Logro de Cumplimiento CMMC Nivel 2

¿Qué hace Logro de Cumplimiento CMMC Nivel 2?

Cuándo Usar

• Cuando una organización en la Base Industrial de Defensa (DIB) almacena, procesa o transmite Información Controlada No Clasificada (CUI) bajo un contrato del DoD.
• Cuando un contrato incluye DFARS 252.204-7012 (salvaguarda/reporte de incidentes), -7019/-7020 (autoevaluación NIST 800-171 + SPRS), o el nuevo -7021 (requisito CMMC).
• Cuando se prepara para una evaluación de terceros C3PAO o una evaluación liderada por el DoD.
• Cuando deba calcular, publicar o mejorar una puntuación SPRS basada en la Metodología de Evaluación del DoD NIST SP 800-171.
• Cuando redacte o remedie un Plan de Seguridad del Sistema (SSP) y POA&M para los 110 requisitos.
• Cuando defina el alcance de qué activos caen dentro del límite de CUI/FCI (activos CUI, activos de protección de seguridad, activos gestionados por riesgo del contratista, fuera de alcance).

Requisitos Previos

• Conocimiento de qué contratos portan CUI y las categorías CUI involucradas (consulte el contrato y el Registro CUI del DoD).
• Un inventario de activos y diagrama de red para poder definir el alcance de la evaluación CMMC antes de evaluar los controles.
• Los requisitos de NIST SP 800-171 Rev 2 y las ponderaciones de puntuación de la Metodología de Evaluación del DoD.
• Un SSP documentado (su ausencia es en sí misma un requisito fallido — 3.12.4).
• Identificación de cualquier Proveedor de Servicios Externos (ESP) / servicios en la nube que toquen CUI, y si cumplen con FedRAMP Moderate (o equivalencia).

Flujo de Trabajo

1. Determinar aplicabilidad y categorías CUI

Confirme que el contrato requiere CMMC Nivel 2 (CUI presente, no solo FCI). Los contratos solo FCI son Nivel 1 (los 15 requisitos de FAR 52.204-21). Identifique las categorías CUI del contrato y del Registro CUI del DoD.

2. Definir el alcance del entorno

Clasifique cada activo en una de las categorías de alcance CMMC:

• Activos CUI — procesan/almacenan/transmiten CUI (en alcance, evaluados contra todos los controles aplicables).
• Activos de Protección de Seguridad — brindan seguridad al entorno CUI (en alcance).
• Activos Gestionados por Riesgo del Contratista — podrían pero no están destinados a manejar CUI; gestionados por política.
• Activos Especializados (IoT/OT, GFE, equipo de prueba) — documentados, evaluación limitada.
• Fuera de Alcance — aislados física o lógicamente del CUI.

Minimice el alcance deliberadamente: un enclave CUI pequeño y bien segmentado es mucho más barato de certificar que una red plana.

3. Implementar los 110 requisitos (NIST SP 800-171 Rev 2)

Trabaje las 14 familias (3.1–3.14). Para cada requisito, implemente y luego escriba el cómo en el SSP. Victorias tempranas de alto apalancamiento: MFA (3.5.3), criptografía validada por FIPS (3.13.11), registro de auditoría (3.3.x), control de acceso + mínimo privilegio (3.1.x) y respuesta a incidentes (3.6.x).

4. Puntuar con la Metodología de Evaluación del DoD (SPRS)

Comience en 110 y reste el valor ponderado (1, 3 o 5 puntos) de cada requisito no cumplido; se aplica crédito parcial a un pequeño número de controles (p. ej., MFA, cripto FIPS). El resultado es la puntuación SPRS (máximo 110; el piso de la metodología es −203). Publique la puntuación, la fecha del SSP y el alcance de la evaluación en SPRS (o eMASS para evaluaciones superiores).

5. Construir un POA&M conforme

Documente cada requisito no cumplido con propietario, remediación e hito. Restricciones bajo la regla CMMC: un estado Condicional requiere una puntuación de al menos 80% (≥ 88 de 110), solo los requisitos elegibles para POA&M pueden diferirse (los requisitos de seguridad de mayor ponderación deben cumplirse completamente — verifique la elegibilidad contra 32 CFR Parte 170), y todos los elementos del POA&M deben cerrarse dentro de 180 días para convertir Condicional → Final.

