El Estado del CMMC 2.0 en la DIB: Lo que 273 Contratistas de Defensa Revelan Sobre el Cumplimiento Tras la Pausa en las Evaluaciones
La pausa en las evaluaciones CMMC de terceros no redujo el nivel de cumplimiento para ningún contratista de defensa. Solo hizo que la distancia entre lo que los contratistas afirman y lo que pueden demostrar sea más difícil de detectar. Esa brecha es ahora el riesgo más importante en la Base Industrial de Defensa, y una nueva encuesta a 273 organizaciones le pone cifras concretas.
Días después de la suspensión del 13 de julio de 2026 por parte del Departamento de Guerra (DoW) de las evaluaciones de terceros de la Fase II de CMMC 2.0, realizamos una de las primeras lecturas del mercado tras la suspensión. Cada encuestado era una empresa confirmada del DoW con un requisito activo de CMMC 2.0. Los hallazgos, recogidos en el informe «Estado de CMMC 2.0 en la DIB», describen una base que avanza rápido, invierte dinero y, en demasiados casos, confunde movimiento con preparación.
El titular no es apatía. El 98% de los contratistas tomó al menos una acción concreta tras la suspensión; solo el 2% no hizo nada. El problema es la dirección. Cuando separas lo que una organización ha construido de cómo se comporta, la imagen se divide en dos. Una gran parte de la base está improvisando o expuesta, y un número sorprendente de las empresas menos preparadas son las más confiadas. Para cualquiera que maneje CUI o participe en licitaciones de defensa, esa combinación es de donde surgen auditorías, descalificaciones y acuerdos bajo la Ley de Reclamaciones Falsas.
Kiteworks creó su plataforma segura de intercambio de datos para este problema exacto: demostrar, con evidencia, que los datos sensibles se movieron como exigen los reguladores. Este artículo repasa los hallazgos principales del informe y lo que significan para la planificación del cumplimiento de CMMC 2.0 en los próximos dos trimestres.
Puntos clave
1. La suspensión pausó las evaluaciones, no las obligaciones.
DFARS 252.204-7012, NIST SP 800-171, la autoevaluación de la Fase 1 y los informes SPRS siguen vigentes, y la Ley de Reclamaciones Falsas aún aplica a toda declaración que un contratista ya haya realizado.
2. La confianza supera a la evidencia en toda la base.
Mientras que el 96% de los contratistas confía en que su puntuación SPRS resistiría una revisión, solo el 29% cuenta tanto con una presentación SPRS actual como con una plataforma autorizada por FedRAMP que la respalde. Menos de tres de cada diez pueden respaldar completamente la afirmación que hacen.
3. Movimiento no es lo mismo que preparación.
Un índice de señalización de cumplimiento que multiplica la postura actual por el comportamiento reciente arroja una media de 60.0, muy por debajo del 77 que mostraría un promedio simple. Solo el 2% de los contratistas obtuvo un resultado perfecto en ambas dimensiones.
4. La aplicación ya está activa y no necesita un denunciante.
Un acuerdo del Departamento de Justicia de junio de 2026 por $507,144 muestra cómo una auditoría gubernamental rutinaria puede convertir una puntuación SPRS auto-declarada en una demanda por fraude cuando la postura real es mucho más baja que la reportada.
5. El mercado se está reajustando en torno a la prueba.
Más de la mitad de los contratistas ahora licitan en convocatorias que antes evitaban, más de la mitad se ha retirado de una licitación por falta de preparación y el 89% está usando o planea adoptar una plataforma autorizada por FedRAMP en los próximos seis meses.
La suspensión pausó las evaluaciones, no las reglas
La interpretación más dañina del anuncio del 13 de julio es que CMMC desapareció. No fue así. La suspensión detuvo las evaluaciones de terceros de la Fase II, el paso de certificación donde una C3PAO valida los controles de una organización. Todo lo anterior a ese paso sigue intacto.
La cláusula DFARS 252.204-7012 aún exige que los contratistas protejan la información de defensa cubierta y reporten incidentes cibernéticos. NIST 800-171 sigue definiendo los 110 controles que protegen el CUI. La obligación de autoevaluación de la Fase 1 continúa, y los contratistas deben seguir publicando y manteniendo una puntuación actual en el Supplier Performance Risk System. Lo más relevante es que la Ley de Reclamaciones Falsas sigue regulando la exactitud de cada puntuación ya presentada. Una pausa en las evaluaciones no es una pausa en la responsabilidad legal.
