Puntos clave
- La norma final de CMMC simplifica la certificación en tres niveles y convierte el cumplimiento en un requisito obligatorio para poder optar a contratos del Departamento de Defensa, según la cláusula DFARS 252.204-7021.
- Los MSP que manejan CUI ahora entran en el alcance de las evaluaciones CMMC conforme al 32 CFR § 170.19 y deben cumplir el mismo estándar que sus clientes del sector defensa.
- La norma considera que un control sin documentar no existe. Los MSP deben asegurarse de que cada control de seguridad implementado esté respaldado por políticas, procedimientos y registros de configuración por escrito.
- Los MSP deberían crear una Matriz de Responsabilidad del Cliente que asigne cada uno de los 110 controles de NIST SP 800-171 al MSP, al cliente o a un acuerdo compartido, tal como exige el 32 CFR § 170.19(c)(2)(ii).
- El cumplimiento de CMMC ya conlleva responsabilidad legal. Los directivos que firman las autoevaluaciones pueden enfrentarse a sanciones civiles en virtud de la False Claims Act.
El Departamento de Defensa de EE. UU. (DoD) ha publicado la norma final de su programa de Cybersecurity Maturity Model Certification (CMMC). Como consecuencia, todos los contratistas y subcontratistas de la cadena de suministro de defensa están ahora obligados por contrato a cumplir sus requisitos.
Para los proveedores de servicios gestionados (MSP), esta novedad trae consigo una nueva serie de retos de cumplimiento. Si gestionas sistemas que almacenan, procesan o transmiten información no clasificada controlada (CUI) o información de contratos federales (FCI), tu forma de trabajar influye directamente en que tus clientes aprueben o no sus evaluaciones CMMC.
En esta guía analizamos qué implica la norma final de CMMC para las operaciones de un MSP y cómo puedes alinear tus servicios con estos nuevos requisitos para dar a tus clientes el apoyo que necesitan para lograr el cumplimiento de CMMC.
Qué establece la norma final de CMMC y en qué se diferencia de las versiones anteriores
La norma final de CMMC, conocida también como la norma de la cláusula, formalizó varios requisitos que en las primeras versiones del marco estaban sin definir o se aplicaban de forma inconsistente.
Niveles de certificación
El cambio más importante que introduce la norma final en el programa CMMC es la simplificación de la estructura original de cinco niveles en un modelo de certificación de tres niveles, presentado por primera vez en CMMC 2.0. Cada nivel se corresponde con el tipo de información sensible que maneja un contratista o subcontratista:
| Nivel | Se aplica a | Requisitos | Tipo de evaluación | Frecuencia |
| Nivel 1 | Contratistas y subcontratistas que almacenan, procesan o transmiten FCI | 15 prácticas de FAR 52.204-21(b)(1)(i) a (b)(1)(xv) | Autoevaluación del contratista | Anual |
| Nivel 2 | Contratistas y subcontratistas que almacenan, procesan o transmiten CUI | 110 requisitos de seguridad de NIST SP 800-171 R2 | Autoevaluación o evaluación por un tercero acreditado (C3PAO, CMMC Third Party Assessment Organization) | Autoevaluación anual o C3PAO cada tres años |
| Nivel 3 | Determinados contratistas y subcontratistas que almacenan, procesan o transmiten CUI de alto valor, según especifique el DoD. | Todos los requisitos del Nivel 2 de CMMC más 24 requisitos seleccionados de NIST SP 800-172 | Evaluaciones dirigidas por el gobierno y realizadas por el Defense Industrial Base Cybersecurity Assessment Center de la Defense Contract Management Agency (DCMA DIBCAC) | Cada tres años |
Además de reducir el modelo de cinco niveles a tres, la norma de la cláusula convirtió NIST SP 800-171 en la base principal de los requisitos del Nivel 2. En lugar de introducir un conjunto de reglas completamente nuevo, se apoya en el estándar con el que ya trabajaba la mayoría de los contratistas por sus obligaciones DFARS vigentes.
