CMMC Reduce Sus Opciones de Software de Construcción

Si su firma trabaja en instalaciones de defensa, qué software de construcción puede usar ya no es solo una decisión de compras. Los planos, especificaciones y radicados de ese proyecto pueden ser información controlada no clasificada, y hay una norma vigente que gobierna qué sistemas tienen permitido guardarla. Esa norma elimina buena parte del mercado de software de construcción antes de que empiece cualquier comparación de funcionalidades, y es una de las pocas razones de verdad convincentes por las que un contratista termina construyendo en vez de comprando.

Resumen rápido

• Hay dos normas vigentes: la del programa CMMC desde diciembre de 2024 y la de adquisiciones que mete la cláusula en los contratos desde noviembre de 2025.
• El Nivel 1 es una autoevaluación de quince requisitos. El Nivel 2 son los 110 requisitos del NIST SP 800-171 R2. El Nivel 3 agrega veinticuatro más y lo evalúa el gobierno.
• La información controlada tiene que estar dentro de su frontera de evaluación, cosa que la mayoría del SaaS de construcción multi-inquilino no cumple.
• La comparación de construir o comprar cambia: la alternativa a un sistema que cumple puede ser perder la elegibilidad para el trabajo.
• CodeBranch construye contra un conjunto de controles y hace trabajo de evaluación de seguridad. No certifica CMMC — ese es el rol de un evaluador acreditado.

Este es un caso donde el hueco descrito en qué construyen las empresas de construcción cuando su plataforma se queda corta lo crea la regulación y no el flujo de trabajo. La plataforma puede modelar su negocio a la perfección y aun así ser inutilizable.

¿Qué Está Vigente Ahora Mismo?

Dos normas, y hacen trabajos distintos.

La del programa llegó primero. La norma final del Programa CMMC, publicada en el Federal Register en octubre de 2024 y vigente desde el 16 de diciembre de 2024, establece los niveles, los tipos de evaluación y un plan de implementación en cuatro fases a lo largo de tres años.

La segunda norma es la que llega a los contratos. La norma de adquisiciones del DFARS entró en vigencia el 10 de noviembre de 2025 y agrega la cláusula contractual 252.204-7021 y la disposición de solicitud 252.204-7025. Hasta tres años después de esa fecha, la cláusula se aplica donde la actividad requirente decida que un requisito CMMC corresponde al contrato; pasada esa ventana se aplica dondequiera que los sistemas de un contratista vayan a procesar, almacenar o transmitir información de contrato federal o información controlada no clasificada.

Ese escalonamiento es el detalle práctico. Significa que un contratista que hoy no ve cláusula CMMC en una licitación no debería concluir que el asunto está resuelto, porque el mismo trabajo relicitado en dos años puede traerla.

Los niveles, como los define la norma del programa:

• Nivel 1 — quince requisitos, autoevaluados anualmente, con resultados cargados en el sistema de reporte del gobierno.
• Nivel 2 — los 110 requisitos del NIST SP 800-171 Revisión 2, autoevaluados cada tres años o evaluados por una organización de tercero acreditada, según el contrato.
• Nivel 3 — esos 110 más veinticuatro requisitos seleccionados del NIST SP 800-172, evaluados por el centro de evaluación del propio gobierno, y solo después de tener el estatus de Nivel 2 por tercero.

¿Cuáles Datos de Construcción Entran en el Alcance?

Más de los que la mayoría espera, y menos de los que sugiere una lectura alarmada.

La información controlada no clasificada no es una propiedad del tipo de archivo; es una determinación que viene del contrato y de la agencia. En la práctica, en obra de instalaciones de defensa, las categorías que comúnmente caen dentro son planos de sitio y de planta de instalaciones controladas, planos y especificaciones de sistemas de seguridad, trazados de infraestructura de servicios y de red, y fotografías tomadas dentro de áreas restringidas. Los radicados y las RFI entran al alcance cuando reproducen cualquiera de lo anterior, cosa que hacen de rutina.

La prueba práctica no es en qué software vive el documento. Es si ese documento, de llegar a internet abierto, le diría a alguien cosas útiles sobre una instalación que el gobierno preferiría que no supiera.

Dos cosas se entienden mal en las dos direcciones. No todo en un proyecto de defensa es automáticamente controlado — un cuadro de condiciones generales normalmente no lo es. Y un documento no deja de ser controlado porque se le mandó por correo a un subcontratista, que es exactamente como ocurren la mayoría de estas exposiciones.

¿Por Qué Esto Saca de Consideración a Casi Todas las Plataformas?

Porque el dato tiene que estar en un lugar que usted pueda evaluar, y una nube multi-inquilino no lo es.

