ACTUALIZACIÓN: Esta entrada, publicada originalmente en May 26, 2021, se ha actualizado para reflejar las últimas novedades en materia de cumplimiento de la norma CMMC 2.0 . Ahora incluye directrices actualizadas sobre la preparación para las auditorías, correspondencias de controles actualizadas y nuevas perspectivas sobre cómo Tanium contribuye al cumplimiento normativo continuo y a la madurez operativa en toda la base industrial de defensa.
La norma CMMC 2.0 está transformando la forma en que el Departamento de Defensa (DoD) exige a los contratistas que protejan la información no clasificada controlada (CUI) y la información sobre contratos federales (FCI) en toda la base industrial de defensa (DIB), mediante la introducción de rigurosos requisitos de ciberseguridad que todos los contratistas deben cumplir.
Partiendo de las bases del modelo CMMC 1.0, el modelo CMMC 2.0 actualizado refuerza el objetivo del Departamento de Defensa de salvaguardar la seguridad nacional mediante el establecimiento de normas de ciberseguridad sólidas, escalables y exigibles. Exige a los contratistas que demuestren su nivel de madurez en materia de ciberseguridad mediante un marco por niveles, cuantificable y basado en auditorías, lo que garantiza la rendición de cuentas y la adaptación a las amenazas en constante evolución y a las expectativas de cumplimiento normativo.
Sin embargo, el plazo para prepararse para el CMMC 2.0 está a punto de finalizar. Ahora que las evaluaciones ya están disponibles en el Sistema de Puntuación de Riesgos y Rendimiento de Proveedores (SPRS) de la Agencia de Contratación de la Defensa ( ) (se abre en una nueva pestaña), se prevé que el cumplimiento de este sistema pase a ser un requisito contractual una vez que el CMMC se incorpore formalmente al Suplemento del Reglamento Federal de Adquisiciones de Defensa (DFARS) del Departamento de Defensa (se abre en una nueva pestaña) este año. Los contratistas deben pasar ahora de la fase de planificación a la de ejecución.
Sin embargo, a pesar de que se están intensificando las medidas de control, muchas organizaciones siguen sin estar a la altura.
Si es usted contratista del Departamento de Defensa, «CMMC 2.0 » no es solo otra sigla más: es su nueva realidad. Este marco de ciberseguridad actualizado de la Agencia de Seguridad de la Industria de Defensa ( ) está transformando la forma en que la base industrial de defensa protege los datos sensibles, y ya no es opcional.
Whether you're beginning your compliance journey or preparing for a third-party assessment, this comprehensive guide will walk you through everything you need to know about CMMC 2.0—including how Tanium simplifies and helps accelerate your path to compliance.
¿Qué es el CMMC 2.0 y por qué es importante?
La norma CMMC 2.0 introduce una estructura modernizada con tres niveles distintos de madurez en materia de ciberseguridad, que sustituye al modelo original de cinco niveles. Cada nivel se ajusta al grado de confidencialidad de los datos que se gestionan y define con mayor detalle las expectativas de seguridad correspondientes.
Este modelo hace hincapié en los avances cuantificables y en la validación formal, y exige a los contratistas que demuestren su cumplimiento mediante autoevaluaciones, evaluaciones realizadas por terceros o auditorías llevadas a cabo por las autoridades públicas, en función del nivel de certificación requerido.
En la práctica, esto significa que el nivel 2 del CMMC incorpora los 110 controles de la norma SP 800-171 del Instituto Nacional de Estándares y Tecnología (NIST), mientras que el nivel 3 incluye un subconjunto de la norma SP 800-172. Estos niveles refuerzan las prácticas de ciberseguridad a través de ámbitos claramente definidos, como el control de acceso, la gestión de la configuración y la formación en materia de sensibilización, y cada uno de ellos está diseñado para fomentar una cultura de seguridad resiliente y garantizar la rendición de cuentas a lo largo de toda la cadena de suministro.
Históricamente, la ciberseguridad de la cadena de suministro se ha basado en gran medida en modelos basados en la confianza y en herramientas obsoletas, como hojas de cálculo y cuestionarios binarios, lo que ha dado lugar a importantes lagunas en materia de visibilidad y rendición de cuentas.
