CMMC Fase 1 está activa: ¿Qué deben mostrar la solicitud y el registro SPRS?
Asigne una solicitud CMMC a la fase de implementación en vivo, la cláusula de solicitud, el nivel requerido, el alcance de la evaluación, el estado de SPRS y la afirmación antes de proponer el trabajo de evaluación.
Señales que conviene observar
- Una solicitud o subcontrato del Departamento de Defensa con nombre identifica el nivel CMMC y los sistemas de información del contratista que procesarán, almacenarán o transmitirán FCI o CUI.
- La ruta de autoevaluación requerida, evaluación C3PAO o evaluación DIBCAC está vinculada a un estado actual de SPRS en lugar de inferirse de una fecha de fase.
- Una propuesta o decisión de opción tiene una fecha, pero el CMMC UID, la moneda del estado, el alcance de la evaluación o la afirmación anual faltan o están en disputa.
El 13 de agosto de 2026, el programa de Certificación del Modelo de Madurez de Ciberseguridad (CMMC) está en Fase 1. Esa fecha no le dice al proveedor de evaluación qué cotización comercial. La evidencia de control es la solicitud o subcontrato real: el nivel CMMC requerido, la disposición y cláusula del Suplemento del Reglamento Federal de Adquisiciones de Defensa (DFARS) aplicable, los sistemas de información del contratista en el alcance y el estado actual y la afirmación registrados en el Sistema de Riesgo de Desempeño del Proveedor (SPRS).
Esta distinción es importante para el responsable de desarrollo de negocio de un proveedor de evaluaciones CMMC que sigue grupos autorizados de Telegram sobre la base industrial de defensa, la contratación pública y el cumplimiento de proveedores. Una publicación que diga «nuestro contratista principal necesita CMMC este trimestre» puede apuntar a un requisito real para la adjudicación, al ejercicio de una opción, a una revisión temprana de preparación o a una suposición basada en una fase futura. Si el responsable de desarrollo de negocio ve la solicitud de respaldo después de que otro proveedor haya delimitado el alcance, quizá sea demasiado tarde para entrar en el calendario de evaluación. Si cotiza basándose únicamente en la fecha de la fase, puede ofrecer la evaluación equivocada.
El mapa de evidencia es: fecha de la decisión → texto de la adquisición → información manejada → estado CMMC requerido → alcance de la evaluación y UID → estado y afirmación actual SPRS. Una ruptura en esa cadena define la siguiente revisión; la frase “necesita CMMC” no.
Definición: la implementación gradual cambia la cobertura de adquisiciones, no el requisito mencionado
CMMC es el marco del Departamento de Defensa para evaluar si un contratista ha implementado las protecciones de seguridad de la información requeridas para la Información del Contrato Federal (FCI) o la Información No Clasificada Controlada (CUI) en sistemas de contratistas no clasificados. FCI es información no pública proporcionada o generada para el Gobierno en virtud de un contrato. CUI es información sujeta a controles de salvaguarda o difusión según la ley, la regulación o la política gubernamental.
El programa generalmente alcanza solicitudes y contratos del Departamento de Defensa por encima del umbral de microcompra cuando los sistemas del contratista procesan, almacenan o transmiten FCI o CUI, incluidos artículos comerciales pero excluyendo premios exclusivamente para artículos disponibles comercialmente. No se aplica a los sistemas de información federales que los contratistas operan para el Gobierno. Las normas graduales y las exenciones aprobadas pueden reducir ese límite general.
32 CFR 170.3 establece cuatro fases de implementación. El complementario DFARS regla final de adquisición entró en vigor el 10 de noviembre de 2025, con lo que se inició la Fase 1. Las fechas resultantes son:
- Fase 1: del 10 de noviembre de 2025 al 9 de noviembre de 2026. El Departamento de Defensa tiene la intención de incluir el Nivel 1 (Auto) o el Nivel 2 (Auto) para las concesiones aplicables y puede requerir el Nivel 2 (C3PAO) a su discreción.
