CMMC e ISO 27001 se solapan de forma sustancial, pero ISO 27001 no sustituye a CMMC en los contratos del Departamento de Defensa de EE. UU. (DoD). CMMC es una certificación obligatoria vinculada a la contratación pública, mientras que ISO 27001 es una norma voluntaria basada en el riesgo para construir un sistema de gestión de la seguridad de la información. Utiliza ISO como base y, a continuación, mapea y cierra las brechas específicas de CMMC antes de presentar tu oferta.
Resumen ejecutivo:
- Las organizaciones con ISO 27001 pueden aprovechar el amplio solapamiento con CMMC Nivel 2, pero siguen necesitando abordar mandatos técnicos específicos como MFA y criptografía.
- CMMC Nivel 2 exige artefactos formalizados, como un Plan de Seguridad del Sistema (SSP) detallado y un Plan de Acción e Hitos (POA&M), que la certificación ISO no proporciona automáticamente.
- Definir el perímetro CUI e implementar controles operativos específicos son brechas críticas que hay que cerrar más allá de la gobernanza básica de ISO, especialmente en programas del DoD de alto riesgo.
- Los métodos de evaluación difieren: ISO conlleva un proceso de certificación independiente cada tres años, mientras que CMMC se basa en auditorías propias o de terceros con vigilancia continua.
- Comenzar con ISO antes de abordar la preparación para CMMC reduce costes y la duplicación de recursos, pero los contratistas deben igualmente prepararse para los controles técnicos prescriptivos y los requisitos de documentación de CMMC.
Tabla de contenidos
- Qué abarca CMMC y quién lo necesita
- Qué verifica realmente la certificación ISO 27001
- Cómo se mapean los controles de ISO 27001 con CMMC Nivel 2
- Dónde CMMC exige más de lo que requiere ISO 27001
- Quién te evalúa y cuándo
- Una hoja de ruta en seis pasos de ISO a la preparación para CMMC
- El veredicto: ISO primero, CMMC cuando sea obligatorio
- CMMC Nivel 3 y el alcance completo más allá del Nivel 2
- Implementar ISO 27001 junto con la preparación para CMMC
- Qué implica esto para subcontratistas y socios de la cadena de suministro
- Comparación del coste y la carga de recursos de cada camino
- Por qué las prácticas de seguridad sólidas superan a los parches de lista de verificación
- Estima tu esfuerzo en ISO 27001 antes de comprometer presupuesto
- Preguntas frecuentes
- Fuentes
Qué abarca CMMC y quién lo necesita
CMMC existe porque el Departamento de Defensa necesitaba una forma de verificar que los contratistas protegen realmente dos categorías de información sensible: la Información de Contratos Federales (FCI), que es información no destinada a difusión pública que se genera o recibe al ejecutar un contrato gubernamental, y la Información No Clasificada Controlada (CUI), que está sujeta a normas de tratamiento más estrictas en virtud de la legislación federal. Sin un requisito de certificación, el DoD no tenía forma fiable de confirmar que los subcontratistas en los eslabones más profundos de la cadena de suministro cumplían los compromisos de seguridad declarados en sus autoevaluaciones.
El programa tiene tres niveles, y en cuál de ellos te sitúas depende del tipo de información que pasa por tus sistemas.
- Nivel 1 cubre la protección básica de FCI y requiere una autoevaluación anual frente a un conjunto reducido de prácticas.
- Nivel 2 aplica a los contratistas que manejan CUI y se alinea con NIST SP 800-171 Rev 2, un catálogo de 110 prácticas que abarca control de acceso, respuesta a incidentes y monitorización de sistemas.
- Nivel 3 está reservado para los programas de mayor riesgo e incorpora prácticas seleccionadas de NIST SP 800-172 sobre todo lo requerido en el Nivel 2.
La elegibilidad para la adjudicación pasa por el Sistema de Riesgo de Rendimiento de Proveedores (SPRS), donde los responsables de contratación verifican tu estado en CMMC antes de realizar una adjudicación, y por un Identificador Único CMMC (UID) vinculado a tu registro de evaluación. Las normas de adquisición exigen que los responsables de contratación verifiquen este estado antes de que un licitador pueda ganar un contrato que especifique un nivel CMMC.
