Ayer se suponía que era la fecha límite. El 10 de noviembre de 2026, los requisitos de la Fase II de CMMC debían entrar en vigor, y los pequeños contratistas de defensa que manejan Información No Clasificada Controlada habrían necesitado certificación de terceros para seguir siendo elegibles para nuevas adjudicaciones de contratos. En cambio, el requisito está en pausa. El Departamento de Guerra suspendió la Fase II el 13 de julio de 2026, después de que la Agencia Federal de Pequeños Negocios estimara que la certificación completa de terceros podría costarle a una pequeña empresa aproximadamente $593,800, frente a unos $388,600 para las empresas elegibles para la vía de autoevaluación.
Si tienes contratos de defensa o subcontratas en ellos, esto no es una orden de retirada. Es un evento de represupuestación. La tarifa de evaluación que temías queda aplazada, pero cada obligación de seguridad subyacente sigue siendo exigible, y el dinero que ya gastaste todavía tiene que ir a las cuentas correctas. Esta entrada explica qué se suspendió realmente, por qué el Pentágono pulsó la pausa y cómo gestionar tu presupuesto de cumplimiento para que la pausa te ahorre dinero en lugar de desordenar tus libros.
Qué se suspendió y qué no
La suspensión apunta a un mecanismo específico: el requisito obligatorio de evaluación por terceros de la Fase II. Los contratistas que manejan CUI habrían necesitado la certificación de una Organización Certificada de Evaluación por Terceros, conocida como C3PAO, para seguir siendo elegibles para los contratos cubiertos. Esa barrera de certificación está ahora en pausa a la espera de una revisión integral del programa, y no se ha fijado una nueva fecha.
Todo lo demás siguió funcionando. Los requisitos de autoevaluación de la Fase 1 siguen plenamente vigentes, lo que significa que todavía evalúas tus propios sistemas frente a NIST SP 800-171 Revisión 2 y envías tus puntuaciones a través del Supplier Performance Risk System. La cláusula DFARS 252.204-7012, la obligación contractual subyacente de salvaguardar la información de defensa cubierta, no ha cambiado ni se ha visto afectada. Si tus contratos incluyen esa cláusula, tu deber de proteger la información nunca parpadeó.
Piénsalo así: el gobierno pausó la auditoría externa, no los deberes. Tu Plan de Seguridad del Sistema, tus Planes de Acción e Hitos para las brechas que no has cerrado, tu preparación para responder a incidentes y tu puntuación actual en SPRS siguen importando. Un oficial de contratación todavía puede preguntar por ellos, y un contratista principal que te transmita requisitos todavía puede exigir pruebas. Las empresas que traten la suspensión como unas vacaciones serán las que más se apresuren cuando llegue el nuevo calendario.
Por qué el Pentágono pulsó la pausa
Tres factores impulsaron la decisión, según las propias declaraciones públicas del departamento y la información del sector.
Primero, la carga de costos. El análisis de la SBA situó los costos totales de cumplimiento en aproximadamente $593,800 por certificación para las pequeñas empresas que requieren evaluación por terceros. Esa cifra agrupa la remediación, la documentación, las herramientas y las tarifas de evaluación, y para las empresas que operan con márgenes del sector defensa aparentemente bastaba para empujar a algunas fuera de la Base Industrial de Defensa por completo. Las estimaciones más ajustadas del propio departamento cuentan la misma historia a menor escala: aproximadamente $105,000 a lo largo del ciclo de certificación de tres años para una evaluación C3PAO de Nivel 2 de pequeña entidad, y eso cubre solo la evaluación, no el trabajo de seguridad que hay detrás. La autoevaluación de Nivel 1 cuesta unos $6,000 al año, mientras que la vía de autoevaluación de Nivel 2 suma aproximadamente $37,000 en tres años. Con más de 100,000 pequeñas empresas en el ámbito de aplicación, el costo agregado parecía una barrera de entrada justo para los proveedores que el Pentágono dice querer.
Segundo, la capacidad de los evaluadores. El número de C3PAO acreditadas no era suficiente para procesar el volumen de contratistas que necesitaban certificación antes de la fecha límite de noviembre. Una fecha de cumplimiento estricta combinada con demasiado pocos evaluadores creó un cuello de botella estructural que el departamento no podía resolver dentro del calendario existente. Incluso los contratistas dispuestos a pagar no podían estar seguros de ser evaluados a tiempo.
