Los contratistas de defensa que se preparan para CMMC Nivel 2 necesitan más que una plantilla. Esto es lo que los evaluadores esperan en su Plan de Seguridad del Sistema, POA&M y paquetes de evidencia.
CMMC protege la Información No Clasificada Controlada (CUI) en la base industrial de defensa. A agosto de 2026, la implementación está pausada en la Fase I y el Nivel 2 requiere una autoevaluación cada tres años y una afirmación anual contra los 110 requisitos de NIST SP 800-171 Revisión 2.
La obligación de proteger la información aplicable permanece. Confirma siempre los requisitos actuales del programa y de cada contrato en la página oficial de CMMC antes de actuar.
Los evaluadores dedican la mayor parte de su tiempo a revisar tres artefactos:
Tu SSP no es un documento estratégico de alto nivel. Es una descripción detallada de tu entorno, sus límites y la forma en que implementas los requisitos aplicables. Un SSP puede incluir:
El uso de un POA&M en Nivel 2 es limitado por las reglas del programa; no todos los requisitos son elegibles. Cada ítem permitido debe cerrarse dentro de 180 días y necesita:
Para cada control en tu SSP, necesitas evidencia. No capturas de pantalla de hace seis meses: evidencia actual, anotada, que coincida exactamente con tus declaraciones de implementación.
Mapea controles entre marcos para reducir trabajo duplicado. La reutilización de una política depende de su alcance, los hechos del entorno y el requisito específico que pretende apoyar.
Los contratistas pequeños pueden mantener un alcance más simple, pero aun necesitan documentar el entorno real, asignar propietarios y vincular cada declaración con evidencia aprobada.
Agenda una llamada para hablar de un paquete de documentación definido. El apoyo de documentación no garantiza el resultado de una evaluación.