- Fase 2: del 10 de noviembre de 2026 al 9 de noviembre de 2027. Se agrega el nivel 2 (C3PAO) para las solicitudes y contratos aplicables; El Departamento de Defensa puede requerir el nivel 3 (DIBCAC).
- Fase 3: del 10 de noviembre de 2027 al 9 de noviembre de 2028. El Nivel 2 (C3PAO) se expande a través de premios aplicables y ejercicios de opciones específicos, mientras que el Nivel 3 se aplica a sus premios aplicables.
- Fase 4: a partir del 10 de noviembre de 2028. La implementación completa alcanza a todas las solicitudes y contratos aplicables, incluidos los períodos de opciones relevantes en contratos más antiguos.
Se trata de fechas de cobertura previstas, no sustitutos del texto de adquisiciones. La Fase 1 todavía permite al Departamento de Defensa exigir el Nivel 2 (C3PAO) a su discreción.
Leer el expediente de contratación antes de clasificar la evaluación.
La solicitud más sólida contiene un número de solicitud o registro de subcontrato, una fecha de propuesta u opción y el texto CMMC. DFARS 252.204-7025 le da a la solicitud un complemento para el Nivel 1 (Auto), Nivel 2 (Auto), Nivel 2 (C3PAO) o Nivel 3 (DIBCAC). DFARS 252.204-7021 traslada el nivel seleccionado a la ejecución del contrato.
El proveedor debe conservar cinco campos de ese registro:
- Identificador de la licitación, contrato o subcontrato y fecha pertinente.
- Nivel CMMC exacto y modalidad de evaluación exigidos.
- Si el sistema afectado procesará, almacenará o transmitirá FCI o CUI.
- Cada sistema de información del contratista y su identificador único CMMC (UID).
- Si la decisión corresponde a una adjudicación, subcontratación, ejercicio de opción o ampliación del periodo.
Esto evita un error común: convertir “nosotros manejamos CUI” directamente en “reservar un C3PAO”. La oficina del programa o la actividad requeridora selecciona el estado de la adquisición. Durante la fase de implantación, su determinación y el texto del documento siguen siendo decisivos.
Para un problema adyacente del marco voluntario, el NIST CSF 2.0 Evaluación de perfil actual explica por qué un perfil de seguridad deseado no es el mismo objeto que un estado de elegibilidad para un contrato federal.
Haga coincidir el nivel con el propietario de la evidencia correcto
Los tres niveles CMMC no producen un certificado intercambiable.
- Nivel 1 (Yo) cubre 15 requisitos de protección. La organización realiza la evaluación anualmente, registra el resultado en SPRS y debe cumplir con todos los requisitos; no se permite ningún plan de acción ni hitos (POA&M).
- Nivel 2 cubre los 110 requisitos de NIST SP 800-171 Revisión 2 incorporado por 32 CFR Parte 170. Una adquisición puede requerir el Nivel 2 (Auto) o una evaluación de certificación realizada por una CMMC organización de evaluación de terceros autorizada o acreditada. (C3PAO).
- Nivel 3 (DIBCAC) agrega 24 requisitos seleccionados de NIST SP 800-172 y es evaluado por el Centro de evaluación de ciberseguridad de la base industrial de defensa (DIBCAC). Un estado de Nivel Final 2 (C3PAO) para el alcance de Nivel 3 es un requisito previo.
Para el Nivel 2, la frase “ya tenemos un puntaje de 800-171” no es suficiente. Pregunte si SPRS muestra el Nivel 2 (Auto) o C3PAO, si es Condicional o Final, qué alcance del sistema y códigos de Entidad Comercial y Gubernamental (CAGE) cubre y su Fecha de Estado CMMC. Una revisión de preparación, una evaluación NIST y una evaluación de certificación C3PAO pueden examinar controles relacionados, pero no crean el mismo registro de contratación.
Estado, afirmación y alcance deben permanecer conectados
La elegibilidad para el premio es más que un certificado PDF. Según DFARS 204.7503, el oficial de contrataciones verifica que SPRS tenga un estado actual en el nivel requerido o superior para cada UID que identifica el oferente. El UID es un identificador de diez caracteres asignado a una evaluación CMMC para un sistema de información de contratista. También deberá estar vigente la correspondiente declaración de cumplimiento continuo.
