accesos y registro de auditorías hasta seguridad física y respuesta a incidentes.
1. Control de Acceso (AC)
El Control de Acceso se trata de asegurar que solo las personas y procesos adecuados puedan interactuar con sus datos sensibles. También monitorea y registra todo acceso a CUI, asegurando que solo individuos, procesos y otras entidades autenticadas y autorizadas tengan acceso.
2. Auditoría y Responsabilidad (AU)
Estos controles están diseñados para asegurar que cada acción sea trazable y cada usuario sea responsable. El dominio de Auditoría y Responsabilidad requiere que las organizaciones creen sistemas de registro exhaustivos que rastreen las actividades de los usuarios y los eventos del sistema a través de todos los sistemas que manejan CUI.
Ejemplo: La plataforma Parakeet automatiza el trabajo pesado al recopilar, correlacionar y analizar continuamente registros de auditoría de todo su entorno para detectar actividad no autorizada en tiempo real.
3. Conciencia y Formación (AT)
¡Su equipo es su primera línea de defensa! Por eso, los requisitos de conciencia y formación en ciberseguridad bajo CMMC Nivel 2 exigen que todo el personal entienda sus responsabilidades en ciberseguridad y pueda reconocer amenazas potenciales.
Ejemplo: Parakeet le ayuda a asegurar que cada empleado, desde gerentes hasta administradores de sistemas, entienda los riesgos de seguridad relacionados con su rol. Al integrarse con sus plataformas existentes de RRHH y formación, automatizamos la asignación y el seguimiento de la educación en conciencia de seguridad.
4. Gestión de Configuración (CM)
Los controles se trata de establecer y mantener configuraciones de base seguras para todos sus sistemas (hardware, software y firmware) para prevenir cambios no autorizados que podrían introducir vulnerabilidades.
5. Identificación y Autenticación (IA)
El dominio de Identificación y Autenticación abarca 11 controles centrados en verificar las identidades de usuario y dispositivo antes de conceder acceso al sistema.
Ejemplo: La plataforma Parakeet Risk apoya requisitos de autenticación de múltiples factores, automatizando la aplicación de políticas de contraseñas y gestionando todo el ciclo de vida de la identidad.
6. Respuesta a Incidentes (IR)
¡Una respuesta rápida y coordinada es crucial cuando ocurre un incidente de seguridad! Las organizaciones necesitan un plan de respuesta a incidentes claro para manejar rápidamente cualquier situación que pueda conducir a una violación de datos. Este conjunto de controles les ayuda a detectar, analizar y responder a incidentes de seguridad de manera efectiva.
7. Mantenimiento (MA)
Un mantenimiento inadecuado del sistema puede exponer inadvertidamente CUI. El mantenimiento aborda el apoyo continuo y el mantenimiento de los sistemas de información de la organización, asegurando que las actividades de mantenimiento no introduzcan vulnerabilidades de seguridad.
8. Protección de Medios (MP)
Los controles abordan el manejo, marcado y disposición de medios físicos y digitales que contienen CUI.
9. Seguridad del Personal (PS)
Asegúrese de que las personas con acceso a CUI cumplan con los estándares de confiabilidad apropiados.
10. Protección Física (PP)
Estos requisitos abordan la seguridad física de instalaciones, sistemas y equipos que procesan, almacenan o transmiten CUI.
11. Recuperación (RE)
Asegúrese de que las organizaciones puedan restaurar CUI y los sistemas asociados después de interrupciones o incidentes de seguridad.
12. Gestión de Riesgos (RM)
Exigir a las organizaciones que realicen evaluaciones periódicas de los riesgos de ciberseguridad e implementen medidas de mitigación apropiadas.
13. Evaluación de Seguridad (SA)
Exigir a las organizaciones que evalúen periódicamente la efectividad de sus controles de seguridad e implementen acciones correctivas.
Ejemplo: Puede abordar fácilmente incidentes de seguridad, así como informarlos a su equipo o a las autoridades pertinentes, y evaluar constantemente su plan de respuesta a incidentes.
14. Protección de Sistemas y Comunicaciones (SC)
Estos controles abordan la seguridad de la red, la encriptación y los requisitos de comunicaciones seguras.
15. Integridad del Sistema y la Información (SI)
Los controles de Integridad del Sistema y la Información aseguran que los sistemas organizacionales y la información que procesan mantengan precisión, integridad y protección contra modificaciones no autorizadas.
¡Alcance una Ciberseguridad Avanzada con la Plataforma Parakeet Risk!
La plataforma Parakeet Risk transforma el proceso de cumplimiento de CMMC tradicionalmente complejo en flujos de trabajo automatizados y simplificados que guían a las organizaciones a través de cada uno de los 15 dominios requeridos. El diseño nativo de IA de nuestra plataforma permite la gestión proactiva de riesgos y el monitoreo continuo de cumplimiento, capacidades esenciales para mantener la certificación de CMMC Nivel 2.
Parakeet Risk agiliza su camino hacia el cumplimiento de CMMC Nivel 2 a través de automatización inteligente, monitoreo continuo y capacidades integradas de gestión de riesgos.
Preparándose para CMMC Nivel 2: Una Lista de Verificación
Prepararse para el cumplimiento con CMMC Nivel 2 requiere un enfoque estructurado para fortalecer el marco de ciberseguridad de su organización. Use esta lista de verificación para una autoevaluación anual:
Comprender los Requisitos de CMMC Nivel 2: Familiarícese con todos los 110 requisitos a través de 14 dominios.
Realizar un Análisis de Brechas: Identifique áreas donde sus prácticas actuales de ciberseguridad no cumplen con los requisitos de CMMC Nivel 2.
Desarrollar un Plan de Remediación: Cree un plan detallado para abordar todas las brechas identificadas e implementar los controles de seguridad necesarios.
Asignar Recursos: Asegure el presupuesto, personal y herramientas necesarios para respaldar sus esfuerzos de cumplimiento.
Capacitar a Su Personal: Eduque a los empleados sobre los requisitos de CMMC y las mejores prácticas esenciales de ciberseguridad.
Implementar Políticas y Procedimientos: Establezca y documente políticas y procedimientos robustos para respaldar sus iniciativas de cumplimiento.
Revisar y Actualizar Regularmente: Revise y actualice continuamente sus prácticas de ciberseguridad para asegurar el cumplimiento continuo.
Colaborar con Expertos: Trabaje con consultores de CMMC o C3PAOs (Organizaciones de Evaluación de Terceros CMMC) para obtener orientación experta y apoyo en la evaluación.
Realizar una Autoevaluación: Realice una evaluación interna para medir su preparación antes de la evaluación oficial de CMMC.
Programar Su Evaluación de CMMC: Organice su evaluación oficial de CMMC con un C3PAO acreditado para verificar su cumplimiento.