En el momento de redactar este artículo, la Oficina del CIO del DoD suspendió la transición de la Fase 2 a las evaluaciones obligatorias de Nivel 2 por terceros (C3PAO), limitando las designaciones permitidas a Nivel 1 Autoevaluación y Nivel 2 Autoevaluación durante una revisión de 60 días. Las cláusulas de protección DFARS vigentes siguen en vigor independientemente de la suspensión, por lo que los contratistas deben mantener actualizadas sus autoevaluaciones, planes de seguridad del sistema y planes de acción en lugar de esperar a que concluya la pausa.
Qué verifica realmente la certificación ISO 27001
ISO/IEC 27001:2022 es una norma de sistema de gestión, no una lista de verificación fija. Te pide que construyas un Sistema de Gestión de la Seguridad de la Información (SGSI): un programa estructurado y basado en el riesgo para identificar las amenazas a tus activos de información, decidir cómo tratarlas y demostrar que el tratamiento funciona con el tiempo. El núcleo de la norma es la evaluación del riesgo, que alimenta una Declaración de Aplicabilidad (SoA), un documento que lista todos los controles del Anexo A e indica si los has aplicado y por qué. El propio Anexo A es un catálogo de 93 controles agrupados en temáticas como control de acceso, criptografía y relaciones con proveedores, pero es una lista de referencia, no un mandato: justificas cada inclusión o exclusión en función de tu propio panorama de riesgos.
La certificación se realiza a través de un organismo de certificación acreditado e independiente en un proceso de dos fases.
- Fase 1 es una revisión documental, en la que el auditor comprueba que el alcance del SGSI, las políticas y la evaluación del riesgo son suficientemente completos para auditarlos.
- Fase 2 es la auditoría de implementación, en la que el auditor verifica que los controles operan realmente tal como se documentaron.
- Las organizaciones certificadas se someten posteriormente a auditorías de seguimiento anuales y a una recertificación completa cada tres años.
Lo que la certificación ISO 27001 demuestra a un cliente o socio es que tu programa de seguridad está gestionado de forma deliberada y verificado de manera independiente. Lo que no hace es satisfacer automáticamente una cláusula de contratación del DoD. La norma no contempla los conceptos de FCI o CUI, no establece un estándar de criptografía obligatorio ni plazos de notificación al gobierno, por lo que un certificado por sí solo no le dice nada a un responsable de contratación sobre la preparación para CMMC. Una lista de verificación para la certificación ISO 27001 recorre la secuencia completa si estás definiendo el alcance por primera vez, y una guía sobre la Declaración de Aplicabilidad explica cómo se elabora la SoA.
Cómo se mapean los controles de ISO 27001 con CMMC Nivel 2
La pregunta práctica para la mayoría de los equipos de cumplimiento no es si los dos marcos se solapan, sino cuánto trabajo ahorra un programa ISO 27001 existente de cara a CMMC Nivel 2. Los conjuntos de datos de mapeo de controles que hacen seguimiento de ambos marcos en paralelo muestran que el solapamiento es sustancial.
Un conjunto de datos de mapeo de controles lista la mayoría de los controles como compartidos entre ISO 27001 y CMMC Nivel 2, con solo unos pocos exclusivos de ISO 27001 y ninguno exclusivo de CMMC Nivel 2, con apenas un puñado de elementos solo de ISO y ningún elemento solo de CMMC en esa comparación. Esto significa que una organización con un SGSI maduro ya está abordando la gran mayoría de las prácticas que exige NIST SP 800-171, al menos a nivel de política y proceso.
El solapamiento es más claro en algunos dominios:
Control de acceso. Ambos marcos exigen que limites el acceso a los sistemas a usuarios autorizados y que apliques el principio de mínimo privilegio. El control 5.15 del Anexo A de ISO y las cláusulas relacionadas de gestión del acceso satisfacen en gran medida la intención de la familia de control de acceso de CMMC, pero los evaluadores de CMMC quieren ver la política de control de acceso vinculada a evidencia técnica específica: registros de revisión de cuentas y definiciones de roles documentadas en el formato del Plan de Seguridad del Sistema, no solo referenciadas en un fichero de políticas del SGSI.
