La industria de la base industrial de defensa parece vivir una paradoja cada vez más clara: la confianza y evidencia CMMC ya no van de la mano. En las últimas semanas se publicaron dos encuestas que, aunque miden realidades en momentos distintos, describen el mismo patrón. Muchas empresas dicen estar seguras de su cumplimiento en ciberseguridad, pero encuentran más dificultades al proporcionar pruebas concretas y verificables.
Esta distancia entre lo que se cree y lo que se puede demostrar tiene implicaciones legales, operativas y comerciales. Y aun con cambios en el proceso de evaluaciones de la Fase 2 de CMMC, ciertas obligaciones de fondo siguen activas, manteniendo el riesgo para los contratistas.
Encuesta sobre CMMC 2.0: confianza alta, respaldo bajo
Una de las encuestas fue realizada por Kiteworks, que consultó a 273 contratistas del sector de defensa en los días posteriores a la suspensión del Departamento de Defensa sobre las evaluaciones de terceros correspondientes a la Fase 2 de CMMC 2.0. La lectura inicial de los resultados es positiva para el ánimo del mercado: la gran mayoría se mostró confiada.
En concreto, el 96% de los participantes afirmó estar seguro de que su puntuación de SPRS (Supplier Performance Risk System) respaldada mediante autoevaluación mantendría su validez ante una revisión. Sin embargo, la historia cambia cuando se analizan los datos que efectivamente podrían sostener esa afirmación.
Sólo el 29% logró demostrarlo con dos elementos a la vez: una presentación SPRS vigente y el uso de una plataforma autorizada por FedRAMP. Dicho de otro modo, no basta con la seguridad percibida; la evidencia necesaria para sostenerla no está igualmente disponible o implementada.
Cuando la prueba pesa más que la percepción
Kiteworks combinó dos métricas de preparación: una centrada en la madurez de cumplimiento y otra relacionada con cómo reaccionaron los contratistas a la suspensión. Al combinar ambas, el análisis mostró una caída frente a lo que habría ocurrido si se promediara de forma simple. El puntaje combinado fue 60 sobre 100, por debajo del valor aproximado que habría dado un promedio directo.
Además, una parte importante de la muestra se ubicó en la parte baja de ambas mediciones al mismo tiempo: casi un tercio de los encuestados conformó el grupo más grande con puntuaciones bajas en las dos dimensiones. Este dato refuerza la idea de que la brecha no es marginal, sino estructural.
La suspensión no elimina el riesgo: obligaciones de atestación continúan
Un punto crítico es que la suspensión del componente de revisión por terceros no detuvo la responsabilidad legal asociada a la veracidad de las atestaciones. Aunque el control por terceros se pausó, la obligación subyacente de DFARS de atestiguar de forma precisa permaneció activa.
De acuerdo con lo reportado por Kiteworks, el 84% de los contratistas expresó su preocupación por la posible exposición bajo el False Claims Act vinculada a una puntuación inexacta. Esto no es un detalle administrativo: si la evidencia no acompaña a la afirmación, el riesgo aumenta, incluso en un escenario de cambios del proceso de evaluación.
La respuesta del mercado también sugiere conciencia de esa amenaza. El 92% indicó que ya había involucrado a asesoría legal o revisión de cumplimiento, un reflejo de que la incertidumbre no se interpreta como un asunto “solo técnico”.
Desconocimiento sobre obligaciones que siguen vigentes
Entre los hallazgos más llamativos está el nivel de comprensión sobre las obligaciones continuadas. Casi la mitad de los encuestados no sabía que las responsabilidades de auto-evaluación de la Fase 1 seguían aplicando durante el período de pausa.
Además, los resultados desafiaron la autopercepción: quienes se describieron como “muy confiados” para entender los cambios no obtuvieron un rendimiento en una prueba factual superior al de quienes dijeron estar “algo confiados”. En otras palabras, el grado de confianza declarado no se tradujo de forma consistente en conocimiento verificable.
Efecto en licitaciones: se cambia de estrategia y se pierde competencia
Los datos no se quedaron en el papel. El mercado comenzó a moverse con la percepción de que el listón se está bajando o reconfigurando. Un 55% de los contratistas dijo que ahora está ofertando en trabajos que antes evitaba por exigencias de CMMC nivel 2. La respuesta parece ser una reorganización del riesgo: si el proceso se altera, también cambia el apetito por ciertos contratos.
Sin embargo, no todo es ganancia. También se registran pérdidas por la misma exigencia: 52% indicó que se retiró de una licitación del Departamento de Defensa, y 38% reportó haber perdido o sido descalificado de un contrato por requerimientos relacionados con CMMC nivel 2.