El programa CMMC aborda estos retos mediante la aplicación de prácticas de ciberseguridad estandarizadas y cuantificables en toda la base industrial de defensa. Su objetivo no es solo garantizar el cumplimiento normativo, sino también fomentar una cultura de seguridad proactiva y resiliente. Al exigir a los contratistas que demuestren su madurez mediante auditorías y la mejora continua, el CMMC 2.0 contribuye a reducir el riesgo en toda la cadena de suministro al promover medidas de protección coherentes y exigibles.
Abordar el cumplimiento de la norma CMMC puede resultar complicado, pero no tiene por qué serlo. En este breve vídeo, obtendrá una visión general clara y concisa de qué es el CMMC y por qué es importante para las organizaciones del DIB. Este vídeo ofrece un resumen sencillo y práctico que le ayudará a seguir adelante con confianza.
En definitiva, el CMMC 2.0 representa la evolución de las normas de seguridad en el sector de la defensa, al armonizar la formación, los marcos normativos y las evaluaciones para garantizar que todos los contratistas —independientemente de su tamaño— puedan cumplir el objetivo del Departamento de Defensa de proteger la seguridad nacional mediante una ciberdefensa resiliente y responsable.
Comprensión de los niveles 2.0 del CMMC: desde el nivel básico hasta el de experto
El CMMC 2.0 simplifica el modelo original de cinco niveles reduciéndolo a tres niveles progresivos, cada uno de ellos alineado con normas federales y requisitos de evaluación específicos.
Sin embargo, no todas las organizaciones tienen que cumplir la misma norma. Ahí es donde entra en juego el modelo por niveles:
| Nivel CMMC | Ámbito de aplicación | Requisitos | Tipo de evaluación |
|---|---|---|---|
| Nivel 1 (Básico) | Para organizaciones que gestionan únicamente FCI | 17 prácticas básicas de ciberseguridad ajustadas a la norma FAR 52.204-21 | Autoevaluación anual |
| Nivel 2 (Avanzado) | Para las organizaciones que gestionan información controlada (CUI) | 110 controles conformes con la norma NIST SP 800-171 | Evaluado cada tres años por una organización de evaluación independiente certificada (C3PAO) |
| Nivel 3 (Experto) | Para las organizaciones que prestan apoyo a programas clave del Departamento de Defensa | Subconjunto de prácticas del NIST SP 800-172 centrado en requisitos más exigentes en materia de detección de amenazas, análisis y defensa proactiva | Evaluaciones dirigidas por el Departamento de Defensa |
Cada nivel se basa en el anterior, lo que mejora la capacidad de la organización para detectar las amenazas cibernéticas, responder a ellas y recuperarse de ellas.
Objetivos clave del CMMC 2.0
Entonces, ¿qué es exactamente lo que pretende lograr el CMMC 2.0 ?
En esencia, se trata de elevar el nivel de ciberseguridad en toda la cadena de suministro del sector de la defensa. Esto es lo que pretende hacer:
- Proteja la información sensible (CUI/FCI)
- Cumplir con las normas de ciberseguridad vigentes (por ejemplo, NIST SP 800-171)
- Cree un modelo probado y escalable
- Fomentar la rendición de cuentas mediante evaluaciones
- Fomentar la madurez y la transparencia en la implementación
¿Quién debe cumplir con la normativa CMMC?
Cualquier organización —comercial, académica o de otro tipo— que maneje información clasificada como FCI o CUI en el marco de un contrato con el Departamento de Defensa (DoD), incluidos los contratistas principales y los subcontratistas, debe alcanzar el nivel adecuado de CMMC 2.0.
Requisitos para el cumplimiento de la norma CMMC 2.0
Las organizaciones que deseen cumplir con la normativa deben demostrar:
- Detección e inventario de activos en tiempo real
- Gestión de vulnerabilidades y parches
- Identidad y control de acceso
- Garantía de la integridad del sistema
- Configuraciones básicas seguras
- Supervisión continua y respuesta ante incidentes
...todo lo cual debe estar documentado, ser susceptible de auditoría y mantenerse de forma continua.