Respuesta a incidentes. ISO 27001 requiere un proceso documentado de gestión de incidentes en las cláusulas 5.24 a 5.28 del Anexo A. CMMC Nivel 2 espera el mismo proceso, pero añade una obligación de notificación al gobierno: plazos específicos de notificación de incidentes al DoD que ISO no contempla de forma equivalente.
Gestión de cuentas privilegiadas. Ambos marcos esperan controles más estrictos sobre las cuentas administrativas. Donde CMMC se diferencia es en exigir autenticación multifactor para todos los accesos privilegiados y remotos, un control técnico específico que el enfoque basado en el riesgo de ISO podría satisfacer de otra manera según tu evaluación del riesgo.
La medida práctica es construir un mapeo cruzado desde el principio: lista cada práctica de NIST SP 800-171, anota qué control del Anexo A de ISO o qué proceso del SGSI ya la cubre, y señala las prácticas sin equivalente en ISO. Ese mapeo cruzado se convierte en tu lista de brechas y te evita volver a documentar políticas que ya tienes en un formato ligeramente diferente solo porque dos auditores distintos las leerán eventualmente.
Dónde CMMC exige más de lo que requiere ISO 27001
Los datos de solapamiento son tranquilizadores, pero la brecha restante es donde los contratistas del DoD tropiezan, porque CMMC es prescriptivo en los ámbitos donde ISO deliberadamente deja la decisión en tus manos. ISO 27001 es una norma basada en el riesgo por diseño: si tu evaluación del riesgo concluye que un control es innecesario para tu contexto, lo documentas y sigues adelante. CMMC no ofrece esa flexibilidad para sus requisitos técnicos básicos.
Tres categorías de brecha aparecen de forma recurrente en organizaciones con certificación ISO que se preparan para CMMC:
- Controles técnicos obligatorios. CMMC exige autenticación multifactor en todos los accesos remotos y privilegiados, módulos criptográficos validados por FIPS para proteger CUI y, a menudo, listas blancas de aplicaciones, independientemente de lo que concluya tu evaluación del riesgo. ISO podría aceptar un control compensatorio; CMMC, por lo general, no.
- Artefactos de evidencia formales. Los evaluadores de CMMC esperan un Plan de Seguridad del Sistema (SSP) elaborado en un formato específico que se mapea directamente con las 110 prácticas de NIST SP 800-171, más un Plan de Acción e Hitos (POA&M) que hace seguimiento de cada brecha abierta con una fecha de remediación. Los requisitos de documentación de ISO son reales, pero no siguen esta estructura exacta.
- Obligaciones operativas exclusivas del trabajo gubernamental. CMMC exige un perímetro CUI definido (un mapa claro de cada sistema, segmento de red y ubicación de almacenamiento donde el CUI existe o circula), plazos específicos de notificación de incidentes al DoD y un proceso de afirmación continua en el que alguien de tu organización certifica periódicamente que los controles siguen en vigor.
Consejo práctico: Elabora el diagrama de tu perímetro CUI antes de tocar la plantilla del SSP. Todos los demás artefactos —desde el POA&M hasta la evidencia de control de acceso— dependen de saber exactamente qué sistemas están dentro del alcance.
La retención de registros es también una brecha menor pero recurrente: ISO espera que monitorices y revises los registros como parte de tu SGSI, pero los evaluadores de CMMC buscan períodos de retención específicos y controles de integridad que muchos programas ISO no han formalizado. Nada de esto significa que el trabajo en ISO haya sido inútil. Significa que el programa ISO te dio la estructura de gobernanza y que CMMC te pide que incorpores a esa estructura controles técnicos y procedimentales específicos y auditables.
Quién te evalúa y cuándo
Los dos marcos utilizan modelos de evaluación diferentes, y saber cuál aplica en tu caso cambia tu cronograma y presupuesto.
La certificación ISO 27001 siempre la realiza un organismo de certificación acreditado e independiente, siguiendo el proceso de Fase 1 y Fase 2 descrito anteriormente, con auditorías de seguimiento en los años uno y dos y recertificación en el año tres. Una guía sobre las fases de auditoría de ISO 27001 lista los registros de muestra que los auditores suelen solicitar en cada fase.
