¿Qué supone para los MSP la suspensión de la fase II de la Certificación del Modelo de Madurez de Ciberseguridad (CMMC)?

El 13 de julio de 2026, el Departamento de Guerra (DoW) publicó el comunicado «Forjando el arsenal de la libertad», en el que anunciaba la suspensión inmediata de los requisitos de la fase II de la Certificación del Modelo de Madurez de Ciberseguridad (CMMC). Si prestas soporte a clientes de la base industrial de defensa (DIB), la red de empresas que abastecen al Departamento de Guerra, probablemente te hayas hecho alguna variante de esta pregunta durante toda la semana: «¿Significa esto que ya no hay que cumplir los requisitos?».

No.

El Grupo de Trabajo sobre la Reforma de CMMC dispone ahora de 60 días para presentar sus conclusiones, a partir de las aportaciones recabadas mediante una solicitud pública de información (RFI), el proceso formal del Gobierno para consultar al sector antes de modificar una norma. Sin embargo, este tipo de revisiones suele alargarse y no hay garantías de que se cumpla esa fecha exacta.

¿Por qué suspendió el Departamento la fase II de CMMC?

El motivo expuesto por el Departamento en el comunicado es la directiva del Sistema de Transformación de Adquisiciones (ATS) del secretario Pete Hegseth, que prioriza acelerar la entrega de capacidades y reducir los costes de cumplimiento para las pequeñas y medianas empresas y las empresas no tradicionales. El comunicado cita datos de la Administración de Pequeñas Empresas (SBA) que muestran que los costes de cumplimiento estaban obligando a algunas empresas a abandonar la DIB. La directora de sistemas de información (CIO) del Departamento de Guerra, Kirsten A. Davies, aparece citada directamente para respaldar ese argumento.

También hay una simple cuestión de números detrás de esta decisión. Según la mayoría de las estimaciones difundidas desde el anuncio, bastante más de 100.000 empresas necesitaban someterse a una evaluación por terceros, pero solo había alrededor de un centenar de evaluadores acreditados, por lo que el calendario original era prácticamente imposible de cumplir.

¿Qué cambia con la suspensión?

La fase II queda suspendida. Se trata del requisito de someterse a evaluaciones certificadas por terceros realizadas por una C3PAO —una organización evaluadora externa acreditada para CMMC— o a una evaluación del DIBCAC —el Centro de Evaluación de Ciberseguridad de la Base Industrial de Defensa, el órgano evaluador del propio Departamento—. También quedan paralizados los hitos de CMMC pendientes o previstos para el futuro.

Mientras tanto, el Departamento seguirá exigiendo el cumplimiento mediante las autoevaluaciones de NIST SP 800-171 Rev. 2 —la norma federal que recoge los 110 controles de seguridad necesarios para proteger datos sensibles de defensa— y lo que el comunicado denomina «evaluaciones selectivas dirigidas por el Gobierno». Estas evaluaciones probablemente se concentrarán sobre todo en los contratistas principales, situados más arriba en la cadena de suministro que la mayoría de los clientes de los MSP. Esto debe interpretarse más como un recordatorio de que el Departamento conserva la autoridad para examinar el cumplimiento en detalle que como un nuevo programa de auditorías.

Los requisitos que siguen vigentes

Los requisitos de autoevaluación de la fase I siguen plenamente vigentes: El Reglamento Federal de Adquisiciones (FAR) 52.204-21, relativo a las medidas básicas de protección de la información sobre contratos federales (FCI), y el Suplemento del Reglamento Federal de Adquisiciones de Defensa (DFARS) 252.204-7012, que exige proteger la información no clasificada controlada (CUI), notificar los incidentes de ciberseguridad y aplicar los 110 controles de NIST SP 800-171. El comunicado indica expresamente que la suspensión «no elimina el requisito de que las empresas protejan los datos federales».

Tampoco se ven afectados: Los registros de puntuación en el Supplier Performance Risk System (SPRS), las declaraciones anuales, los requisitos del Reglamento sobre el Tráfico Internacional de Armas (ITAR), los planes de subsanación, los planes de seguridad del sistema y los requisitos trasladados contractualmente a los subcontratistas. La CUI es una categoría amplia, e ITAR es uno de los muchos marcos normativos que pueden aplicarse dentro de ella. CMMC trataba de reunir todos estos requisitos en una única certificación, y lo que se ha suspendido es ese modelo de certificación unificada. Los requisitos subyacentes siguen vigentes.

¿Dónde persiste el riesgo de incumplimiento?

La suspensión ha eliminado un paso de verificación, pero no la obligación subyacente. Lo que ha desaparecido, por ahora, es la revisión de un tercero que habría comprobado tu trabajo antes de que surgiera un problema.

Una autoevaluación inexacta o una declaración sin respaldo pueden seguir generando responsabilidad contractual o administrativa, así como responsabilidad en virtud de la Ley de Reclamaciones Falsas (FCA), una ley federal que puede atribuir responsabilidad tanto a la empresa como, a menudo, a la persona que aprobó y firmó la declaración por defraudar deliberadamente a programas gubernamentales. Los contratos ya trasladan este requisito de los contratistas principales a los subcontratistas, y es probable que la cláusula pase de exigir demostrar que se ha superado una auditoría a una formulación similar a esta: «Presenta tu autodeclaración de cumplimiento y nos reservamos el derecho a auditarte más adelante». Falsear esa declaración, especialmente después de aceptar fondos públicos, puede acarrear consecuencias civiles y penales. Es de dominio público que varias empresas de la DIB han afrontado acciones judiciales en virtud de la Ley de Reclamaciones Falsas por declaraciones de cumplimiento que no pudieron respaldar.

Medidas prácticas para los MSP

• Mantén en marcha los planes de subsanación; esta noticia no es motivo para paralizarlos.
• Comprueba que las puntuaciones de SPRS y las declaraciones anuales siguen reflejando el entorno real del cliente.
• Delimita el alcance: qué sistemas del cliente procesan CUI o FCI y cuáles gestionas directamente.
• Mantén actualizadas las evidencias, incluidos los registros de auditoría, los registros de cumplimiento de la aplicación de parches y los registros de acceso, por si un contratista principal solicita una revisión.
• Explica claramente a los clientes que «suspendido» no significa «resuelto».

¿Cómo contribuye NinjaOne al cumplimiento de CMMC y FedRAMP?

FedRAMP —el Programa Federal de Gestión de Riesgos y Autorizaciones, que determina qué plataformas de software están autorizadas para tratar datos federales— no es el mismo programa que CMMC, y esta suspensión no le afecta. Sin embargo, demostrar a un evaluador que tu plataforma ya se ejecuta en una infraestructura autorizada por FedRAMP suele facilitar el proceso de evaluación. Actualmente, NinjaOne es la única plataforma RMM —de supervisión y gestión remotas— del mercado autorizada en el nivel Moderate de FedRAMP.

Como base de todo ello, NinjaOne ayuda a los MSP a aplicar y demostrar los controles técnicos que exige NIST SP 800-171: automatización de la aplicación de parches, control de acceso basado en roles (RBAC), autenticación multifactor (MFA) e informes centralizados de todos los entornos de clientes que gestionan.

Todas las empresas de la base industrial de defensa siguen siendo legalmente responsables de presentar, cuando se les solicite, su documentación de cumplimiento: registros del sistema, trazas de auditoría y la autodeclaración que respalda su puntuación en SPRS, haya o no un evaluador externo que la revise. Precisamente por eso es tan importante, ahora mismo, contar con una plataforma diseñada para mantener esas evidencias actualizadas y listas para su presentación.