Tercero, la alineación de políticas. El liderazgo de adquisiciones del departamento ha priorizado la velocidad hacia la capacidad y la reducción de barreras de entrada para contratistas pequeños y no tradicionales. Un ciclo de certificación plurianual y de alto costo se consideró incompatible con esa directiva, por lo que la suspensión llegó junto con una revisión integral dirigida por un Grupo de Trabajo de Reforma de CMMC recién formado. El mensaje público fue que la ciberseguridad en sí no se está reduciendo, solo la burocracia en torno a demostrarla.
Ninguna de estas razones sugiere que el requisito desaparezca. La presión de costos aboga por una vía más barata, la escasez de evaluadores aboga por un calendario más largo y la reforma de adquisiciones aboga por una mecánica más simple. Cada uno de esos resultados sigue terminando con que tú demuestres el cumplimiento. Presupuesta en consecuencia.
Qué significa esto para tu presupuesto de cumplimiento ahora mismo
Empieza por dividir tu presupuesto de cumplimiento en tres compartimentos, porque la suspensión trata cada uno de forma diferente.
El compartimento uno son los controles que ya debes. Detección gestionada, retención de registros, autenticación multifactor, cadencia de parcheo, pruebas de copias de seguridad, formación en concienciación de seguridad y la documentación que prueba todo ello: nada de esto se suspendió. DFARS 252.204-7012 todavía lo exige, la autoevaluación de la Fase 1 todavía lo puntúa y tu puntuación SPRS todavía lo anuncia. Mantén este compartimento financiado a plena capacidad. Los recortes aquí no ahorran dinero; fabrican hallazgos para la eventual evaluación y debilitan tu posición en cada licitación que pregunte por tu postura de seguridad.
El compartimento dos es la tarifa de certificación diferida. Si tenías programado un depósito para una evaluación C3PAO o una evaluación de preparación con alcance para el otoño, ese gasto se traslada, no desaparece. No lo reabsorvas en fondos generales esperando que la fecha reprogramada traiga su propio presupuesto. Apártalo de forma visible como un importe reservado para que la futura evaluación no llegue como una sorpresa. Si ya pagaste un depósito, ese pago es un activo prepagado, no un gasto, y tus libros deben reflejarlo así hasta que la evaluación se realice realmente.
El compartimento tres es la higiene de evidencias que se acumula en ambos sentidos. La remediación de brechas frente a NIST SP 800-171, el mantenimiento de POA&M, las rutinas de recopilación de evidencias y el seguimiento de la transmisión de requisitos a subcontratistas se vuelven más baratos cuanto antes los construyas y más caros cuanto más los aplaces. Este es el lugar de mayor retorno para redirigir cualquier dinero liberado de la evaluación. Un contratista con evidencias limpias puede moverse rápido cuando aparezca el nuevo calendario; un contratista con un Plan de Seguridad del Sistema obsoleto paga tarifas urgentes por el mismo trabajo.
Un hecho presupuestario más a tu favor: los costos de cumplimiento generalmente se consideran admisibles en los contratos de defensa. El departamento ha declarado que los costos de cumplir con DFARS 252.204-7012 probablemente son admisibles e imputables a los fondos de costos indirectos, y los costos de certificación se han descrito como un costo admisible y reembolsable. Admisible no significa automático, y no significa rentable, pero sí significa que un seguimiento disciplinado convierte el gasto de cumplimiento de pura carga general en un costo contractual documentado. Eso solo funciona si tus libros pueden mostrar exactamente qué gastaste, en qué requisito y cuándo.
Registra la pausa correctamente: mantén visible el dinero de la evaluación
El error contable que invita la suspensión es mezclar estos compartimentos. Un depósito pagado por una evaluación ahora diferida se registra como gasto como si la evaluación hubiera ocurrido. Las suscripciones de herramientas se registran en TI genérico en lugar de en el esfuerzo de cumplimiento que respaldan. Las facturas de los contratistas de remediación se acumulan en una sola cuenta sin vínculo con las familias de controles que abordaron. Seis meses después, nadie puede reconstruir cuánto costó el programa ni qué dólares pertenecen a un fondo de costos indirectos.