Estos requisitos operativos se corresponden directamente con el marco CMMC 2.0 , que se articula en torno a 14 ámbitos (frente a los 17 de la versión 1.0) y 110 prácticas alineadas con la norma NIST SP 800-171. Cada ámbito, desde el control de acceso hasta la formación en sensibilización, incluye requisitos específicos destinados a fomentar una cultura de ciberseguridad resiliente.
Entre los requisitos cambiantes, las amenazas en constante evolución y la presión por hacerlo bien antes de una auditoría, muchas organizaciones tienen dificultades para pasar de la planificación a la ejecución. Por eso hemos dividido el proceso en una lista práctica de seis pasos, para ayudarle a ponerse en marcha, mantener la concentración y avanzar con confianza.
Una práctica lista de verificación de 6 pasos para el cumplimiento de la norma CMMC 2.0
Independientemente de en qué punto del proceso de cumplimiento se encuentre —ya sea que acabe de empezar o se esté preparando para una evaluación externa—, esta lista de comprobación simplificada y práctica puede servir de guía a su organización para alcanzar el nivel de preparación CMMC 2.0 :
- Conozca su nivel
- Evalúe cuál es su situación
Comprobación rápida de la preparación Pregúntese: ✓ ¿Cuántos ordenadores hay en su red
? ¿Y están autorizados a estar ahí? ✓ ¿Qué aplicaciones están instaladas? ¿Están todas actualizadas? ✓ ¿Qué están haciendo los usuarios? ¿Está autorizado? ✓ ¿En qué medida se siente seguro con respecto a su situación en materia de parches,
vulnerabilidadesy riesgos?
Estas preguntas le ayudan a detectar a tiempo los puntos ciegos y
a orientarsus prioridades de corrección. Si no puede responder a estas preguntas con seguridad,
sus auditores tampoco podrán hacerlo.
- Haga un mapa de su entorno
- Evaluar y priorizar los riesgos
- Poner en práctica el seguimiento y la respuesta
- Documentar y validar
Es fundamental disponer de pruebas claras y bien estructuradas, tanto para las autoevaluaciones como para las evaluaciones realizadas por terceros. Esto demuestra que sus prácticas de ciberseguridad no son puntuales, sino coherentes, repetibles y diseñadas para perdurar. Ese nivel de madurez operativa es lo que buscan los auditores y lo que distingue a las organizaciones resilientes.
Y esa es la cuestión. La madurez no consiste únicamente en aprobar un examen, sino en demostrar que es capaz de mantener ese nivel. Por eso, la preparación para una auditoría no es una tarea que se realice una sola vez. Es una cuestión de mentalidad.
Madurez del proceso CMMC: más allá de la certificación puntual
El cumplimiento normativo ya no se limita a superar una auditoría puntual. En cambio, hace hincapié en la madurez continua de los procesos de ciberseguridad: en qué medida dichos procesos están bien documentados, institucionalizados y se mejoran de forma continua con el paso del tiempo.
Sin embargo, las empresas contratistas suelen abordar las vulnerabilidades de ciberseguridad mediante un complejo entramado de productos puntuales que no funcionan de forma conjunta, resultan difíciles de gestionar y no les proporcionan visibilidad sobre las amenazas cibernéticas presentes en la red.
Si los contratistas siguen utilizando estos productos puntuales en lugar de una plataforma unificada para corregir vulnerabilidades concretas, aumentarán al mismo tiempo los costes, la complejidad y el riesgo, y es posible que no puedan cumplir plenamente los requisitos del CMMC sin introducir cambios significativos.
[Véase también: Cumplimiento normativo frente a gestión de riesgos: definición y diferencias]
El CMMC no consiste únicamente en superar una auditoría, sino en institucionalizar las mejores prácticas en materia de ciberseguridad.
Tanium impulsa este cambio mediante:
- Una vista unificada de los flujos de trabajo relacionados con la higiene informática y el cumplimiento normativo
- Puntos de referencia cuantificables en materia de configuración y vulnerabilidades
- Informes de cumplimiento automatizados y preparados para auditorías
- Integración con herramientas como Microsoft, ServiceNow y otras
Mediante la mejora continua de los procesos, las organizaciones pueden pasar del nivel de madurez «Ejecutado» al de «Optimización», lo que demuestra que no solo cumplen con los requisitos, sino que también son resilientes y proactivas.
