CMMC Level 2 trazado a SP 800-53: lo que indica el Apéndice D del NIST
CMMC Level 2 parece un marco propio, pero cada una de sus 110 prácticas remite a controles de SP 800-53. El NIST publicó el mapa en un apéndice que la mayoría de la gente nunca abre.
El programa CMMC del Departamento de Defensa de EE. UU. se está implantando ya a través de contratos de defensa, y el Nivel 2 es donde recae la mayoría de los contratistas que manejan información no clasificada controlada (CUI). El Nivel 2 son los 110 requisitos de seguridad de NIST SP 800-171 Revisión 2, y esos requisitos se derivaron de SP 800-53, el catálogo federal de controles. El NIST documentó con exactitud cómo, en el Apéndice D de SP 800-171 Rev 2.
Ese mapeo es el documento individual más útil para un contratista que ya sigue 800-53, y es la base de cómo ControlMapping vincula CMMC con el resto.
Lo completa que es la trazabilidad
De los 110 prácticas de CMMC, 109 (99%) se corresponden con algo en 800-53, 0 solo guardan una relación tangencial y 1 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →
Todas las prácticas de CMMC Level 2 salvo una se asignan a un control de SP 800-53 de nuestra lista. Los vínculos proceden del propio Apéndice D del NIST, por lo que se etiquetan como Correspondencia.
Por familia
| sección de CMMC | Correspondencia | Sin correspondencia | |
|---|---|---|---|
| AC Access Control | 22 de 22 | 0 | 0 |
| AT Awareness and Training | 3 de 3 | 0 | 0 |
| AU Audit and Accountability | 9 de 9 | 0 | 0 |
| CA Security Assessment | 4 de 4 | 0 | 0 |
| CM Configuration Management | 9 de 9 | 0 | 0 |
| IA Identification and Authentication | 11 de 11 | 0 | 0 |
| IR Incident Response | 3 de 3 | 0 | 0 |
| MA Maintenance | 6 de 6 | 0 | 0 |
| MP Media Protection | 9 de 9 | 0 | 0 |
| PE Physical Protection | 6 de 6 | 0 | 0 |
| PS Personnel Security | 2 de 2 | 0 | 0 |
| RA Risk Assessment | 3 de 3 | 0 | 0 |
| SC System and Communications Protection | 15 de 16 | 0 | 1 |
| SI System and Information Integrity | 7 de 7 | 0 | 0 |
Tiene 800-53, necesita CMMC. Requisito por requisito: abrir el informe de brechas →
Cómo funciona el Apéndice D
El Apéndice D tiene una tabla para cada una de las 14 familias de requisitos, que enumera cada requisito junto a los controles de 800-53 de los que procede. Dos detalles importan cuando lo utilizas:
- Los requisitos básicos se asignan de forma conjunta. En cada familia, los requisitos «básicos» (tomados de FIPS 200) comparten una celda combinada de controles de 800-53. Por ejemplo, 3.1.1 y 3.1.2 se remiten ambos a AC-2, AC-3 y AC-17. Los requisitos «derivados» tienen sus propias filas.
- Los identificadores son de SP 800-53 Revisión 4. La mayoría se mantiene sin cambios en la Revisión 5. Siete se retiraron en Rev 5 y se integraron en otros controles; el catálogo de Rev 5 del NIST indica adónde fue cada uno (por ejemplo, AU-8(1) pasó a SC-45(1), y MP-5(4) se incorporó en SC-28(1)). Nosotros seguimos esos enlaces.
La única práctica sin correspondencia
SC.L2-3.13.14 exige controlar y supervisar la voz sobre protocolo de Internet (VoIP). El Apéndice D la asigna a SC-19, que el NIST retiró en Rev 5 sin sucesor: la VoIP se trata ahora como cualquier otra tecnología, bajo los controles generales de límites y comunicaciones. Así, en un entorno Rev 5, esta práctica de CMMC no tiene un control dedicado de 800-53, aunque SC-7 y SC-8 cubren la mayor parte de su contenido.
El camino inverso
De los 300 controles base de 800-53, 114 (38%) se corresponden con algo en CMMC, 78 solo guardan una relación tangencial y 108 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →
La mayor parte de SP 800-53 no tiene equivalente en CMMC, y eso es intencionado. SP 800-171 selecciona los controles pertinentes para proteger la confidencialidad de la CUI en sistemas no federales y deja fuera el resto: controles de privacidad, gestión de programas específica del ámbito federal, muchas mejoras y controles que la línea base de «Organización no federal» da por supuestos (entre ellos, los controles de política de tipo -1).
Qué significa para los contratistas
- Si aplicas la línea base moderada de 800-53, ya tienes la mayor parte del contenido. Tu trabajo consiste en evidencias con el formato de CMMC, un Plan de Seguridad del Sistema acotado a la CUI y una evaluación.
- Usa el Apéndice D para reutilizar evidencias. Para cada práctica, los controles de 800-53 enumerados indican qué evidencias de control existentes son aplicables.
- Atención a la brecha entre Rev 2 y Rev 3. El NIST reescribió varios requisitos en la Revisión 3, pero CMMC sigue vinculado a la Revisión 2. Evalúa según lo que exija tu contrato.
El análisis de brechas de CMMC → SP 800-53 enumera cada práctica con sus controles del Apéndice D, y la comparación CMMC vs SP 800-53 cubre ambos sentidos. Los nombres de las prácticas de CMMC en este sitio son del DoD; el texto de los requisitos es del NIST (dominio público).
Preguntas
¿Es CMMC Level 2 lo mismo que NIST SP 800-171?
El Nivel 2 son los 110 requisitos de seguridad de SP 800-171 Revisión 2, evaluados según las normas CMMC del DoD y con sus propios nombres de práctica. El NIST ha publicado la Revisión 3, pero CMMC sigue vinculado a la Revisión 2.
¿Qué práctica de CMMC no tiene correspondencia en SP 800-53 Rev 5?
SC.L2-3.13.14 (controlar y supervisar la voz sobre IP). El Apéndice D la asigna a SC-19, que el NIST retiró en Rev 5 sin sucesor, ya que la VoIP se trata ahora como cualquier otra tecnología.
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-27Cyber Essentials frente a Essential Eight: dos referencias nacionales comparadasEl Cyber Essentials del Reino Unido y el Essential Eight de Australia persiguen ambos los ataques más comunes, pero cubren terrenos distintos. Qué se solapa, qué no y por qué.
Análisis · 2026-10-27DORA frente a NIS2: qué cubre ya un programa NIS2DORA y NIS2 comparten casi todo su contenido de seguridad; DORA añade registro, cláusulas y pruebas basadas en amenazas. Qué se traslada, artículo por artículo.