6. Evaluar (auto o C3PAO)

• Nivel 1 y un subconjunto de Nivel 2 = autoevaluación anual con afirmación en SPRS.
• Nivel 2 (la mayoría de contratos CUI) = evaluación de certificación C3PAO trienal.
• Nivel 3 = evaluación del DoD (DIBCAC) además del Nivel 2, añadiendo requisitos mejorados de SP 800-172. Los evaluadores evalúan cada objetivo como CUMPLIDO / NO CUMPLIDO / N/A con evidencia (examinar/entrevistar/probar). Un oficial senior presenta la afirmación anual de cumplimiento continuo.

7. Mantener la certificación

La certificación es válida tres años con afirmaciones anuales. Mantenga el SSP, re-puntúe ante cambios, mantenga la evidencia actualizada y retroalimente los cambios significativos en la evaluación.

Conceptos Clave

Concepto	Definición
FCI	Información de Contrato Federal — Nivel 1 la protege (FAR 52.204-21).
CUI	Información Controlada No Clasificada — Nivel 2 la protege (NIST 800-171).
110 requisitos	Los requisitos de seguridad de SP 800-171 Rev 2 en 14 familias.
SPRS	Sistema de Riesgo de Desempeño del Proveedor — donde se publica la puntuación 800-171.
Metodología de Evaluación del DoD	La ponderación de 1/3/5 puntos utilizada para calcular la puntuación desde 110.
C3PAO	Organización de Evaluación de Terceros CMMC — realiza la certificación de Nivel 2.
POA&M	Plan de Acción e Hitos — limitado, debe cerrarse en 180 días para estado Final.
Condicional vs Final	Condicional = POA&M abierto (puntuación ≥ 80%); Final = todos los controles cumplidos.
ESP	Proveedor de Servicios Externo — debe cumplir FedRAMP Moderate / equivalencia para CUI.
Categorías de alcance	CUI / Protección de Seguridad / Gestionado por Riesgo del Contratista / Especializado / Fuera de Alcance.

Herramientas y Sistemas

• NIST SP 800-171 Rev 2 — los 110 requisitos (y 800-171A para objetivos de evaluación).
• Metodología de Evaluación del DoD NIST SP 800-171 — las ponderaciones de puntuación.
• 32 CFR Parte 170 (regla del Programa CMMC) y 48 CFR / DFARS 252.204-7021 (regla de adquisición).
• SPRS — publicación de puntuación; SAM.gov para registro.
• SP 800-172 / 800-172A — requisitos mejorados para Nivel 3.
• Herramientas GRC / de cumplimiento — para gestionar el SSP, POA&M y evidencia (p. ej., Xacta, RegScale, rastreadores estilo FutureFeed).

Escenarios Comunes

• El contratista principal fluye CUI a un subcontratista. El subcontratista necesita su propio alcance Nivel 2, SSP, puntuación SPRS y (muy probablemente) certificación C3PAO.
• La puntuación está por debajo de 88. Priorice los requisitos no cumplidos de mayor ponderación (5 puntos, luego 3 puntos) para superar el umbral condicional y reducir el POA&M.
• La nube contiene CUI. Confirme que el servicio está autorizado FedRAMP Moderate o cumple con equivalencia; documente la división de responsabilidades.
• Red plana. Re-ajuste el alcance en un enclave CUI segmentado para reducir la superficie de evaluación antes de gastar en controles.
• Afirmación anual vencida. Un oficial senior afirma el cumplimiento continuo en SPRS; si se deja vencer, se corre el riesgo de perder la elegibilidad del contrato.

Formato de Salida

Produzca un Informe de Preparación CMMC Nivel 2 usando assets/template.md, que contenga:

1. Aplicabilidad y categorías CUI — por qué aplica Nivel 2.
2. Alcance — activos por categoría de alcance y referencia del diagrama de límites CUI.
3. Estado de controles por familia — cumplido / no cumplido / N/A en las 14 familias.
4. Puntuación SPRS — puntuación calculada, deducciones y brecha hacia 110 y hacia el umbral de 88.
5. POA&M — requisitos no cumplidos, verificación de elegibilidad, propietarios, hitos de 180 días.
6. Ruta de evaluación — auto vs C3PAO, fecha objetivo, propietario de la afirmación.
7. Hoja de ruta de remediación — secuenciada por valor de punto y esfuerzo.

Use scripts/process.py para calcular la puntuación SPRS desde un JSON de estado de controles, marcar preocupaciones de elegibilidad de POA&M e informar la brecha hacia el umbral de certificación condicional.