Los contratistas comprenden en su mayoría la exposición legal, incluso si no entienden bien los mecanismos. En la encuesta, el 84% dijo estar preocupado por la exposición a la Ley de Reclamaciones Falsas, y el 92% había recurrido a revisión legal o de cumplimiento desde la suspensión. Ese es el instinto correcto. La desconexión aparece en lo que las empresas usan como fuente de confianza. Cuando se les preguntó qué respalda más su posición, el 47% señaló una pista de auditoría, el 36% una plataforma autorizada por FedRAMP y solo el 11% la revisión legal. La documentación es lo que tranquiliza; la verificación muchas veces no.
CMMC 2.0 Compliance Hoja de ruta para contratistas del DoD
Leer ahora
Movimiento no es preparación: dentro del índice de señalización de cumplimiento
Para separar la postura del desempeño, el informe construyó dos índices. El Current Compliance Maturity Score (CCMS) mide dónde se encuentra una organización hoy en ocho indicadores de controles implementados. La media fue de 78.2 sobre 100, respetable a simple vista. El Signal-to-Governance Score (SGS) mide el comportamiento activo desde el 13 de julio en ocho indicadores, y se situó en 74.9. Por separado, ambos parecen saludables.
La clave está en cómo se combinan. En vez de promediarlos, el informe los multiplica en un Índice de Preparación de Señalización de Cumplimiento (CSRI = CCMS × SGS/100). La multiplicación es la operación honesta aquí, porque la debilidad en cualquiera de las dos dimensiones afecta al conjunto. Una empresa con controles sólidos pero sin acción reciente no está preparada, y tampoco lo está una empresa activa pero con una base débil. El resultado es una media de CSRI de 60.0 y una mediana de 65.6. Un simple promedio de las dos puntuaciones habría dado cerca de 77, un número que favorece a la base y oculta la interacción entre postura y comportamiento.
Si clasificas a los contratistas en cuadrantes usando un exigente umbral de 7 de 8 en cada dimensión, la división se vuelve concreta. Solo el 23% está Listo para Auditoría, fuerte tanto en la postura actual como en el comportamiento reciente. Otro 28% está Estancado, con controles sólidos pero poca actividad desde la suspensión. El dieciocho por ciento está Improvisando, actuando mucho pero desde una base débil. El grupo más grande, el 31%, está Expuesto: débil en ambos aspectos. Solo el 2% logró un 8 de 8 perfecto en ambas dimensiones. El contratista típico no está listo para auditoría; el contratista típico está a una auditoría de una mala semana.
La cascada confianza-evidencia
En ningún lugar es más claro el desfase entre lo que se dice y lo que se hace que en lo que el informe llama la cascada confianza-evidencia. Empieza con la creencia y observa cómo se reduce al añadir cada requisito de prueba.
El 96% de los contratistas confía en que su puntuación SPRS resistiría una revisión. Pregunta quién tiene una presentación SPRS actual en archivo y el número cae al 60%. Añade el requisito de operar datos sensibles en una plataforma autorizada por FedRAMP y baja al 36%. Exige ambos, presentación actual y plataforma autorizada, y solo el 29% califica. Menos de tres de cada diez contratistas pueden respaldar plenamente la puntuación en la que tanto confían.
No es un simple error de redondeo. Es una brecha de 67 puntos entre la confianza declarada y la evidencia demostrable, y es exactamente el espacio en el que opera un auditor, un oficial de contratos o un abogado del Departamento de Justicia. La confianza no sobrevive a una solicitud de documentos. La evidencia sí. Los contratistas que cierran esa brecha son los que pueden generar una pista de auditoría completa bajo demanda: quién accedió a qué pieza de CUI, cuándo, desde dónde y bajo qué política, en vez de una declaración basada en la memoria. Por eso un plan de seguridad del sistema necesita una capa de evidencia viva debajo, no un documento estático.
La aplicación ya está aquí: un acuerdo de $507,144
Si la cascada suena teórica, un caso reciente la hace tangible. El 18 de junio de 2026, el Departamento de Justicia llegó a un acuerdo bajo la Ley de Reclamaciones Falsas con LOGZONE Inc. de Huntsville, Alabama, por $507,144 en relación con dos contratos de la Marina. La empresa había auto-declarado una puntuación SPRS de 110, la máxima. Cuando DIBCAC realizó una evaluación independiente, la puntuación real fue de menos 170. La diferencia entre la afirmación y la realidad fue el caso.