Esto significa que los contratistas de defensa que ya han invertido en NIST SP 800-171 pueden partir de esos controles en lugar de empezar de cero.
Evaluación y aplicación
Antes de la publicación de la norma final, el cumplimiento de CMMC se basaba en buena medida en la autodeclaración. Los contratistas de defensa realizaban autoevaluaciones frente a NIST SP 800-171 y presentaban planes de acción e hitos (POA&M) en el Supplier Performance Risk System (SPRS) cada vez que detectaban una carencia en su implementación.
La norma de la cláusula CMMC cambió esta situación para los Niveles 2 y 3. Las organizaciones que buscan la certificación de Nivel 2 realizarán autoevaluaciones o evaluaciones de un C3PAO, según lo que estipule su contrato. Las de Nivel 3 serán evaluadas por el DCMA DIBCAC.
También ha convertido el cumplimiento de CMMC en una condición para poder optar a contratos, en virtud de la cláusula DFARS 255.204-7021. Si una organización quiere ganar un contrato concreto del DoD, necesita obtener el nivel de certificación indicado en el pliego de ese contrato y mantener ese estado durante toda su vigencia.
Definiciones y alcance
Además, la norma final trazó una línea reguladora clara entre CUI y FCI.
- Información de contratos federales (FCI): información generada o facilitada en el marco de un contrato público que no está destinada a divulgación pública.
- Información no clasificada controlada (CUI): información que requiere medidas específicas de protección o control de difusión conforme a una ley, reglamento o política.
Esta distinción es importante para los contratistas de defensa: demasiadas organizaciones han cometido el error de confundir CUI con FCI y viceversa, lo que probablemente les llevó a seguir los requisitos equivocados.
Con estos cambios, el cumplimiento de CMMC pasa a ser una obligación normativa en lugar de un estándar deseable que los contratistas seguirían en el mejor de los casos.
Qué supone la norma final para los MSP
¿Y qué significa todo esto para los MSP que trabajan en la base industrial de defensa (DIB)?
Las directrices revisadas de alcance de CMMC dejan claro que, si un proveedor de servicios externo (ESP), como un MSP, interviene en los sistemas o en la infraestructura de seguridad de una organización que solicita la evaluación (OSA), quedará incluido en su entorno de cumplimiento.
Así lo recoge el 32 CFR § 170.19, que establece que el alcance de la evaluación CMMC abarca todos los activos del entorno de la OSA, incluidos los servicios y sistemas proporcionados por un ESP que se encuentre dentro de ese límite de evaluación.
Ahora bien, que un MSP esté o no dentro del alcance depende de tres condiciones clave:
- Si procesa, almacena o transmite CUI en nombre de la OSA
- Si maneja datos de protección de la seguridad (por ejemplo, datos de configuración, archivos de registro o credenciales)
- Si sus sistemas están conectados al entorno de la OSA de una forma que afecte a la confidencialidad general de la CUI
En el caso de los MSP que trabajan con contratistas de defensa, al menos una de estas condiciones se cumple. Lo más habitual es la tercera, ya que muchos de los 110 controles de seguridad que estipula NIST SP 800-171 coinciden con los servicios que suele ofrecer un MSP.
Los evaluadores no se van a fijar solo en los controles de seguridad del contratista: también valorarán cómo proteges tú, como MSP, las herramientas, plataformas y estructuras que utilizas para prestarle servicio.
Al mismo tiempo, la norma final insiste más en la importancia de definir con claridad el alcance y la responsabilidad compartida entre el MSP y la OSA.
Según el 32 CFR § 170.19(c)(2)(ii), el uso de un ESP, su relación con la OSA y los servicios prestados deben figurar en el plan de seguridad del sistema (SSP) oficial del contratista. Esto también debe constar en la descripción del servicio del ESP y en la Matriz de Responsabilidad del Cliente.