Las reglas de fechas constituyen un libro de pruebas útil:
- El estado Final de Nivel 1 (Autoevaluación) se mantiene vigente por un máximo de un año.
- Los estados Finales de Nivel 2 (Autoevaluación), Nivel 2 (C3PAO) y Nivel 3 (DIBCAC) pueden mantenerse vigentes por un máximo de tres años.
- La declaración de cumplimiento continuo debe tener menos de un año y renovarse anualmente.
- El estado Condicional de Nivel 2 o 3 se limita a 180 días; todo POA&M permitido debe cerrarse dentro de ese plazo para alcanzar el estado Final.
- Los artefactos de evaluación se conservan durante seis años desde la fecha de estado CMMC; los artefactos de certificación de Nivel 2 y 3 se someten a hash conforme a la Parte 170.
Un Oficial Afirmante es un alto representante dentro de la organización con responsabilidad y autoridad para dar fe de que los requisitos aplicables siguen implementados en todo el alcance de la evaluación. Un consultor puede identificar evidencia faltante o ayudar a preparar la organización, pero no puede hacer esa afirmación por el contratista.
La misma disciplina de identidad se aplica a la evidencia de la cadena de suministro de software: el artículo sobre dependencia y evidencia de archivos bloqueados muestra por qué un archivo actual debe vincularse al producto y la decisión exactos, en lugar de aceptarse únicamente por el nombre del archivo.
Ejemplo: “Nivel 2 para octubre” todavía deja tres proyectos diferentes
Considere un fragmento ilustrativo creado para este artículo, no un mensaje de cliente:
“Prime dice que el nivel 2 estará en octubre. Pusimos una puntuación en SPRS el año pasado. Necesito que alguien lo revise”.
El 13 de agosto de 2026, Octubre todavía se encuentra en la Fase 1. Pero la fase no fija la ruta. Quedan tres posibilidades limitadas:
- El subcontrato solo maneja FCI y el contratista principal aún no ha indicado la cláusula o nivel requerido. Primero hay que aclarar los documentos y el flujo de información.
- El subcontrato maneja CUI y exige Nivel 2 (Autoevaluación). El proyecto puede ser una revisión de alcance, evidencia y estado SPRS vigente, no un encargo C3PAO.
- La licitación o cláusula trasladada por el contratista principal exige expresamente Nivel 2 (C3PAO). El proveedor debe confirmar alcance, códigos CAGE, preparación del UID, calendario y si la decisión acepta un estado Condicional o exige uno Final.
Aún se desconocen el idioma de la solicitud, los sistemas que contienen CUI, el tipo de estado, la fecha del estado, la afirmación anual y la autoridad del autor del mensaje. Esas incógnitas impiden una cotización segura; no hacen que el post sea inútil.
Cuando la mención grupal se convierte en un proyecto revisable
Una oportunidad revisable CMMC tiene una decisión de adquisición fechada y al menos una conexión rota en el mapa de evidencia. Los ejemplos útiles incluyen una solicitud que nombra el Nivel 2 (C3PAO), mientras que el proveedor solo puede mostrar el Nivel 2 (Auto), un ejercicio de opción que se acerca mientras la afirmación anual está obsoleta, o un nuevo sistema que ingresa al contrato sin un UID asignado y un alcance de evaluación.
TOP Prospect puede encontrar y agrupar esas discusiones incompletas solo en grupos Telegram a los que un usuario se conecta intencionalmente y está autorizado a acceder. Puede preservar el mensaje original, la fuente, la hora y el contexto relacionado, eliminar duplicados y clasificar al candidato para revisión humana. No puede determinar qué cláusula se aplica legalmente, inspeccionar SPRS, realizar una evaluación de CMMC, emitir un estado, hacer la afirmación del contratista o contactar al autor del mensaje. Opciones de precios y acceso cubre la capa de descubrimiento; el personal cualificado de evaluación y contratación es el propietario de la decisión sobre las pruebas.
FAQ
¿Qué fase de implementación de CMMC está activa el 13 de agosto de 2026?
