SBA: suspenden la Fase II de CMMC; alivio para pequeños contratistas de defensa | Comprando América
Por Equipo Comprando América · 2026-07-16
La Fase II de CMMC, prevista para noviembre, quedó suspendida. Qué deben revisar pequeños contratistas de defensa sobre costos, datos y contratos.
La Fase II del programa Cybersecurity Maturity Model Certification (CMMC), prevista para entrar en vigor el 10 de noviembre de 2026, quedó suspendida mientras el gobierno revisa su implementación. La Small Business Administration (SBA) presentó la medida como un alivio para pequeños contratistas y proveedores de la base industrial de defensa que enfrentaban costos elevados y un cuello de botella de evaluadores.
Para empresarios latinoamericanos que operan una LLC manufacturera, tecnológica, logística o de servicios y buscan vender al gobierno federal, la suspensión no significa que la ciberseguridad dejó de importar. Significa que existe una ventana para revisar contratos, datos, controles y presupuesto antes de comprometerse con una certificación o con una oportunidad de adquisición.
Qué anunció la SBA sobre CMMC
En su comunicado del 13 de julio de 2026, la SBA respaldó la suspensión de los requisitos de la Fase II de CMMC por parte del organismo de defensa citado en la publicación. El lanzamiento estaba programado para el 10 de noviembre, pero ahora se realizará una revisión integral para recalibrar el programa.
La SBA sostiene que pequeñas empresas de la Defense Industrial Base (DIB) advirtieron durante meses que el marco actual podía imponer cargas burocráticas y costos que las empujaban a abandonar, o considerar abandonar, el trabajo relacionado con defensa. La revisión busca mantener protección cibernética para datos federales sin bloquear a proveedores calificados.
El dato que cambia el cálculo financiero
La agencia estima que el costo total de cumplimiento puede acercarse a US$593,800 por certificación para una pequeña empresa que necesite evaluación de un tercero. Para firmas elegibles para autoevaluación, la estimación citada es de aproximadamente US$388,600.
También afirma que más de 120,000 pequeñas empresas de la base industrial de defensa habrían tenido que avanzar hacia el cumplimiento de la Fase II con alrededor de 100 evaluadores aprobados. Esa combinación de demanda y capacidad limitada podía elevar costos, retrasar certificaciones y dejar fuera de licitaciones a proveedores que, en lo operativo, sí podían entregar el producto o servicio.
Para una compañía con capital disponible de US$150,000 a US$500,000, esas cifras pueden superar una porción importante de su presupuesto de expansión. Antes de perseguir un contrato, conviene modelar el costo de personal, consultoría, tecnología, documentación, remediación y evaluación; no solo la tarifa visible de un asesor.
Qué protege CMMC y por qué sigue siendo relevante
CMMC fue diseñado para proteger Controlled Unclassified Information (CUI) y Federal Contract Information (FCI) mediante tres niveles de requisitos y certificación. La Fase II podía exigir una autoevaluación o una evaluación de tercero, según las condiciones del contrato.
La suspensión de una fase no elimina las obligaciones que ya estén incorporadas en una solicitud de propuestas, un contrato, una cláusula federal o la relación con un contratista principal. Tampoco autoriza a tratar información sensible sin controles. Cada empresa debe leer la documentación aplicable a su oportunidad concreta y confirmar qué estándar se exige hoy.
El ángulo real para una LLC proveedora
El error sería interpretar la pausa como permiso para detener el trabajo de seguridad. La lectura útil es distinta: una LLC obtiene tiempo para identificar qué datos recibe, dónde se almacenan, quién accede a ellos, qué subcontratistas participan y cómo documentaría un incidente.
Ese inventario ayuda incluso si la versión final del programa cambia. También permite separar inversiones necesarias —gestión de acceso, respaldo, respuesta a incidentes, capacitación y control de proveedores— de gastos prematuros vinculados con una ruta de certificación que todavía puede ser recalibrada.
Si la empresa es subcontratista, debe revisar además qué obligaciones le transfiere el contratista principal. Un acuerdo comercial puede imponer controles, reportes o evidencia más estrictos que los mínimos que la empresa asumía. La suspensión gubernamental no modifica automáticamente un contrato privado ya firmado.
Checklist antes de cotizar un contrato de defensa
Primero, clasifica la información que recibirías y confirma si incluye CUI o FCI. Segundo, identifica la cláusula contractual y el nivel de evaluación esperado. Tercero, solicita por escrito al contratista principal o al oficial de contratación la versión vigente del requisito y su calendario.
Cuarto, calcula el costo total de cumplimiento y añádelo al precio, al flujo de caja y al cronograma. Quinto, revisa a proveedores de nube, software, soporte y nómina que podrían tocar información del proyecto. Sexto, conserva evidencia de políticas, accesos, capacitación, respaldos, incidentes y correcciones.
Séptimo, evita pagar por una certificación basándote solo en mensajes comerciales de urgencia. La SBA anunció una revisión; por eso, cualquier propuesta de consultoría debe explicar qué trabajo es útil ahora, qué depende de la regla futura y qué entregables conservará la empresa.
Qué debe vigilar un comprador LATAM
Quien evalúa adquirir una compañía que vende a defensa debe incluir CMMC y ciberseguridad en la debida diligencia. Revisa contratos, cuestionarios, evaluaciones previas, incidentes, seguros, proveedores tecnológicos y promesas realizadas a clientes. Un precio atractivo puede ocultar una obligación de remediación importante o una dependencia crítica de un único contrato.
También conviene validar que los ingresos atribuidos al mercado federal sean sostenibles bajo el calendario revisado. La suspensión reduce presión inmediata, pero no garantiza que una empresa calificará después ni que los requisitos finales serán más baratos en todos los casos.
La lectura para Comprando América
La pausa de la Fase II abre espacio para planificar, no para improvisar. Una LLC que quiera competir en la cadena de defensa debe usar este periodo para entender sus datos, documentar controles y decidir con números si la oportunidad compensa el costo de cumplimiento.
Fuente: U.S. Small Business Administration, SBA Commends U.S. Department of War’s Suspension of CMMC Phase II for Small Defense Contractors, 13 de julio de 2026.
Comprando América ayuda a empresarios LATAM a evaluar negocios y oportunidades en Estados Unidos con contexto financiero y operativo. Antes de comprar una empresa o cotizar un contrato federal, coordina la revisión legal, técnica y contable de tu caso.