La evaluación de CMMC depende del nivel requerido. El Nivel 1 y, actualmente, el Nivel 2 pueden completarse como una autoevaluación enviada al SPRS. En el marco de la Fase 2 pausada, las evaluaciones de terceros para el Nivel 2 las realizan Organizaciones de Evaluación de Terceros Certificadas (C3PAO), mientras que el Centro de Evaluación de Ciberseguridad de la Base Industrial de Defensa (DIBCAC) gestiona las evaluaciones lideradas por el gobierno para determinados contratos.
- Las autoevaluaciones son típicamente anuales, vinculadas al requisito de afirmación continua.
- Las certificaciones CMMC de terceros, una vez implementadas completamente, se espera que sigan un ciclo de tres años similar al de ISO.
- Los responsables de contratación verifican tu estado a través del SPRS antes de la adjudicación, y tu UID CMMC pasa a formar parte del expediente del contrato.
- El 32 CFR y las normas del programa en acquisition.gov rigen exactamente qué cláusulas requieren qué nivel, por lo que el lenguaje de la licitación debe comprobarse siempre en lugar de darse por supuesto.
Dado que la suspensión de la Fase 2 modifica lo que es actualmente exigible, la práctica más segura es tratar los memorandos del CIO del DoD y el texto del programa en acquisition.gov como tu fuente de verdad, en lugar de resúmenes de segunda mano, ya que las normas han cambiado más de una vez en poco tiempo.
Una hoja de ruta en seis pasos de ISO a la preparación para CMMC
Una vez que sabes dónde se sitúa el solapamiento y dónde están las brechas, el problema de la secuenciación se vuelve manejable. La mayoría de las organizaciones que ya gestionan un SGSI pueden seguir un camino directo.
- Define el alcance del SGSI en torno a los sistemas y datos más relevantes, incluidos los que eventualmente manejarán CUI.
- Realiza la evaluación del riesgo y elabora la SoA, documentando qué controles del Anexo A has aplicado y por qué.
- Mapea tus controles ISO frente a las 110 prácticas de NIST SP 800-171 Rev 2, señalando cada brecha en lugar de asumir cobertura.
- Define el perímetro CUI y redacta el SSP, utilizando la evaluación del riesgo de ISO como punto de partida pero siguiendo el formato específico de CMMC.
- Genera entradas del POA&M para cada brecha abierta, priorizadas según su impacto en la elegibilidad para la adjudicación, con MFA, criptografía validada por FIPS y registro de eventos generalmente en la cima.
- Recopila el paquete de evidencias listo para la contratación: el SSP, el POA&M, los registros de acceso y los registros de respuesta a incidentes que un C3PAO o un responsable de contratación querrá revisar.
Las organizaciones con un programa ISO maduro suelen descubrir que la mayor parte de su trabajo en CMMC consiste en cerrar brechas en lugar de empezar desde cero, ya que los hábitos de gobernanza, evaluación del riesgo y documentación ya existen. Los elementos que vale la pena abordar primero son los que condicionan la elegibilidad para la adjudicación: MFA en todos los puntos donde se requiere, un POA&M operativo, un perímetro CUI definido y un registro de eventos defendible.
Consejo práctico: Pasa tu lista de brechas por una evaluación de madurez antes de comprometer presupuesto. Saber dónde te encuentras en los cuatro temas de control de ISO/IEC 27001:2022 te indica qué elementos de remediación son victorias rápidas y cuáles requieren nuevas herramientas.
Para este tipo de planificación están diseñados nuestra Evaluación de Preparación para ISO 27001 y nuestra Calculadora de Costes ISO 27001: convertir una lista de brechas en una partida presupuestaria y un cronograma defendible que puedas entregar a los responsables de contratación. Nuestra guía de cronograma de implementación también ayuda a establecer expectativas realistas sobre cuánto tiempo lleva cada fase.
El veredicto: ISO primero, CMMC cuando sea obligatorio
Persigue ISO 27001 para la postura de seguridad general de tu organización y su credibilidad comercial, y persigue CMMC específicamente cuando un contrato del DoD lo exija, tratando el programa ISO como la base sobre la que construyes y no como un sustituto.