La fase 1 está activa. Comenzó cuando la regla de adquisición complementaria DFARS entró en vigor el 10 de noviembre de 2025. La fase 2 comienza el 10 de noviembre de 2026, por lo que su tratamiento C3PAO de Nivel 2 más amplio aún no está vigente.
¿La Fase 1 significa que cada proveedor del Departamento de Defensa necesita una evaluación C3PAO?
No. La Fase 1 se centra en los requisitos aplicables de Nivel 1 (Auto) y Nivel 2 (Auto), mientras que el Departamento de Defensa puede exigir el Nivel 2 (C3PAO) a su discreción. Lea la solicitud, el contrato o el flujo final real.
¿Es suficiente un certificado CMMC para demostrar la elegibilidad para el premio?
No. El oficial de contrataciones verifica el estado actual de SPRS y la afirmación de cada UID asociado con los sistemas que procesarán, almacenarán o transmitirán FCI o CUI. El nivel, el alcance y los requisitos de adquisición deben coincidir.
¿Durante cuánto tiempo permanecen vigentes los estados y afirmaciones de CMMC?
El Nivel Final 1 (Auto) es anual. Los estados finales de Nivel 2 y Nivel 3 pueden permanecer vigentes durante tres años, con afirmaciones anuales. Un estado de Nivel Condicional 2 o Nivel 3 está limitado a 180 días mientras que un POA&M permitido está cerrado.
El calendario es la primera coordenada. El texto de la adquisición, el estado requerido, el sistema UID, el alcance y la afirmación identifican el trabajo real.
Preguntas frecuentes
¿Qué fase de implementación de CMMC está activa el 13 de agosto de 2026?
La fase 1 está activa. Comenzó cuando la regla de adquisición complementaria DFARS entró en vigor el 10 de noviembre de 2025. La fase 2 comienza un año calendario después, el 10 de noviembre de 2026, por lo que su tratamiento C3PAO de nivel 2 más amplio aún no es la fase actual.
¿La Fase 1 significa que cada proveedor del Departamento de Defensa necesita una evaluación C3PAO?
No. La Fase 1 se centra en los requisitos aplicables de Nivel 1 y Nivel 2, aunque el Departamento de Defensa puede exigir el Nivel 2 C3PAO a su discreción. El lenguaje de la solicitud y del contrato, no solo el calendario, identifica el estado requerido.
¿Es suficiente un certificado CMMC para demostrar la elegibilidad para el premio?
No por sí solo. El oficial de contrataciones verifica el estado actual y la afirmación en SPRS para cada CMMC UID vinculado a un sistema de información que procesará, almacenará o transmitirá FCI o CUI en virtud de la adjudicación. El nivel y el alcance de la evaluación deben coincidir con la solicitud.
¿Cuánto tiempo permanecen vigentes los estados y afirmaciones CMMC?
El auto final del nivel 1 es anual. Los estados Final Nivel 2 Self, Final Nivel 2 C3PAO y Final Nivel 3 DIBCAC pueden permanecer vigentes durante tres años, pero sus afirmaciones deben permanecer vigentes anualmente. El estado de nivel condicional 2 o 3 está limitado a 180 días mientras un POA&M permitido esté cerrado.
Fuentes y lecturas adicionales
- 32 CFR Parte 170, Programa de certificación del modelo de madurez de ciberseguridad, vigente hasta el 11 de agosto de 2026, consultado el 13 de agosto de 2026.
- Registro Federal: CMMC Norma final del programa, 89 FR 83092, 15 de octubre de 2024
- Registro Federal: DFARS Caso 2019-D041 norma final, 90 FR 43554, 10 de septiembre de 2025
- Acquisition.gov: DFARS 252.204-7021, Cumplimiento del contratista con los requisitos de nivel CMMC, consultado el 13 de agosto de 2026.
Cómo se descubre una Signal que merece atención
La metodología muestra cómo Top Prospect encuentra y organiza Signals que conviene revisar, conserva el contexto original de Telegram, elimina duplicados y ayuda a decidir qué mirar primero. Tú decides si hacer seguimiento y qué hacer después.