Tienes que asegurarte de que el reparto de responsabilidades de cumplimiento entre tu equipo y el personal de tus clientes esté claro y documentado. De lo contrario, los evaluadores no tendrán ninguna base para determinar si cada control tiene un responsable asignado.
En definitiva, la norma de la cláusula CMMC pone de manifiesto que los MSP son ahora participantes activos en el proceso de cumplimiento. La forma en que prestan sus servicios, implementan los controles y mantienen su propia documentación determina directamente si sus clientes de defensa podrán lograr y mantener la certificación que buscan.
Qué deben hacer los MSP para adaptarse a la nueva norma
Como el nuevo programa CMMC tiene un periodo de implementación de tres años, es el momento ideal para realinear tus servicios con sus requisitos y demás condiciones. Así puedes empezar:
Revisa tus servicios frente a los requisitos vigentes
Lo primero es revisar tus servicios y comprobar cuáles de ellos cubren realmente los 110 requisitos de seguridad de NIST SP 800-171.
Tienes que repasar cada requisito e identificar si la prestación actual de tu servicio lo cubre por completo, de forma parcial o en absoluto. Este paso es importante porque la relación de un MSP con sus clientes varía según el trabajo para el que se le haya contratado.
Por ejemplo, tus responsabilidades de cumplimiento con un contratista de defensa que te ha contratado para gestionar todo su stack de TI no serán las mismas que con otro que te ha incorporado solo para dar soporte de help desk.
Detecta carencias en la implementación y la documentación de los controles
Una vez auditados tus servicios, el siguiente paso es buscar posibles carencias técnicas o de documentación.
Las carencias técnicas son controles que no están implementados en absoluto o que no se aplican de forma coherente en todos los sistemas relevantes. Las carencias de documentación, en cambio, son controles que sí se aplican en la práctica, pero que no aparecen en ninguna política, procedimiento o registro de configuración por escrito.
Las carencias de documentación son muy habituales en los entornos de los MSP, pero no deberían normalizarse. Desde el punto de vista del cumplimiento, un control sin documentar es como un control que nunca se llegó a implementar.
Define los límites de responsabilidad con tus clientes
Uno de los mayores errores que cometen los MSP en materia de cumplimiento de CMMC es olvidarse de documentar quién debe responder de cada cosa.
El 32 CFR § 170.19(c)(2)(ii) de la norma final de CMMC también exige que el reparto del cumplimiento entre un MSP y sus clientes figure en el SSP del contratista de defensa y en la Matriz de Responsabilidad del Cliente.
Si te faltan estos documentos, estás dando por hecho que tus clientes saben qué controles de seguridad son su responsabilidad y cuáles no. Por desgracia, esas suposiciones rara vez se sostienen en una evaluación formal.
Conviene asegurarse de que tu Matriz de Responsabilidad del Cliente asigne cada control aplicable de NIST SP 800-171 a ti, a tu cliente o a un acuerdo compartido que hayáis pactado.
Prepárate para un papel más activo en las evaluaciones de cumplimiento
Por último, tienes que preparar a tu equipo e informarle de que tu organización va a tener un papel más activo en las evaluaciones CMMC.
La norma final indica que, si tus servicios están dentro del alcance de la evaluación del cliente (lo habitual en los MSP que trabajan con contratistas de defensa), tu MSP formará parte de esa evaluación. Es decir, los evaluadores podrán entrevistar a tu personal, revisar tu documentación y examinar los sistemas y controles que gestionas.
Toda tu organización debería estar preparada para ese nivel de escrutinio. Toda la documentación tiene que estar lo bastante ordenada para que puedas presentarla sin problemas a los evaluadores.
Los MSP siempre han ayudado a los contratistas de defensa a gestionar y proteger sus entornos de TI, pero la norma final ha transformado ese papel de proveedor pasivo a socio activo.
Implicaciones a largo plazo de la norma de la cláusula CMMC para las operaciones de los MSP
Además de redefinir el papel del MSP en el proceso de cumplimiento, la norma final de CMMC también reconfigura el panorama de los MSP para los próximos años.
