CMMC Nivel 1: los 15 requisitos de salvaguarda básica, en palabras sencillas

La FAR 52.204-21 la define, en inglés: “Federal contract information means information, not intended for public release, that is provided by or generated for the Government under a contract to develop or deliver a product or service to the Government, but not including information provided by the Government to the public (such as on public websites) or simple transactional information, such as necessary to process payments.”

En palabras sencillas, es la información no pública del propio contrato que está en sus sistemas o pasa por ellos. Los 15 requisitos tratan de proteger esos sistemas.

El párrafo (b)(1) de la cláusula los enumera. Cada punto de abajo da la letra del requisito en la cláusula, el identificador que le da CMMC y una lectura sencilla que es de Firmenza, no de la cláusula ni asesoría legal. Las palabras exactas de la cláusula están en acquisition.gov, enlazadas al pie de esta guía.

1. Requisito (i), identificador de CMMC AC.L1-b.1.i: Solo las personas, los programas y los dispositivos que usted ha permitido pueden entrar en sus sistemas.
2. Requisito (ii), identificador de CMMC AC.L1-b.1.ii: Cada persona puede hacer en sus sistemas solo lo que necesita su trabajo, no todo.
3. Requisito (iii), identificador de CMMC AC.L1-b.1.iii: Usted sabe qué sistemas externos se conectan a los suyos, como la herramienta de un proveedor o un dispositivo personal, y limita cómo se usan.
4. Requisito (iv), identificador de CMMC AC.L1-b.1.iv: Usted decide qué se publica en lugares públicos como su sitio web o sus redes sociales, y la información que no es para el público se queda fuera.
5. Requisito (v), identificador de CMMC IA.L1-b.1.v: Cada persona, programa y dispositivo que usa sus sistemas se puede distinguir de los demás, por ejemplo con su propio nombre de usuario.
6. Requisito (vi), identificador de CMMC IA.L1-b.1.vi: Antes de dejar entrar a alguien, usted confirma que es quien dice ser, por ejemplo con una contraseña y un segundo paso.
7. Requisito (vii), identificador de CMMC MP.L1-b.1.vii: Antes de tirar, vender o regalar una computadora, un teléfono, una unidad o un papel que contiene información del contrato, usted borra o destruye lo que tiene.
8. Requisito (viii), identificador de CMMC PE.L1-b.1.viii: Solo las personas que deben estar allí pueden entrar en las salas y los edificios donde está su equipo.
9. Requisito (ix), identificador de CMMC PE.L1-b.1.ix: A los visitantes se les acompaña y se les vigila, usted lleva un registro de quién entra y controla las llaves, las credenciales y los dispositivos parecidos.
10. Requisito (x), identificador de CMMC SC.L1-b.1.x: Usted vigila y protege lo que entra y sale de su red, y lo que pasa entre sus partes principales, por ejemplo con un cortafuegos.
11. Requisito (xi), identificador de CMMC SC.L1-b.1.xi: Todo lo que el público puede alcanzar, como el servidor de un sitio web, está en una parte de su red separada de sus computadoras internas.
12. Requisito (xii), identificador de CMMC SI.L1-b.1.xii: Cuando usted se entera de una falla en su software o sus sistemas, la reporta y la corrige sin demora, por ejemplo instalando las actualizaciones.
13. Requisito (xiii), identificador de CMMC SI.L1-b.1.xiii: Usted usa protección contra virus y otros programas dañinos en los lugares por donde podrían entrar, como las computadoras y el correo electrónico.
14. Requisito (xiv), identificador de CMMC SI.L1-b.1.xiv: Usted mantiene esa protección al día cuando su fabricante publica una versión nueva.
15. Requisito (xv), identificador de CMMC SI.L1-b.1.xv: Usted analiza sus sistemas con regularidad, y analiza los archivos de fuera cuando se descargan, se abren o se ejecutan.

Fecha de la cláusula: nov. de 2021, como la mostraba acquisition.gov en octubre de 2026.

Lo dice un contrato o una solicitud. La cláusula se aplica donde un contrato la incluye, y un requisito de Nivel 1 de CMMC se aplica donde una solicitud o un contrato lo establece. El funcionario de contratación de ese contrato puede decirle cuál, y un asesor gratuito o un abogado puede leer los términos con usted.

El Nivel 1 es una autoevaluación: la empresa revisa sus propias salvaguardas, sin un evaluador externo. Tiene que cumplir los 15 requisitos, y no se permite un plan de acción para un requisito que todavía no se cumple.

El resultado se ingresa en SPRS, el Supplier Performance Risk System, con una confirmación, y la autoevaluación se repite cada año. Antes de la adjudicación de un contrato que exige el Nivel 1, la empresa tiene que tener ese estado y haber presentado la confirmación. La evidencia de la evaluación se conserva durante seis años.

La evaluación y la confirmación son declaraciones que la empresa hace sobre sus propios sistemas.

La autoevaluación de salvaguardas básicas de Firmenza enumera los mismos 15 requisitos en su panel, con una lectura sencilla de cada uno, y le deja marcar cuáles están implementados, todavía no o no está seguro. Sus respuestas son privadas y solo de su cuenta, y el conteo que muestra es un conteo de sus propias marcas, no una puntuación.

Firmenza nunca hace, presenta ni confirma nada en SPRS ni en ningún otro lugar a partir de sus respuestas.

Si una cláusula o un requisito se aplica a un contrato en particular es una pregunta para su funcionario de contratación o para un abogado. La ayuda gratuita que ya existe nombra las redes de asesores que orientan sin costo a las pequeñas empresas sobre contratación federal, y la ayuda con SAM.gov dice a cuál preguntar primero.