Dos detalles merecen atención. Primero, el asunto surgió a través de una auditoría gubernamental rutinaria, no por un denunciante. Las disposiciones qui tam de la Ley de Reclamaciones Falsas suelen acaparar la atención, pero este acuerdo muestra que el gobierno no necesita un informante interno para detectar una puntuación inflada, solo necesita una hoja de cálculo y un evaluador. Segundo, la aplicación se realizó mediante la Iniciativa Civil de Ciberfraude del DOJ, el mecanismo creado específicamente para responsabilizar a los contratistas por declaraciones falsas en ciberseguridad. La suspensión de las evaluaciones no ralentizó esa iniciativa.
La lección para el 96% que confía es directa. Una puntuación auto-declarada es una declaración legal, y la distancia entre una autoevaluación optimista y una independiente se mide en dólares. Las organizaciones que tratan la puntuación SPRS como un ejercicio documental en vez de una afirmación respaldada por evidencia asumen ese mismo riesgo, lo sepan o no. Tener el POA&M y los controles subyacentes correctos es más barato que llegar a un acuerdo.
La ilusión de conocimiento detrás de la confianza
¿Por qué tantos contratistas confían en una posición que no pueden respaldar completamente? El informe apunta a una ilusión de conocimiento, una confianza basada en una comprensión incompleta de lo que cambió la suspensión.
La buena noticia es que muy pocos contratistas creen que todo el marco se detuvo: solo el 3% cree que todos los requisitos están pausados. La mala noticia está en los detalles que importan. El 48% no sabe que la autoevaluación de la Fase 1 continúa. El 57% no sabe que ciertas evaluaciones lideradas por el gobierno siguen vigentes. No son notas al pie; son las obligaciones más propensas a generar acciones de cumplimiento en este periodo.
El hallazgo más revelador es lo que la confianza no predice. En una prueba de conocimientos de cuatro puntos, los contratistas que se describieron como «muy confiados» promediaron 2.48 de 4, idéntico al puntaje de quienes solo estaban «algo confiados», también 2.48. La confianza y el conocimiento estaban completamente desvinculados. Casi la mitad del grupo muy confiado, el 49%, obtuvo menos de 3 de 4. Alta certeza no equivale a alto entendimiento, que es la condición exacta bajo la cual las organizaciones firman declaraciones que no deberían. Cerrar esa brecha empieza por tratar el cumplimiento de CMMC 2.0 como un programa continuo, no como un hito de certificación que se pospuso.
El mercado se reajusta en torno a la prueba
Mientras los equipos de cumplimiento aclaran obligaciones, el área de negocio ya está en movimiento. La suspensión cambió el comportamiento de licitación en toda la base, y la dirección es hacia la prueba como arma competitiva.
Más de la mitad de los contratistas, el 55%, ahora licitan en convocatorias que antes evitaban, viendo la pausa como una oportunidad. Al mismo tiempo, el 52% se ha retirado de una licitación porque no podía cumplir con el nivel de preparación, y el 38% ha perdido trabajo o ha sido descalificado por un requisito de Nivel 2. El patrón no es uniforme. Los subcontratistas de nivel 2 y más pierden licitaciones a una tasa del 55%, casi el doble del 31% que reportan los principales. Cuanto más lejos estés de la relación principal, más difícil es demostrar tu postura de CMMC Nivel 2. Las empresas aeroespaciales y de defensa son las más protegidas, con solo un 16% de tasa de pérdida. Estas empresas suelen invertir más en cumplimiento y tener relaciones más estrechas con sus clientes.
Esa exposición de los subcontratistas explica por qué la preocupación por el flow-down contractual es tan alta. La inquietud por los requisitos de flow-down contractual alcanzó el 86% en toda la base, subiendo al 92% entre subcontratistas de nivel 1 y al 89% entre los de nivel 2 y más, frente al 79% de los principales. El flow-down es la forma en que la gestión de riesgos de la cadena de suministro de un principal se convierte en problema de cada subcontratista, y las empresas más pequeñas lo sienten más. Los datos externos refuerzan la importancia: el informe Verizon 2026 Data Breach Investigations Report halló que las filtraciones de terceros crecieron un 60% interanual hasta el 48% de todas las filtraciones, y el Global Cybersecurity Outlook 2026 del Foro Económico Mundial reportó que el 65% de las grandes organizaciones ahora considera el riesgo de terceros y de la cadena de suministro como su principal reto, frente al 54% anterior.