Cómo ayuda Tanium a las organizaciones a cumplir con los requisitos del CMMC 2.0
Aunque Tanium no es un evaluador de nivel C3PAO , proporcionamos a nuestros clientes información detallada y precisa sobre las prácticas de ciberseguridad necesarias para ayudarles a implantar una infraestructura informática que cumpla con los requisitos del CMMC. Con Tanium, los contratistas disponen de una plataforma única y unificada que integra la gestión y la seguridad de los terminales, lo que facilita la recopilación de datos de los mismos.
Nuestra plataforma ofrece una amplia supervisión de amenazas, acompañada de un análisis detallado de los incidentes, lo que permite a los contratistas identificar, aislar y mitigar las amenazas en tiempo real. Esto simplifica la gestión de los entornos híbridos, mejora la comprensión que tienen los contratistas de su entorno y permite a la comunidad del Departamento de Defensa alcanzar su objetivo final de una mayor resiliencia frente a los riesgos cibernéticos.
Desde la identificación de activos hasta la elaboración de informes listos para auditorías, Tanium le ayuda a desarrollar una estrategia de cumplimiento normativo fundamentada en datos y que pueda defenderse ante cualquier inspección.
Capacidades técnicas
La solución Tanium Autonomous Endpoint Management (AEM) cumple con numerosos requisitos de conformidad con la norma CMMC 2.0 al ofrecer:
- Visibilidad en tiempo real: La supervisión continua de los puntos finales ofrece visibilidad en tiempo real del entorno informático, lo que permite una gestión eficaz de los activos y unos controles de seguridad alineados con el nivel 2.0 del CMMC.
- Higiene de seguridad proactiva: La evaluación y la mejora continuas del estado de seguridad de los terminales ayudan a las organizaciones a mantener una sólida higiene de ciberseguridad, un componente esencial para cumplir los requisitos fundamentales de la norma CMMC 2.0 .
- Gestión automatizada de terminales: Automatización de las tareas de aplicación de parches y configuración para garantizar la seguridad y el cumplimiento normativo de los sistemas, lo que respalda directamente los requisitos de gestión y mantenimiento de la configuración establecidos en el nivel 2.0 del CMMC.
- Respuesta inteligente ante incidentes: Las herramientas de detección y mitigación rápidas permiten resolver rápidamente las amenazas, lo que cumple con los requisitos de la norma CMMC 2.0 en materia de respuesta ante incidentes y gestión de riesgos.
- Informes de cumplimiento continuos: Genere informes y registros automatizados listos para auditoría que cumplan con los requisitos de rendición de cuentas y agilicen la preparación para la evaluación del CMMC.
Cobertura de control
| Familia de control | Porcentaje de cobertura* |
|---|---|
| Evaluación de riesgos | 100% |
| Gestión de la configuración | 75% |
| Respuesta ante incidentes | 65% |
*Los porcentajes de cobertura de los productos se basan en las capacidades actuales de los mismos, en lo que respecta a la gama de productos de Tanium, y están sujetos a cambios a medida que dicha gama evolucione.
Compatible con los controles del nivel 3
| ID de control | Descripción |
|---|---|
| CM.L3-3.4.2e | Corrección automatizada de sistemas no autorizados |
| CM.L3-3.4.3e | Inventario continuo de componentes |
| IA.L3-3.5.3e | Aplicación de la política de acceso a sistemas de confianza |
| RA.L3-3.11.3e | Análisis de riesgos y predicción de amenazas |
| SI.L3-3.14.6e | Integración proactiva de información sobre amenazas |
Ventajas estratégicas
Más allá de los controles técnicos, Tanium permite a las organizaciones acelerar su preparación para el CMMC y ampliar sus iniciativas de cumplimiento mediante:
- Optimización del SPRS: Supervise de forma continua el estado de cumplimiento, identifique las deficiencias y resuelva los puntos del Plan de Acción y los Hitos (POA&M) dentro de los plazos establecidos.
- Control del cumplimiento normativo en la cadena de suministro: . Supervise el cumplimiento de los subcontratistas para garantizar que se cumplan los requisitos fundamentales que se derivan de la normativa.