La presión fue más intensa para empresas más pequeñas dentro de la cadena de suministro. Los subcontratistas de nivel 2 y por debajo reportaron pérdidas en licitaciones de 55%, cerca del doble del 31% que mencionaron los contratistas principales. Esto sugiere que la capacidad de adaptación no está distribuida de manera uniforme.
Segunda encuesta: el puntaje sube, la certeza cae
La segunda investigación proviene de CyberSheath y Merrill Research, con su 2026 State of the DIB Report. Esta encuesta consultó a 302 contratistas en mayo de 2026, antes de que la suspensión entrara en efecto, lo que aporta una perspectiva de tendencia.
En términos de métricas, el promedio de puntajes SPRS alcanzó un máximo de cinco años: +51, frente a +33 en 2025. El marco de referencia era una puntuación posible perfecta de 110, lo que significa que el avance existe.
No obstante, la confianza sobre la exactitud de esos resultados cayó con fuerza. El 65% declaró estar extremadamente o muy confiado, una disminución frente al 89% del año anterior y el 94% reportado en 2024. Incluso con mejores números, sólo el 1% consideró estar completamente preparado para la certificación CMMC, un nivel que se mantuvo igual que el año previo.
Presupuestos y adopción de tecnología
En el plano de inversión, la encuesta señaló que los presupuestos anuales promedio de cumplimiento DFARS subieron a 155.000 dólares. El 53% indicó que esa cifra era “adecuada”, mientras que el 24% afirmó que era más que suficiente.
También aumentó la adopción de tecnologías base de seguridad: la autenticación multifactor fue reportada por el 63%; la copia de seguridad segura por el 48%; la protección contra fugas de datos y la gestión de vulnerabilidades por el 44%; y la detección de intrusiones/endpoint por el 40%.
Este mix de resultados sugiere que las mejoras técnicas ocurren, pero el puente hacia la verificación sólida y consistente todavía es débil.
Qué piden los contratistas: verificación y estándares mínimos
A pesar del ruido y las pausas operativas, ambas encuestas muestran un interés fuerte por mantener mecanismos de verificación. Kiteworks reportó que el 93% de los encuestados considera que una autorización independiente de terceros será esencial o importante para la selección futura de proveedores.
Asimismo, el 93% planea enviar comentarios sobre una solicitud de información del Departamento de Defensa. De ese grupo, el 58% espera que la Fase 2 regrese en alguna forma modificada.
Mandatos mínimos y facilidad de implementación
CyberSheath, por su parte, detectó una demanda clara de estandarización. El 90% de los contratistas quiere que el gobierno exija estándares mínimos de ciberseguridad para todos los contratistas federales. Además, el 77% considera que el cumplimiento DFARS mejora de manera significativa la seguridad nacional.
Sin embargo, existe una contracara: el 74% solicitó que la implementación sea más fácil, y el 70% pidió más opciones de proveedores. Es decir, el mensaje no es “más requisitos por sí mismos”, sino “requisitos verificables, con un camino razonable para cumplir”.
La idea clave: reducir la distancia entre creer y demostrar
Un liderazgo citado en los informes resume el corazón del problema. Se destaca que lo que realmente importa es la distancia entre la confianza y la evidencia: no sólo se trata de estar alineado, sino de poder mostrarlo con claridad cuando se solicita.
Desde la perspectiva de quienes investigan el fenómeno, también aparece una motivación práctica. La base industrial de defensa está compuesta en gran parte por fabricantes e ingenieros que priorizan el cumplimiento del objetivo militar, no siempre el rol de especialistas en ciberseguridad. Por eso, cualquier reforma del marco debe hacer el cumplimiento más alcanzable sin perder capacidad de prueba verificable sobre la efectividad de las protecciones.
Conclusión: cuando la brecha crece, el costo también
Las dos encuestas convergen en una conclusión concreta: confianza y evidencia CMMC están separándose. Suben algunos indicadores de preparación y tecnología, pero una parte considerable de contratistas no logra respaldar su postura con elementos verificables como presentaciones SPRS vigentes y plataformas autorizadas.
Mientras el proceso de evaluación por terceros cambia o se pausa, las obligaciones subyacentes y la exposición legal no desaparecen. Por eso, la respuesta del mercado —desde ajustes en licitaciones hasta la búsqueda de apoyo legal— cobra sentido.
En el fondo, el debate no es únicamente sobre marcos de cumplimiento: es sobre cómo convertir el “estoy listo” en “puedo demostrarlo”, con verificación independiente y estándares claros, sin imponer una carga imposible para quienes deben operar y producir al mismo tiempo.
Fuente: https://www.securityweek.com/contractors-cmmc-confidence-rises-as-ability-to-prove-it-falls-behind/