Un plan práctico de 90 días tiene este aspecto: en el primer mes, completa la definición del alcance del perímetro CUI y realiza una evaluación de brechas de NIST SP 800-171 frente a tus controles ISO existentes. En el segundo mes, redacta tu SSP y elabora entradas de muestra del POA&M para las brechas encontradas, priorizando el despliegue de MFA y la retención de registros. En el tercer mes, cierra las brechas técnicas de mayor prioridad y prepara el paquete de evidencias que esperaría una autoevaluación o una revisión de un C3PAO.
Recurre a especialistas externos cuando las brechas impliquen la selección de criptografía validada por FIPS o disputas sobre el perímetro CUI en segmentos de red complejos. Para elaborar el presupuesto y defenderlo ante la dirección, una calculadora de costes basada en dominios ISO y niveles de madurez es el punto de partida más rápido antes de que entren en juego los honorarios de especialistas.
CMMC Nivel 3 y el alcance completo más allá del Nivel 2
La mayor parte del debate CMMC vs. ISO 27001 se centra en el Nivel 2, ya que ahí es donde se sitúa la mayoría de los contratistas que manejan CUI, pero el Nivel 3 importa para quienes apoyan los programas de mayor riesgo del DoD. El Nivel 3 mantiene todos los requisitos del Nivel 2 y añade un conjunto más pequeño de prácticas seleccionadas de NIST SP 800-172, que se centra en la defensa frente a amenazas persistentes avanzadas más que en la higiene básica.
Mientras que el Nivel 2 trata principalmente de demostrar e implementar de forma auditable las 110 prácticas de SP 800-171, las evaluaciones del Nivel 3 las realiza directamente el gobierno en lugar de a través de un C3PAO, lo que refleja la sensibilidad de los programas involucrados. ISO 27001 no tiene un nivel equivalente: su modelo SGSI escala por el resultado de la evaluación del riesgo, no por una escalera fija de niveles definidos por el gobierno. Una organización que necesite el Nivel 3 no debe esperar que un certificado ISO, por maduro que sea, cubra más que una fracción del trabajo adicional, ya que las prácticas de SP 800-172 abordan escenarios de amenaza que los controles de propósito general del Anexo A de ISO nunca fueron diseñados para anticipar. Trata el Nivel 3 como su propio proyecto con su propia aportación especializada, construido sobre la base del Nivel 2 y no superpuesto directamente a un programa ISO.
Implementar ISO 27001 junto con la preparación para CMMC
Las organizaciones rara vez tienen el lujo de perseguir ISO 27001 y la preparación para CMMC en estricta secuencia, especialmente cuando ya hay un plazo contractual en el calendario. El punto de integración práctico es la evaluación del riesgo: elaborarla una sola vez, con un alcance suficientemente amplio para cubrir tanto el SGSI como el entorno CUI, y dejar que alimente tanto la Declaración de Aplicabilidad de ISO como el análisis de brechas de CMMC.
La documentación de políticas es la siguiente capa compartida. Una política de control de acceso, un plan de respuesta a incidentes y un proceso de gestión de proveedores redactados para satisfacer el Anexo A de ISO pueden ampliarse —no reescribirse— para cumplir las expectativas de evidencia más específicas de CMMC. La alternativa, llevar dos esfuerzos de documentación separados en paralelo, tiende a producir políticas inconsistentes que confunden a ambos auditores.
El momento también importa. Los equipos que programan su auditoría de Fase 2 de ISO y su autoevaluación CMMC en el mismo trimestre suelen descubrir que el ejercicio de recopilación de evidencias para una sirve directamente a la otra, ya que los registros de acceso, los registros de formación y los planes de tratamiento del riesgo sirven a ambas revisiones. La principal precaución es el alcance: un SGSI definido para una única unidad de negocio no cubrirá automáticamente el perímetro CUI que requiere un contrato del DoD, por lo que la conversación sobre el alcance debe producirse antes de reservar cualquiera de las dos auditorías, no durante ellas.