- Preparación para las evaluaciones: Proporcione la documentación necesaria para agilizar las evaluaciones del programa C3PAO y del Centro de Evaluación de Ciberseguridad de la Base Industrial de Defensa (DIBCAC), ayudando así a las organizaciones a mantenerse preparadas para la certificación.
Tanium ayuda a los contratistas a avanzar con confianza en su proceso de cumplimiento de la CMMC, adaptándose a las directrices clave en materia de capacidades, facilitando la presentación continua de informes y respaldando un progreso cuantificable a lo largo de los niveles de madurez del modelo.
Preguntas frecuentes sobre el CMMC
¿Todavía le cuesta entender el CMMC? Nos encargamos de todo. Estas respuestas breves y concisas abordan las preguntas más habituales y son ideales para ponerse al día sin perder tiempo.
¿Cuánto cuesta la certificación CMMC?
Los costes varían en función del nivel, el tamaño de la organización y los controles ya existentes, oscilando entre 3,000 y más de 100,000 dólares, dependiendo del alcance, el nivel y el grado de preparación.
¿Cuánto tiempo dura el proceso de certificación CMMC?
Entre 3 y 12 meses, en función de su preparación.
¿Quién debe contar con la certificación CMMC?
Todos los contratistas principales y subcontratistas que manejen información clasificada (CUI) o información de seguridad (FCI) en la cadena de suministro del Departamento de Defensa.
¿Cuál es la diferencia entre CMMC 2.0, el NIST y FedRAMP?
A continuación se muestra una comparación entre el CMMC 2.0 y otros marcos federales importantes en materia de ciberseguridad:
| Marco | Ámbito de aplicación | Exigido por | Tipo de evaluación |
|---|---|---|---|
| CMMC 2.0 | CI/CUI + madurez de la implementación | Contratistas del Departamento de Defensa | 3PAO/Impulsado por el Gobierno |
| NIST 800-171 | Protección contra la corrosión interna (CUI) | Organismos civiles | Autoevaluación |
| FedRAMP | Seguridad de los proveedores de servicios en la nube | Organismos federales | Supervisión por parte de terceros y de la Oficina de Gestión del Programa (PMO) de FedRAMP |
La norma CMMC 2.0 se basa directamente en los fundamentos de la norma NIST SP 800-171, incorporando sus 110 controles en el nivel 2 y añadiendo un subconjunto de la norma NIST SP 800-172 en el nivel 3. Si su organización ya cumple con las normas del NIST, va por buen camino; sin embargo, el CMMC incorpora un modelo de madurez y unos requisitos de evaluación formales que van más allá de la autodeclaración.
En cuanto a FedRAMP, aunque se centra en la seguridad de los proveedores de servicios en la nube para los organismos federales, existe cierto solapamiento en los requisitos de control. Se han mantenido conversaciones sobre una posible reciprocidad entre el CMMC y el FedRAMP, pero, a fecha de 2025, no existe ningún acuerdo formal. Las organizaciones que operan en ambos marcos pueden beneficiarse de la documentación compartida y deben estar al tanto de las actualizaciones que publiquen el Departamento de Defensa (DoD) y las oficinas del programa FedRAMP.
¿Qué nivel se requiere para la CUI?
Es obligatorio cumplir con el nivel 2 (avanzado) del CMMC.
Recursos adicionales
- ¿En qué consiste la gestión del cumplimiento normativo?
- Cómo realizamos el seguimiento de los indicadores clave de cumplimiento
- Lista de comprobación para el cumplimiento de la norma PCI DSS
La norma CMMC 2.0 no es solo una normativa: es un requisito imprescindible para la seguridad nacional y la excelencia operativa, impulsado por la evolución de la normativa y las expectativas en materia de cumplimiento. Tanium le acompaña en cada paso, desde la evaluación inicial hasta la mejora continua.
Tanium permite a los contratistas y subcontratistas del sector de la defensa cumplir y superar con confianza los requisitos de la norma CMMC 2.0 . Al combinar la visibilidad en tiempo real, la gestión automatizada de los dispositivos finales y la mitigación proactiva de riesgos, Tanium contribuye a proteger los datos confidenciales, reducir los riesgos informáticos y mantener la resiliencia operativa a largo plazo.
Solicite una demostración personalizada en para descubrir cómo Tanium puede ayudarle en su proceso de implantación del CMMC.