Resuélvelo con cuentas separadas desde el principio: las tarifas de evaluación, las herramientas de seguridad y la mano de obra de remediación reciben cada una su propia cuenta de gastos, y cualquier pago por trabajo aún no realizado permanece en un activo prepagado hasta la entrega. Aquí está el patrón para un pequeño contratista que pagó un depósito de preparación en junio, mantuvo sus herramientas de detección funcionando durante la suspensión y acumuló un sprint de remediación de julio contra dos familias de controles NIST:
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "Readiness deposit ahead of November Phase 2 deadline"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "July managed detection and log retention"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contractor" "NIST 800-171 remediation sprint, access control and system protection families"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contractor" "Pay July remediation invoice"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USDFíjate en lo que la suspensión cambia en este libro: nada en las herramientas ni en la remediación, que siempre fueron necesarias, y nada en el depósito, que se queda justo donde está. Los $15,000 siguen siendo un activo prepagado porque la evaluación que pagan está diferida, no cancelada. Registrarlo como gasto ahora inflaría el costo de cumplimiento de este año y luego subestimaría el costo del año de la evaluación cuando llegue la factura contra un pago ya olvidado. Si llevas tus libros en texto plano, los patrones de seguimiento de costos de la documentación se extienden de forma natural a un desglose de cumplimiento por requisito como este.
Nombra el requisito en cada descripción. Cuando una futura evaluación, una consulta de la DCAA o tu propio proceso de cierre pregunte para qué fue un cargo, la descripción es la respuesta. "Sprint de remediación, familias de control de acceso y protección del sistema" sobrevive al escrutinio; "consultoría" no.
Cuatro errores que convierten una pausa en una penalización
La suspensión es generosa, pero castiga cuatro comportamientos específicos.
Primero, quedarse callado sobre SPRS. Tu puntuación de autoevaluación sigue siendo tu postura de seguridad pública, y los contratistas principales todavía la consultan antes de adjudicar subcontratos. Una puntuación que se degrada porque dejaste de actualizarla se lee peor que una puntuación modesta que mantienes activamente. Mantén la evaluación al día y sigue cerrando los POA&M según lo previsto.
Segundo, congelar la remediación a mitad de camino. Registro a medio migrar, una herramienta de acceso privilegiado parcialmente desplegada, documentación que describe la arquitectura antigua: los proyectos en pausa se degradan más rápido que las operaciones en estado estacionario. O terminas el control o le reajustas formalmente el alcance; no lo dejes a medio construir hasta que la nueva fecha límite fuerce un reinicio a tarifas urgentes.
Tercero, mezclar los costos de cumplimiento con la TI general. El tratamiento de admisibilidad anterior depende de la identificación. Si tu plataforma de detección, tu depósito del evaluador y los portátiles de tu oficina pasan todos por una sola cuenta de TI, no puedes demostrar qué dólares respaldaron un requisito contractual. Las cuentas separadas no cuestan nada de mantener y son la diferencia entre un costo indirecto documentado y una discusión.
Cuarto, dejar caducar la transmisión de requisitos a subcontratistas. Si eres contratista principal, tus subcontratistas que manejan información de contratos federales o CUI todavía heredan obligaciones a través de tus contratos independientemente de la pausa de la Fase II. Si eres subcontratista, los requisitos de tu contratista principal no quedaron suspendidos por un anuncio a nivel de departamento. Revisa las cláusulas de transmisión ahora, mientras nadie audita, en lugar de descubrir una brecha durante la ejecución.
Qué observar a continuación
Tres señales te dirán cómo termina la historia. Se esperaban las recomendaciones del Grupo de Trabajo de Reforma para el otoño de 2026, y esbozarán la mecánica de reemplazo: posible reciprocidad con otros marcos, vías de evaluación por niveles o un camino de transición más largo para las pequeñas empresas. Estate atento a una nueva fecha de entrada en vigor de la Fase II, que restablece cada supuesto de planificación de esta entrada el día en que se anuncie. Y vigila tu propia bandeja de entrada de los contratistas principales, porque los grandes contratistas a menudo imponen sus propios requisitos de seguridad a proveedores más rápido de lo que se mueve el departamento, haya suspensión o no.
Hasta entonces, la postura ganadora es aburrida: mantén tu casa de la Fase 1 en orden, mantén honesta tu puntuación SPRS, mantén financiada la remediación y mantén cada dólar de cumplimiento en una cuenta que nombre el requisito al que sirvió. Cuando llegue el nuevo calendario, querrás que la única sorpresa sea lo preparado que ya estabas. El último paso útil es el más pequeño: abre tus libros esta semana y confirma que tu dinero de evaluación diferido está en un activo prepagado, no enterrado en una cuenta de gastos donde el presupuesto del próximo año no pueda encontrarlo.