Qué implica esto para subcontratistas y socios de la cadena de suministro
CMMC fluye hacia abajo a través de la cadena de suministro. Un contratista principal que maneja CUI generalmente debe trasladar ese mismo requisito a cualquier subcontratista que toque la misma información, lo que significa que un pequeño subcontratista varios eslabones más abajo puede encontrarse necesitando la certificación de Nivel 2 incluso sin tener un contrato directo con el DoD. Aquí es donde el enfoque ISO-first rinde beneficios desproporcionados para los proveedores más pequeños: un SGSI existente les da una ventaja inicial creíble cuando un contratista principal comienza a hacer preguntas de seguridad durante la debida diligencia de proveedores.
La certificación ISO 27001, aunque no es un sustituto de CMMC, sigue funcionando como una señal útil en las relaciones comerciales de la cadena de suministro y en el cribado inicial de proveedores, porque demuestra que existe un programa de seguridad auditado de forma independiente. Los contratistas principales que evalúan subcontratistas suelen utilizar la certificación ISO como filtro antes de que el estado CMMC entre siquiera en la conversación, simplemente porque es un indicador más rápido de que "este proveedor tiene un programa de seguridad funcionando".
El riesgo práctico para los socios de la cadena de suministro es el desajuste en los tiempos: un subcontratista que espera hasta que un contratista principal exige evidencias CMMC antes de iniciar cualquier trabajo en su programa de seguridad llegará con meses de retraso. Construir primero el SGSI y luego incorporar los artefactos específicos de CMMC una vez confirmado el requisito contractual mantiene a un proveedor más pequeño fuera de la lista de excluidos por falta de preparación.
Comparación del coste y la carga de recursos de cada camino
El presupuesto para ISO 27001 y CMMC requiere entradas diferentes, porque los factores de coste no son los mismos. Los costes de ISO 27001 escalan principalmente con el tamaño de la organización, la complejidad del alcance del SGSI y las tarifas de auditoría del organismo de certificación a lo largo del proceso de Fase 1 y Fase 2 más tres años de seguimiento. Los costes de CMMC escalan con las brechas técnicas específicas que debes cerrar, ya que requisitos prescriptivos como los módulos criptográficos validados por FIPS, el despliegue de MFA en todos los puntos de acceso remoto y privilegiado y la rearquitectura del perímetro CUI pueden requerir nuevas inversiones en infraestructura que un programa ISO basado en el riesgo quizás nunca habría necesitado.
El personal es la otra variable importante. Un programa ISO 27001 typically necesita un responsable del SGSI dedicado y soporte periódico de auditoría interna. El cumplimiento de CMMC añade la carga continua del seguimiento del POA&M, la afirmación continua y la preparación para la notificación de incidentes, que tienden a requerir una atención operativa más sostenida que un ciclo anual de seguimiento ISO.
Las organizaciones que ya tienen la certificación ISO suelen enfrentarse a un coste incremental menor para CMMC que las que parten de cero, ya que los hábitos de gobernanza y documentación se transfieren, pero los elementos de remediación técnica —especialmente criptografía y MFA— suelen requerir gasto de capital independientemente del historial de certificación. Estimar estos costes de antemano —en lugar de descubrirlos a mitad de una evaluación— es la diferencia entre una partida presupuestaria defendible y una situación de urgencia antes de un plazo contractual.
Por qué las prácticas de seguridad sólidas superan a los parches de lista de verificación
El cumplimiento normativo no es una auditoría puntual que superas y luego olvidas. Las organizaciones que más dificultades tienen con CMMC son las que trataron su certificado ISO como una línea de llegada en lugar de un compromiso de mantenimiento, y luego tuvieron que reconstruir los hábitos institucionales desde cero cuando apareció un nuevo marco.
Prioriza los controles que reducen el riesgo real y la exposición en auditorías al mismo tiempo: la autenticación multifactor, el registro centralizado y un proceso de respuesta a incidentes probado importan independientemente de si hay un evaluador observando. Superar una auditoría y ser seguro son afirmaciones relacionadas pero distintas, y la brecha entre ellas suele aparecer en la integridad de la evidencia —es decir, si tus registros reflejan realmente lo que ocurrió, no solo lo que la política dice que debería haber ocurrido.