Mayor demanda de servicios centrados en el cumplimiento
A medida que avance el calendario de aplicación durante los tres próximos años, es probable que aumente el número de contratistas de defensa que buscan activamente apoyo en materia de cumplimiento. Los MSP que ofrezcan servicios gestionados de cumplimiento diseñados en torno al nuevo programa CMMC encontrarán un mercado nuevo y en crecimiento.
Más responsabilidad para los ESP
Ahora que los ESP se consideran participantes activos en el proceso de cumplimiento, se espera que asuman la responsabilidad de la calidad y la integridad de los controles que implementan y mantienen.
Los resultados de las evaluaciones formales de CMMC se documentan y registran en el SPRS, lo que significa que quedará un rastro de las aportaciones de tu equipo al resultado de cumplimiento de tu cliente.
Más importante aún: la False Claims Act establece que los directivos que firman las autoevaluaciones responden personalmente de la exactitud de lo que certifican. Esto significa que, si la calidad de tu trabajo de cumplimiento no se ajusta a lo declarado, tanto tú como el contratista podéis enfrentaros a sanciones civiles.
Mayor alineación entre las operaciones de TI y los requisitos normativos
La norma de la cláusula también subraya la importancia de alinear la prestación del servicio con el cumplimiento normativo. Las tareas rutinarias, como la aplicación de parches, la gestión de accesos y el registro de eventos, deben ejecutarse pensando en el cumplimiento.
Los MSP que integran el cumplimiento de CMMC en su modelo de prestación de servicios tienen más probabilidades de éxito que los que lo tratan como dos proyectos distintos.
Las expectativas de cumplimiento seguirán evolucionando
Por último, es importante que los MSP entiendan que la norma final de CMMC es solo el punto de partida de lo que probablemente será una evolución continua del cumplimiento en ciberseguridad en toda la cadena de suministro de defensa.
Ahora mismo, el nuevo programa solo refleja lo que el DoD considera el nivel mínimo adecuado para proteger la información sensible de defensa. Esa valoración depende en gran medida del panorama de amenazas actual, que cambia constantemente.
El panorama de amenazas al que quiere responder el nuevo programa CMMC es más sofisticado que cuando se concibió, y lo será aún más con el paso de los años.
La conclusión principal es que los MSP deben seguir de cerca todos los cambios normativos que puedan afectar a los requisitos de cumplimiento de sus clientes de defensa.
Hacerlo les da tiempo suficiente para ajustar su oferta de servicios, actualizar sus prácticas de documentación y preparar a sus clientes para lo que viene antes de que aparezca en los contratos públicos.
La norma final de CMMC redefine el papel del MSP en las evaluaciones de cumplimiento
La norma final de CMMC supone un cambio de calado en la forma de aplicar el cumplimiento en ciberseguridad en toda la DIB y, para los MSP, ese cambio trae consigo nuevos requisitos que afectan directamente a cómo prestas tus servicios.
Lo que antes se consideraba un problema del contratista de defensa es ahora una responsabilidad compartida que se extiende a todos los proveedores de servicios que operan en su entorno.
Cada control que implementas y cada documento que mantienes influyen de forma notable en la capacidad de tus clientes para ganar y mantener contratos. Y, sobre todo, reflejan el compromiso de tu organización con los estándares que exige hoy la cadena de suministro de defensa.
Por eso es fundamental que tu equipo se tome el nuevo programa con la misma seriedad que tus clientes contratistas de defensa.
Saber dónde encaja tu servicio dentro del alcance de la evaluación de tus clientes, cerrar las carencias en la implementación y la documentación de los controles y definir los límites de responsabilidad con tus clientes son solo algunos de los pasos que puedes dar para adaptar tu prestación de servicios a estas nuevas exigencias.
Y con una ventana de implementación de tres años, es el momento perfecto para reestructurar tu modelo de servicio de forma que beneficie tanto a tus clientes de defensa como a tu negocio.
Temas relacionados:
