CMMC Fase 2 queda suspendida. Las obligaciones de la fase 1 permanecen.

respuesta corta

El Departamento de Guerra suspendió la Fase II del CMMC a partir del 13 de julio de 2026, mientras realiza una revisión de 60 días. La Fase I continúa vigente. Los funcionarios de contratación aún pueden requerir el Nivel 1 o el Nivel 2, y las tareas existentes de ciberseguridad, evaluación, notificación de incidentes y protección de datos de DFARS continúan independientemente de la pausa de la Fase II.

Lo que se decidió el 13 de julio de 2026

El 13 de julio de 2026, el Departamento de Guerra anunció la suspensión inmediata de la Fase II del programa de Certificación del Modelo de Madurez de Ciberseguridad hasta nuevo aviso. El anuncio oficial dice que el Departamento está utilizando un período de 60 días para revisar el programa y reducir barreras innecesarias mientras preserva la protección de la Información de Contratos Federales (FCI) y la Información No Clasificada Controlada (CUI). Ese período de 60 días es un cronograma de revisión e informes, no una fecha de finalización prometida o una fecha de reinicio de la suspensión.

Originalmente, se había programado que la fase II comenzara el 10 de noviembre de 2026. La suspensión cambia el estatus de CMMC que un funcionario de contrataciones puede designar durante la revisión; no deroga las reglas de CMMC ni borra las cláusulas contractuales que ya están en vigor. El memorando de implementación oficial dirige a los equipos de adquisición cómo implementar esa distinción.

lo que fue suspendido

Durante la suspensión, las solicitudes y contratos nuevos o modificados podrán designar únicamente:

• CMMC Nivel 1 Auto
• CMMC Nivel 2 Auto

El memorando de implementación ordena a los funcionarios de contratación eliminar o modificar las designaciones para:

• CMMC Nivel 2 C3PAO, la evaluación de certificación realizada por una organización de evaluación externa autorizada
• CMMC Nivel 3 DIBCAC, la evaluación dirigida por el gobierno para el nivel más alto de CMMC

Esta es una pausa en las designaciones de evaluación de la Fase II. No es una suspensión general de toda la actividad de CMMC, no invalida en sí mismo un certificado C3PAO existente y no prohíbe la preparación voluntaria. Las licitaciones y contratos existentes cambian mediante enmiendas o modificaciones formales. Los contratistas deben seguir el contrato operativo y las instrucciones del oficial de contrataciones hasta que se emita dicho cambio.

Lo que todavía se aplica

Las designaciones de autoevaluación de la Fase I siguen disponibles. El descripción general oficial actualizada de CMMC continúa describiendo el programa por fases y los requisitos de evaluación adjuntos a cada nivel.

También siguen siendo pertinentes deberes contractuales separados:

• DFARS 252.204-7012 todavía rige la salvaguardia de la información de defensa cubierta, la notificación de incidentes cibernéticos, el envío de software malicioso, la preservación, el acceso y el flujo de subcontratistas relevantes cuando se aplica la cláusula.
• DFARS 252.204-7020 todavía rige los requisitos de evaluación del Departamento de Defensa NIST SP 800-171, el acceso para evaluaciones y el flujo cuando corresponda.
• El Departamento puede continuar con evaluaciones gubernamentales seleccionadas fuera de la ruta de designación suspendida de Nivel 2 C3PAO y Nivel 3.

La regla práctica es simple: determinar las obligaciones a partir de la licitación actual, la adjudicación, las cláusulas, los datos manejados, el alcance de los sistemas y los flujos, no solo a partir de un titular sobre la Fase II.

Qué significa esto para el nivel 1

El nivel 1 Self permanece disponible durante la suspensión. Se aplica cuando los sistemas de información del contratista procesan, almacenan o transmiten FCI y requiere una autoevaluación anual de los 15 requisitos de salvaguardia en FAR 52.204-21, seguida de una afirmación anual.

El nivel 1 no permite planes de acción ni hitos (POA&M). Se deben cumplir todos los requisitos aplicables para obtener el estado de Nivel 1 requerido. Las organizaciones deben mantener el alcance de la evaluación, los resultados, la afirmación y la evidencia de respaldo alineados con los sistemas que realmente manejan la FCI.

Qué significa esto para el nivel 2

El Yo de Nivel 2 todavía puede ser designado. Se basa en los 110 requisitos de seguridad en NIST SP 800-171 Revisión 2, con reevaluación cada tres años y una afirmación anual.

Los POA&M limitados se permiten únicamente según las condiciones de las reglas de CMMC. Los artículos incluidos en un POA&M permitido deben cerrarse dentro de los 180 días y no pueden incluir requisitos excluidos del uso de POA&M. Por lo tanto, una autodesignación de Nivel 2 sigue siendo un ejercicio de evidencia sustancial, no un paso de registro.

Las designaciones C3PAO de nivel 2 son la parte suspendida. Los contratistas no deben asumir que la preparación anterior es un desperdicio: los mismos límites de CUI, la implementación de NIST SP 800-171, la calidad de la evidencia, los controles de los proveedores y los procesos de incidentes sustentan el cumplimiento contractual actual y cualquier evaluación posterior.

Está prevista una guía de requisitos CMMC Nivel 2 dedicada con una vista estructurada control por control.

