CMMC BasicsConceptos de CMMC
What is CMMC and why does it matter now?¿Qué es CMMC y por qué importa ahora?
CMMC (Cybersecurity Maturity Model Certification) is the Department of Defense’s requirement that contractors protect federal information. It’s now contractual across the defense supply chain, so primes are pushing it down to their subcontractors.CMMC es el requisito del Departamento de Defensa para que los contratistas protejan la información federal. Ya es contractual en la cadena de suministro de defensa, por lo que los contratantes principales lo exigen a sus subcontratistas.
Do I need Level 1 or Level 2?¿Necesito Nivel 1 o Nivel 2?
It depends on the data your contract involves. Level 1 protects FCI (Federal Contract Information) — 15 requirements with an annual self-assessment. Level 2 protects CUI (Controlled Unclassified Information) — the 110 controls of NIST SP 800-171, often with a third-party assessment.Depende de los datos de su contrato. El Nivel 1 protege la FCI (información de contrato federal) — 15 requisitos con autoevaluación anual. El Nivel 2 protege la CUI (información controlada no clasificada) — los 110 controles de NIST SP 800-171, a menudo con evaluación de terceros.
My business is small — am I exempt?Mi empresa es pequeña — ¿estoy exento?
There’s no small-business exemption. Scope is driven by the data you handle, not your size. Even non-technical trades on a base — painters, HVAC, janitorial — can fall under Level 1.No hay exención para pequeñas empresas. El alcance depende de los datos que maneja, no de su tamaño. Incluso oficios no técnicos en una base — pintores, HVAC, limpieza — pueden caer bajo el Nivel 1.
Working With UsTrabajar con nosotros
Can you certify my company for CMMC?¿Pueden certificar mi empresa para CMMC?
No — and that’s by design. The rules say the same firm cannot both prepare and certify a client. We do the readiness work — closing gaps, writing your SSP and POA&M, hardening your systems — then an independent, accredited assessor (a C3PAO) performs the official certification.No — y es a propósito. Las reglas dicen que la misma empresa no puede preparar y certificar a un cliente. Nosotros hacemos la preparación — cerrar brechas, redactar su SSP y POA&M, fortalecer sus sistemas — y luego un evaluador acreditado e independiente (un C3PAO) realiza la certificación oficial.
Do you really work in Spanish?¿De verdad trabajan en español?
Yes — fully. Calls, documents, training, and support can all be in Spanish or English. Being understood is part of being secure.Sí — completamente. Llamadas, documentos, capacitación y soporte pueden ser en español o inglés. Entender es parte de estar seguro.
How long does readiness take?¿Cuánto tarda la preparación?
Level 1 is often a few weeks. Level 2 (NIST 800-171) typically takes several months depending on your current systems and how much CUI you handle. We’ll give you a realistic timeline after the assessment.El Nivel 1 suele tomar unas semanas. El Nivel 2 (NIST 800-171) normalmente toma varios meses según sus sistemas actuales y cuánta CUI maneja. Le daremos un cronograma realista después de la evaluación.
What does it cost?¿Cuánto cuesta?
It depends on your size, systems, and the level you need. We scope each engagement and give you a clear quote on your free readiness call — no surprises.Depende de su tamaño, sistemas y el nivel que necesita. Definimos cada proyecto y le damos una cotización clara en su llamada gratuita — sin sorpresas.
TechnicalTécnico
What’s the difference between FCI and CUI?¿Cuál es la diferencia entre FCI y CUI?
FCI is information provided by or generated for the government under a contract that isn’t public. CUI is more sensitive government information that requires specific safeguards. CUI generally pushes you to Level 2.La FCI es información proporcionada o generada para el gobierno bajo un contrato que no es pública. La CUI es información gubernamental más sensible que requiere protecciones específicas. La CUI generalmente lo lleva al Nivel 2.
Do I need Microsoft 365 GCC High?¿Necesito Microsoft 365 GCC High?
If you handle CUI, often yes — commercial Microsoft 365 may not meet the requirements. We’ll assess your data and tell you whether GCC High is necessary before you spend on it.Si maneja CUI, a menudo sí — el Microsoft 365 comercial puede no cumplir los requisitos. Evaluaremos sus datos y le diremos si GCC High es necesario antes de que gaste en ello.
We have no IT staff at all. Can you still help?No tenemos personal de TI. ¿Aún pueden ayudar?
Absolutely — that’s exactly who we serve. We can build and run your IT from scratch and handle compliance on top of it, so you don’t need an internal team.Por supuesto — es exactamente a quien servimos. Podemos construir y operar su TI desde cero y manejar el cumplimiento, sin que necesite un equipo interno.