— Martin
Estima tu esfuerzo en ISO 27001 antes de comprometer presupuesto
Mapear ISO 27001 frente a CMMC solo es útil si puedes convertir la lista de brechas en una cifra que la dirección aprobará. Hemos diseñado nuestra calculadora en tiempo real para tomar el tamaño de tu empresa, tu sector y tu madurez de seguridad actual y devolverte una estimación personalizada de lo que costará la implementación completa de ISO 27001 y cuánto tiempo llevará, con cada hipótesis editable para que puedas cuestionarla o ajustarla en lugar de aceptar una cifra de caja negra sin más.
Empieza con nuestra comprobación de preparación gratuita de 2 minutos para ver dónde se sitúan tus brechas antes de comprometerte con un plan de proyecto completo. A partir de ahí, nuestra evaluación de madurez compara tu programa en los cuatro temas de control de ISO/IEC 27001:2022 frente a valores de referencia del modelo, para que puedas mostrar a un responsable de contratación o a un interlocutor interno exactamente dónde te encuentras en lugar de describirlo en términos generales. Nuestra Evaluación de Preparación para ISO 27001 se basa en eso con una revisión más profunda cuando necesitas más que una comprobación rápida.
Una vez que tengas una imagen de madurez, nuestra calculadora de costes la convierte en un presupuesto, con informes en PDF exportables y enlaces compartibles para que puedas guardar varios escenarios y compararlos lado a lado a medida que evoluciona tu lista de brechas de CMMC. Si quieres ver cómo se construyen las cifras antes de confiar en ellas, nuestra metodología del modelo de costes expone toda la lógica de cálculo. Realiza la comprobación gratuita hoy y convierte tu hoja de ruta de ISO a CMMC en una cifra que puedas presentar a los interlocutores clave.
Preguntas frecuentes
¿Está disponible la certificación ISO 27001 en EE. UU.?
Sí. La certificación ISO 27001 la realizan organismos de certificación acreditados que operan en los Estados Unidos, siguiendo el mismo proceso de auditoría de Fase 1 y Fase 2 y el ciclo de tres años utilizados en todo el mundo. No es una credencial emitida por el gobierno, por lo que cualquier organismo de certificación acreditado puede expedirla a una organización estadounidense.
¿Cuáles son las principales diferencias entre CMMC Nivel 2 e ISO 27001?
CMMC Nivel 2 es una certificación obligatoria del DoD alineada con NIST SP 800-171 Rev 2 con requisitos técnicos prescriptivos como MFA obligatorio y criptografía validada por FIPS, mientras que ISO 27001 es una norma voluntaria basada en el riesgo que permite a las organizaciones justificar sus propias elecciones de controles. Los dos se solapan ampliamente a nivel de política, pero CMMC añade artefactos específicos como el SSP y el POA&M que ISO no exige en ese formato.
¿Es CMMC exclusivo del DoD?
CMMC aplica a las organizaciones de la Base Industrial de Defensa que manejan Información de Contratos Federales o Información No Clasificada Controlada en el marco de contratos del DoD, incluidos los subcontratistas varios eslabones más abajo en la cadena de suministro. No es una certificación de seguridad comercial de propósito general como lo es ISO 27001.
¿Es NIST equivalente a ISO 27001?
No exactamente. NIST SP 800-171 es una lista prescriptiva de prácticas sobre la que se construye directamente CMMC Nivel 2, mientras que ISO 27001 es una norma de sistema de gestión más amplia y basada en el riesgo que se solapa con gran parte de la intención de NIST pero sigue una estructura y un proceso de certificación diferentes.
Fuentes
- Implementación de la suspensión de la Fase II de CMMC — DoD CIO
- Acquisition
- ISO 27001 vs CMMC Nivel 2 — ControlMapping
- NIST SP 800-171 Rev 2 — NIST
- ¿Cuáles son las diferencias entre ISO 27001 y CMMC? — Smithers
Recomendado
- Cronograma de implementación de ISO 27001: qué esperar
- Plan de acción de 60-90 días: patrocinio ejecutivo de ISO 27001 para implementadores
- Lista de verificación para la certificación ISO 27001: 80 pasos hacia la certificación
- Plan de proyecto ISO 27001 en 12 semanas: entregables semana a semana listos para copiar