Léalo en horizontal y el intercambio queda claro. Las plataformas que mejor encajan con el flujo de construcción son las que ponen su dato más lejos de su frontera, y las opciones que lo mantienen cerca son las que exigen más trabajo para volverlas útiles.

Por eso el cumplimiento impulsa desarrollo a medida en este vertical más que en otros. No es que el software hecho a medida sea inherentemente más seguro — un sistema custom mal construido es peor que una plataforma bien operada. Es que el conjunto de productos de construcción que se pueden desplegar dentro del entorno evaluado de un contratista es pequeño, y cuando ninguno encaja con el trabajo, no queda respuesta de mercado.

¿Cómo Cambia Esto la Decisión de Construir o Comprar?

Cambia contra qué se está comparando el desarrollo.

Normalmente la comparación es una suscripción contra un presupuesto de desarrollo, y la suscripción suele ganar. Cuando hay un conjunto de controles en juego, la alternativa a tener un sistema que cumple puede ser no licitar una categoría de trabajo — lo que convierte la pregunta de una comparación de costos en una de acceso a mercado. Un contratista que hace el diez por ciento de sus ingresos en trabajo de defensa está pesando el costo de desarrollo contra ese diez por ciento, no contra una licencia.

El orden de investigación igual debería empezar por las opciones más baratas:

1. ¿Se puede desplegar un producto existente dentro de su frontera? Muchos proveedores ofrecen un despliegue autoalojado o de nube gubernamental. Cuando existe, es el menor trabajo.
2. ¿Se puede separar el subconjunto controlado? Muchas veces solo una fracción del dato del proyecto está en alcance. Mantener esa fracción en un sistema restringido y todo lo demás en su plataforma normal es más pequeño que reconstruirlo todo.
3. ¿Queda como única opción un sistema a medida? Solo después de que fallen las dos primeras.

Esa secuencia importa porque el paso dos se salta con frecuencia, y muchas veces es la respuesta correcta. El alcance de lo controlado es más angosto que el alcance de un proyecto, y diseñar alrededor de esa frontera sale mucho más barato que tratar todo el negocio como si estuviera en alcance. Es la misma disciplina de la pregunta más amplia de cuándo el software de construcción a medida no es la respuesta, aplicada a un caso donde la restricción es externa.

¿Qué Implica Este Trabajo y Qué Queda Por Fuera?

Vale la pena ser preciso, porque el mercado alrededor de esto está lleno de reclamos que se solapan.

CodeBranch construye software con la seguridad como requisito de entrega y no como auditoría de última hora, y hace trabajo independiente de evaluación de seguridad: dos especialistas en ciberseguridad del equipo pasaron dos años proveyendo una capa final de auditoría sobre el pipeline de pruebas de una firma de ciberseguridad, con pruebas estáticas y dinámicas de seguridad de aplicaciones, pruebas manuales de penetración y revisión segura de código, para sacar hallazgos que tanto el equipo humano como las herramientas automáticas habían pasado por alto. El equipo también estructuró un sistema de reportería de seguridad asistido por IA que consolida las salidas de varias herramientas de evaluación en un solo reporte de brechas.

Lo que no hace es evaluar ni certificar cumplimiento CMMC. Ese es el rol de una organización de evaluación de tercero acreditada, y ningún socio de desarrollo puede ejecutarlo sobre un sistema que él mismo construyó. Una firma que ofrece construirle el sistema y certificárselo está describiendo un conflicto, no un servicio.

La división de trabajo que funciona: su evaluador determina el nivel y el alcance aplicables, esa determinación se vuelve un conjunto de requisitos, y el socio de desarrollo construye contra él. Cuando los controles llegan como requisitos en la primera fase, son arquitectura. Cuando llegan después de que existe un sistema, son retrabajo.

¿Cuándo No Aplica Nada de Esto?

Cuando ninguna información de contrato federal ni información controlada no clasificada toca sus sistemas.

Un contratista que hace obra privada comercial y residencial no tiene obligación CMMC y no debería gastarle un día. Tampoco una firma cuya única exposición federal es un subcontrato donde el contratista principal retiene toda la información controlada y no comparte nada — aunque ese arreglo vale la pena confirmarlo por escrito en vez de asumirlo, porque determina si una cláusula de traslado le cae a usted.

Para todos los demás, la postura útil es averiguar qué dicen de verdad sus contratos antes de que el escalonamiento cierre la ventana de discrecionalidad. La respuesta determina la decisión de software, y la decisión de software es más lenta de revertir que el contrato de firmar. Esa evaluación es el tipo de restricción que CodeBranch incorpora a la fase de Product Definition de software para empresas de construcción, donde un conjunto de controles es un requisito como cualquier otro — solo que uno que no se negocia.