La demanda se consolida en torno a la autorización independiente
Si la prueba es la nueva moneda, los contratistas están votando con sus presupuestos por la forma más sólida disponible: la autorización independiente de terceros. Esta es la señal más clara de futuro en los datos.
El 89% de los contratistas está usando o planea adoptar una plataforma autorizada por FedRAMP en los próximos seis meses. El 93% afirma que la autorización independiente de terceros es esencial o importante, rechazando la auto-declaración como base suficiente para manejar CUI. Y el 96% ha recurrido a una C3PAO, con un 32% que seguirá haciéndolo voluntariamente aunque las evaluaciones estén pausadas. Los contratistas no esperan a que el gobierno reinicie el reloj; están construyendo la evidencia ahora.
También participan en el proceso normativo. El 93% planea comentar la Solicitud de Información del DoW, que cerró el 14 de agosto de 2026. Las expectativas se inclinan hacia el regreso y no la eliminación: el 58% espera que la Fase II vuelva en forma modificada y solo el 4% cree que desaparecerá por completo. Mientras tanto, el 70% ha logrado o espera lograr la preparación total para el cumplimiento en seis meses, una meta ambiciosa considerando que solo el 23% está Listo para Auditoría hoy, y un recordatorio de que la brecha entre intención y preparación demostrada es el tema central de todo este informe. Las organizaciones que lo logren serán las que traten el cumplimiento de NIST 800-171 como un sistema en funcionamiento, no como un esfuerzo puntual.
No todos los contratistas enfrentan el mismo riesgo
La base no es homogénea, y el CSRI hace visibles las diferencias. Por industria, aeroespacial y defensa lideran con un índice de preparación de 66.2, seguidos por TI y servicios en la nube con 61.9, telecomunicaciones con 59.3 y todos los demás sectores con 52.2. Las empresas más cercanas a la misión son, como era de esperar, las más preparadas para demostrarlo.
La división más marcada es geográfica. Los contratistas norteamericanos (n=163) mostraron un CSRI de 64.7, mientras que los europeos (n=104) alcanzaron 53.9. Europa es el segmento más expuesto del estudio: el 44% cae en el cuadrante Expuesto y solo el 15% está Listo para Auditoría. En las medidas de evidencia concreta, solo el 43% de los contratistas europeos tiene una presentación SPRS actual, frente al 70% en Norteamérica, pero el 94% de los europeos sigue confiando. Esa es la brecha confianza-evidencia en su forma más extrema, y es una advertencia para los principales con cadenas de suministro transfronterizas. La postura de soberanía de datos de un subcontratista y su preparación CMMC no son lo mismo, y la encuesta muestra que el segmento extranjero de la base necesita más atención.
Qué significa esto para tu manejo de CUI
El hilo conductor en cada hallazgo es que la declaración sin evidencia es una responsabilidad, y la solución es un sistema generador de evidencia para datos sensibles. El costo de equivocarse no es abstracto. El informe IBM Cost of a Data Breach 2026 identificó el compromiso de la cadena de suministro como el principal factor que incrementa el costo, con $227,250 por filtración, y la falta de cumplimiento suma otros $201,112, frente a un costo promedio global de $4.99 millones por filtración. Para un contratista de defensa, un fallo de cumplimiento y una filtración suelen ser el mismo evento.
Aquí es donde la plataforma de intercambio seguro de datos de Kiteworks encaja con el problema. Kiteworks funciona con una arquitectura de tenencia única, soporta CMMC Nivel 2 y cuenta con FedRAMP High In Process y FedRAMP Moderate Authorized. Cada archivo, correo electrónico, formulario y transferencia que lleva CUI pasa por una sola capa gobernada, el Kiteworks Control Plane, que registra quién accedió a qué, cuándo y bajo qué política. Esa es la diferencia entre decirle a un auditor que tu puntuación SPRS es defendible y mostrarle los registros de auditoría que lo prueban. El 47% de los contratistas que confían en una pista de auditoría están en el camino correcto; la plataforma en la que se ejecuta determina si esa pista resiste.
Los pasos prácticos se desprenden de los datos. Revisa tu puntuación SPRS auto-declarada frente a lo que encontraría un evaluador independiente, como no hizo el contratista de Alabama. Consolida el CUI en una plataforma autorizada por FedRAMP para que el 36% del nivel de evidencia sea tu punto de partida y no tu techo. Extiende las expectativas de preparación a tus subcontratistas, donde la DIB es más débil. Y trata la pausa de evaluaciones como el momento para construir pruebas, no como la excusa para detenerse. Los contratistas que interpretan correctamente la suspensión serán los que estén listos cuando regrese la Fase II.
