Uno de los puntos de confusión más frecuentes entre los proveedores del DoD es entender las diferencias entre CMMC nivel 1 vs nivel 2 y qué implica cada nivel en términos de controles, tipo de evaluación y a quién aplica. Este artículo te lo explica en simple para que puedas determinar cuál te corresponde antes del plazo de noviembre de 2026.
CMMC nivel 1 vs nivel 2: la diferencia más importante
La diferencia clave entre CMMC nivel 1 vs nivel 2 no está solo en la cantidad de controles — está en el tipo de evaluación requerida. El nivel 1 permite autoevaluación anual: la empresa misma certifica su cumplimiento y lo reporta en el SPRS. El nivel 2, en cambio, requiere evaluación por un C3PAO acreditado cada tres años (o, en ciertos contratos de menor criticidad, autoevaluación triennial). El nivel 3 exige evaluación por el propio gobierno, a través de la DCSA.
Comparativa completa: CMMC nivel 1 vs nivel 2 vs nivel 3
- Nivel 1: 17 controles básicos de higiene cibernética (FAR 52.204-21). Aplica a proveedores que solo manejan FCI (Federal Contract Information). Autoevaluación anual.
- Nivel 2: 110 controles del NIST SP 800-171. Aplica a proveedores que manejan CUI. Evaluación C3PAO o autoevaluación (según criticidad del contrato), cada 3 años.
- Nivel 3: 110+ controles (NIST 800-171 + controles adicionales del NIST 800-172). Aplica a programas de alta prioridad del DoD. Evaluación gubernamental por DCSA.
¿Cómo saber cuál nivel de CMMC te aplica?
La forma más directa de determinar cuál nivel te aplica es revisar tu contrato con el DoD o con el prime contractor. Si el contrato menciona CUI, necesitas nivel 2. Si menciona programas críticos de seguridad nacional o hace referencia al NIST 800-172, podrías estar en el ámbito del nivel 3. Si solo hay FCI y ninguna mención de CUI, el nivel 1 puede ser suficiente. Ante la duda, siempre asume nivel 2 y busca confirmación.
Para profundizar en los controles específicos del nivel 2, lee nuestro artículo sobre los 110 controles CMMC nivel 2 explicados por dominio. Y para el detalle oficial del programa, visita la página oficial de CMMC del DoD.
¿No estás seguro de qué nivel te aplica? Contáctanos y revisamos tu contrato contigo para darte una respuesta clara.