Comprendiendo el Proceso de Creación de Normas del CMMC: Un Análisis Integral de la Presentación del DoD al OMB
En el ámbito de la ciberseguridad, pocos temas han captado tanta atención y discusión como la Certificación del Modelo de Madurez de Ciberseguridad (CMMC). Mientras los contratistas de defensa y las partes interesadas esperan ansiosamente actualizaciones, la reciente presentación del Departamento de Defensa (DoD) a la Oficina de Administración y Presupuesto (OMB) ha añadido una nueva capa de intriga y anticipación a la narrativa. Este blog ofrece una exploración detallada de este desarrollo y sus implicaciones más amplias para el sector de defensa.
El CMMC: Una Breve Visión General
Antes de profundizar en los desarrollos recientes, es esencial entender el origen y los objetivos del CMMC. Introducido como un estándar unificado de ciberseguridad, el CMMC tiene como objetivo fortalecer los mecanismos de protección alrededor de la información confidencial de defensa dentro de la cadena de suministro de defensa de EE. UU. Dada la creciente sofisticación de las amenazas cibernéticas, el DoD reconoció la necesidad de un enfoque integral y estandarizado para la ciberseguridad, lo que llevó al nacimiento del CMMC.
El proceso de certificación del CMMC es arduo, pero nuestra hoja de ruta para el cumplimiento de CMMC 2.0 puede ayudar.
La Monumental Presentación a la OMB
La decisión del DoD de presentar su plan CMMC a la OMB no es un mero paso administrativo. Significa la culminación de extensas deliberaciones y preparativos, marcando el inicio formal del proceso de creación de normas para el programa CMMC. Esta presentación es un testimonio del compromiso del DoD de fortalecer sus defensas cibernéticas y asegurar que sus contratistas estén alineados con esta visión.
Descifrando el Proceso de Revisión de la OMB
Con el marco del CMMC ahora bajo la supervisión de la OMB, ¿qué pueden esperar las partes interesadas? La Oficina de Información y Asuntos Regulatorios de la OMB tiene un máximo de 90 días para revisar la presentación. Esta revisión será instrumental en dar forma a la forma final del CMMC y su implementación subsecuente.
Una vez que la revisión concluya, la norma encontrará su camino hacia el Registro Federal, donde puede tomar una de dos rutas:
1. Norma Propuesta
(Más probable) Si la OMB publica una Norma Propuesta del CMMC, entonces se requiere un período de comentarios públicos de 60 días antes de que la OMB y el DoD puedan comenzar a implementar la norma. Este es el camino más probable anticipado por aquellos que observan el proceso, incluidos muchos en la industria. Bajo este camino, después de que cierre el período de comentarios de 60 días, estamos viendo entre 280 y 333 días hábiles, en promedio, antes de que el DoD comience a incorporar el CMMC en sus requisitos de contrato, según el reciente historial del DoD, de acuerdo con Horn. Así que, una publicación en septiembre/octubre de una Norma Propuesta colocaría una implementación gradual del CMMC comenzando en el segundo trimestre del año fiscal 2025, posiblemente en el tercer trimestre.
2. Norma Final Provisional
(Menos probable) La OMB podría optar por publicar una Norma Final Provisional, lo que permite a la OMB y al DoD comenzar a implementar el CMMC en los requisitos de contrato mientras revisan los comentarios públicos, es decir, en paralelo. Por lo tanto, elegir una Norma Final Provisional significa que el CMMC podría comenzar a añadirse a los contratos del DoD en el primer trimestre del año fiscal 2024, porque tales normas son efectivas inmediatamente tras su publicación. Este es el escenario menos probable/anticipado, pero es posible.
Independientemente de la trayectoria elegida, un período para comentarios públicos es una certeza, ofreciendo a las partes interesadas una plataforma para compartir comentarios y perspectivas.
Implicaciones para el Ecosistema de Contratación de Defensa
La presentación del DoD ha puesto en marcha el proceso, señalando cambios inminentes en el panorama de contratación de defensa. Aunque los contornos exactos de la norma final del CMMC están por verse, una cosa está clara: el cambio está en el horizonte.
El CMMC no es meramente un obstáculo regulatorio. Encierra la visión del Pentágono para una postura de ciberseguridad robusta, asegurando que los contratistas que manejan su información no clasificada controlada (CUI) adhieran a estándares estrictos. Estos estándares resuenan con las directrices del Instituto Nacional de Estándares y Tecnología, particularmente NIST 800-171 y 800-172.
Preparándose para el Futuro: Pasos para los Contratistas de Defensa
Con el proceso de creación de normas del CMMC en marcha, los contratistas de defensa deben adoptar una postura proactiva. Esto implica:
- Autoevaluación: Comprender las medidas actuales de ciberseguridad e identificar brechas en el cumplimiento
- Capacitación y Concienciación: Asegurar que el personal y las partes interesadas estén al tanto de los requisitos del CMMC y sus implicaciones
- Involucrar a Expertos: Considerar colaboraciones con expertos en ciberseguridad para navegar las complejidades del cumplimiento del CMMC, incluyendo una Organización Evaluadora de Terceros CMMC (C3PAO) para realizar una evaluación o recomendar la certificación CMMC
- Mantenerse Actualizado: Monitorear regularmente las actualizaciones del DoD y la OMB para estar al tanto de los desarrollos
La presentación del DoD a la OMB marca un hito significativo en el viaje del CMMC. Mientras los contratistas de defensa esperan mayor claridad, es imperativo reconocer la visión más amplia detrás del CMMC: un futuro donde los mecanismos de ciberseguridad del sector de defensa sean robustos, unificados y resilientes frente a las amenazas.