El informe «Estado de CMMC 2.0 en la DIB» profundiza más en los índices, el modelo de cuadrantes, los desglose por segmentos y las perspectivas de aplicación que cualquier resumen. Para ver el conjunto completo de datos y saber dónde está tu organización frente a 273 de tus pares, descarga y lee el informe completo.
Preguntas frecuentes
No. La suspensión solo detuvo las evaluaciones de terceros de la Fase II. DFARS 252.204-7012, el conjunto de controles de NIST 800-171, el requisito de autoevaluación de la Fase 1 y el reporte de puntuación SPRS siguen vigentes. La Ley de Reclamaciones Falsas sigue regulando la exactitud de cualquier declaración ya presentada, por lo que la exposición legal no se pausó con las evaluaciones. Los contratistas deben aprovechar este periodo para fortalecer la evidencia, y una lista de verificación de cumplimiento CMMC es una forma práctica de confirmar que nada se ha pasado por alto.
Es la distancia entre cuán seguros se sienten los contratistas y lo que realmente pueden demostrar. En la encuesta, el 96% confiaba en que su puntuación SPRS resistiría, pero solo el 29% tenía tanto una presentación SPRS actual como una plataforma autorizada por FedRAMP que la respalde. Esa brecha es donde se producen las acciones de cumplimiento, porque los auditores y abogados del Departamento de Justicia evalúan evidencia, no confianza. Cerrarla significa construir una pista de auditoría viva en vez de depender de documentación basada en la memoria.
El acuerdo de junio de 2026 del Departamento de Justicia con un contratista de defensa de Alabama, $507,144 por una puntuación SPRS auto-declarada de 110 que una evaluación independiente de DIBCAC calificó en menos 170, demuestra que inflar autoevaluaciones conlleva riesgos financieros y legales reales. Lo más importante es que el caso surgió por una auditoría gubernamental rutinaria, sin denunciante, y se gestionó mediante la Iniciativa Civil de Ciberfraude del DOJ. Esa iniciativa continuó durante toda la suspensión de evaluaciones. Los contratistas deben revisar sus puntuaciones SPRS frente a lo que encontraría un evaluador independiente, antes de que lo haga el gobierno.
El mercado evalúa la capacidad de demostrar preparación, y ese juicio recae con más fuerza en las empresas más alejadas de la relación principal. Los subcontratistas de nivel 2 y más pierden licitaciones a una tasa del 55%, casi el doble del 31% que reportan los principales, y la preocupación por el flow-down llega al 92% entre subcontratistas de nivel 1. Los principales trasladan sus obligaciones de gestión de riesgos de la cadena de suministro mediante el flow-down contractual, así que una empresa más pequeña hereda la misma carga de evidencia con menos recursos. Consolidar el manejo de CUI en una plataforma capaz de CMMC Nivel 2 es una de las formas más rápidas para que un subcontratista cierre esa brecha.
Kiteworks unifica el intercambio de datos sensibles, uso compartido de archivos, correo electrónico, transferencia gestionada de archivos y formularios web en una plataforma de tenencia única que soporta CMMC Nivel 2 y cuenta con FedRAMP High In Process y FedRAMP Moderate Authorized. Cada interacción con CUI genera evidencia lista para auditoría a través del Kiteworks Control Plane, para que un contratista pueda mostrar, y no solo afirmar, cómo se gobernaron los datos sensibles. Esa capacidad convierte una declaración SPRS de esperanza en una defendible. Puedes ver cómo la plataforma se alinea con el marco a través de los recursos de cumplimiento CMMC 2.0 y la documentación más amplia de cumplimiento FedRAMP.
Recursos adicionales
- Artículo del Blog
Cumplimiento CMMC para pequeñas empresas: retos y soluciones - Artículo del Blog
Guía de cumplimiento CMMC para proveedores de la DIB - Artículo del Blog
Requisitos de auditoría CMMC: lo que los evaluadores necesitan ver al medir tu preparación CMMC - Guía
Mapeo de cumplimiento CMMC 2.0 para comunicaciones de contenido sensible - Artículo del Blog
El verdadero costo del cumplimiento CMMC: lo que los contratistas de defensa deben presupuestar