Qué significa esto para los proveedores alemanes y europeos

El alcance de CMMC sigue las cláusulas contractuales del gobierno de EE. UU., la información manejada, los sistemas que procesan, almacenan o transmiten esa información y los flujos de subcontratación, no el país del proveedor. Por lo tanto, una empresa alemana o europea puede estar dentro del alcance cuando un contrato principal o un subcontrato requiere CMMC y sus propios sistemas manejan FCI o CUI.

Por el contrario, la norma final del DFARS de 2025 explica que un subcontratista que trabaje únicamente dentro de los sistemas del contratista principal, sin procesar, almacenar o transmitir FCI o CUI en sus propios sistemas, no necesitaría una evaluación CMMC separada para esos sistemas. La arquitectura real y el lenguaje del contrato deben respaldar esa conclusión.

Los proveedores europeos deben trazar los límites contractuales de EE. UU. por separado del RGPD, NIS2, ISO 27001 o los requisitos de seguridad nacional. Esos regímenes pueden superponerse operativamente, pero ninguno sustituye automáticamente un estatus CMMC requerido o una obligación DFARS. Se planea una descripción general y un verificador de CMMC dedicados para estructurar una revisión de aplicabilidad inicial.

Próximos pasos concretos

• Vuelva a leer cada solicitud activa, adjudicación, modificación y subcontrato relevante. Registre el nivel actual de CMMC y el tipo de evaluación exactamente como está escrito.
• Solicite al funcionario de contrataciones o al contratista principal que confirme las enmiendas donde aparezca una designación de Nivel 2 C3PAO o Nivel 3 DIBCAC.
• No detenga el trabajo de la Fase I. Mantener la autoevidencia de Nivel 1 o la Autoevidencia de Nivel 2, fechas de reevaluación y afirmaciones anuales cuando sea necesario.
• Validar la FCI/CUI límites del sistema, incluidos servicios en la nube, administración remota, servicios corporativos compartidos y conexiones de proveedores.
• Concilie los registros SPRS y los resultados de la evaluación NIST SP 800-171 DoD correspondiente con la entidad legal y los sistemas de información cubiertos.
• Mantener operativos los procedimientos de preservación de evidencia y notificación de incidentes DFARS 252.204-7012.
• Revise los flujos de subcontratación y documente si cada proveedor maneja FCI o CUI en sus propios sistemas.
• Realice un seguimiento de las actualizaciones oficiales a través de Página de documentación y recursos de CMMC.

Este artículo proporciona información general, no asesoramiento legal. Las preguntas específicas del contrato deben resolverse con el funcionario de contrataciones, el contratista principal y un abogado calificado.

Línea de tiempo

• 16 de diciembre de 2024: La norma del programa 32 CFR CMMC entró en vigor.
• 10 de noviembre de 2025: La regla de adquisición de DFARS CMMC y la Fase I entraron en vigor.
• 13 de julio de 2026: El Departamento anunció la suspensión inmediata de la Fase II y una revisión de 60 días.
• 10 de noviembre de 2026: Se había programado que la Fase II comenzara en esta fecha antes de la suspensión.
• 28 de julio de 2026: Este artículo y el resumen de estado se actualizaron por última vez.

Fuentes oficiales

• Anuncio del departamento: suspensión de la Fase II, 13 de julio de 2026
• Memorando del CIO del Departamento de Defensa: Implementación de la suspensión de CMMC Fase II
• CIO del Departamento de Defensa: Acerca de CMMC
• DoD CIO: recursos y documentación de CMMC
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 Revisión 2
• Norma final del DFARS de 2025

Preguntas frecuentes

¿Se cancela CMMC?

No. El Departamento suspendió la Fase II, no el programa CMMC. Las designaciones de autoevaluación de la Fase I siguen disponibles, y las obligaciones subyacentes de FAR y DFARS continúan cuando estén incluidas en el contrato.

¿Un funcionario de contrataciones aún puede exigir una evaluación C3PAO?

El memorando de implementación ordena a los funcionarios de contratación que eliminen o modifiquen las designaciones C3PAO de nivel 2 de CMMC durante la suspensión de la Fase II. Confirmar la solicitud operativa o el lenguaje del contrato con la autoridad contratante responsable.

¿Sigue siendo importante una autoevaluación de nivel 2?

Sí. El Yo de Nivel 2 aún puede ser designado durante la suspensión. Requiere una evaluación de todos los requisitos de 110 NIST SP 800-171 Revisión 2, sujeta únicamente a las disposiciones limitadas de POA&M de las reglas CMMC, además de una reevaluación trienal y una afirmación anual.

¿La suspensión elimina los derechos DFARS 252.204-7012?

No. Las obligaciones de salvaguardia, notificación de incidentes cibernéticos, preservación, acceso y flujo de datos conforme a DFARS 252.204-7012 continúan cuando se aplica esa cláusula.

¿Están exentos los proveedores fuera de los Estados Unidos?

No se debe asumir ninguna exención geográfica. La aplicabilidad depende del contrato y los flujos, la información involucrada y si los sistemas del proveedor procesan, almacenan o transmiten FCI o CUI.

¿Deberían los contratistas dejar de prepararse para la certificación de Nivel 2?

El Departamento no ha proporcionado una base para predecir el resultado de la revisión. Las organizaciones deben tomar una decisión basada en el riesgo sin dejar de cumplir con los requisitos contractuales actuales y proteger a FCI y CUI.