CMMC Nível 2 para NIST 800-53: o mapa do Apêndice D

O CMMC Nível 2 parece um framework próprio, mas cada uma de suas 110 práticas remonta a controles da SP 800-53. A NIST publicou o mapeamento em um apêndice que a maioria das pessoas nunca abre.

O programa CMMC do Departamento de Defesa dos EUA está sendo implementado agora por meio de contratos de defesa, e o Nível 2 é onde se enquadra a maioria dos fornecedores que tratam Informação Controlada Não Classificada (CUI). O Nível 2 corresponde aos 110 requisitos de segurança da NIST SP 800-171 Revisão 2, e esses requisitos foram derivados da SP 800-53, o catálogo federal de controles. A NIST documentou exatamente como isso foi feito, no Apêndice D da SP 800-171 Rev 2.

Esse mapeamento é o documento único mais útil para um fornecedor que já segue a 800-53, e é a base de como a ControlMapping conecta o CMMC a todo o restante.

Quão completo é o rastreamento

Dos 110 práticas de CMMC, 109 (99%) mapeiam para algo em 800-53, 0 são apenas vagamente relacionados e 1 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

Todas, exceto uma, das práticas do CMMC Nível 2 mapeiam para um controle da SP 800-53 listado em nosso site. As correspondências vêm do próprio Apêndice D da NIST, por isso estão identificadas como correspondência.

Por família

seção CMMC	Mapeado	Sem mapeamento
AC Access Control	22 de 22	0
AT Awareness and Training	3 de 3	0
AU Audit and Accountability	9 de 9	0
CA Security Assessment	4 de 4	0
CM Configuration Management	9 de 9	0
IA Identification and Authentication	11 de 11	0
IR Incident Response	3 de 3	0
MA Maintenance	6 de 6	0
MP Media Protection	9 de 9	0
PE Physical Protection	6 de 6	0
PS Personnel Security	2 de 2	0
RA Risk Assessment	3 de 3	0
SC System and Communications Protection	15 de 16	1
SI System and Information Integrity	7 de 7	0

Tem 800-53, precisa de CMMC. Requisito a requisito: abrir o relatório de lacunas →

Como o Apêndice D funciona

O Apêndice D tem uma tabela para cada uma das 14 famílias de requisitos, listando cada requisito ao lado dos controles da 800-53 de onde ele se origina. Dois detalhes são importantes ao usá-lo:

Os requisitos básicos são mapeados em conjunto. Em cada família, os requisitos "básicos" (extraídos da FIPS 200) compartilham uma única célula mesclada de controles da 800-53. Por exemplo, 3.1.1 e 3.1.2 remetem ambos a AC-2, AC-3 e AC-17. Os requisitos "derivados" têm linhas próprias.
Os IDs são da SP 800-53 Revisão 4. A maioria se mantém na Revisão 5 sem alterações. Sete foram retirados na Rev 5 e incorporados a outros controles; o catálogo da Rev 5 da NIST indica para onde cada um foi (por exemplo, AU-8(1) passou para SC-45(1), e MP-5(4) foi incorporado ao SC-28(1)). Nós seguimos esses vínculos.

Fotografia de arquivos de metal cinza em uma sala de registros, com uma gaveta aberta mostrando pastas em branco empilhadas — O Apêndice D é a trilha documental que liga cada requisito a seus controles de origem.

A única prática sem correspondência

SC.L2-3.13.14 exige que você controle e monitore o Voice over Internet Protocol (VoIP). O Apêndice D o mapeia para o SC-19, que a NIST retirou na Rev 5 sem sucessor: o VoIP agora é tratado como qualquer outra tecnologia, sob os controles gerais de limites e comunicações. Assim, em um cenário Rev 5, essa prática do CMMC não tem um controle dedicado da 800-53, embora SC-7 e SC-8 cubram a maior parte de seu conteúdo.

No sentido inverso

Dos 300 controles base de 800-53, 114 (38%) mapeiam para algo em CMMC, 78 são apenas vagamente relacionados e 108 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

A maior parte da SP 800-53 não tem equivalente no CMMC, e isso é intencional. A SP 800-171 seleciona os controles relevantes para proteger a confidencialidade da CUI em sistemas não federais e deixa de fora o restante: controles de privacidade, gestão de programas específica do governo federal, muitos aprimoramentos e controles que a linha de base "Non-Federal Organization" presume que você já cumpre (entre eles, as políticas da família -1).

O que isso significa para fornecedores

Se você opera a linha de base moderada da 800-53, já possui a maior parte do conteúdo. Seu trabalho se torna evidência no formato do CMMC, um Plano de Segurança do Sistema (SSP) com escopo na CUI e uma avaliação.
Use o Apêndice D para reaproveitar evidências. Para cada prática, os controles da 800-53 listados indicam quais das evidências de controle que você já tem se aplicam.
Atenção à lacuna entre Rev 2 e Rev 3. A Revisão 3 da NIST reescreveu vários requisitos, mas o CMMC continua vinculado à Revisão 2. Avalie com base no que o seu contrato exige.

O relatório de lacunas CMMC → SP 800-53 lista cada prática com seus controles do Apêndice D, e a comparação CMMC vs SP 800-53 cobre as duas direções. Os nomes das práticas do CMMC neste site são do DoD; o texto dos requisitos é da NIST (domínio público).

Perguntas

O CMMC Nível 2 é o mesmo que a NIST SP 800-171?

O Nível 2 corresponde aos 110 requisitos de segurança da SP 800-171 Revisão 2, avaliados sob as regras do CMMC do DoD, com nomes de práticas próprios. A NIST publicou a Revisão 3, mas o CMMC continua vinculado à Revisão 2.

Qual prática do CMMC não tem correspondência na SP 800-53 Rev 5?

SC.L2-3.13.14 (controlar e monitorar Voice over IP). O Apêndice D a mapeia para o SC-19, que a NIST retirou na Rev 5 sem sucessor, pois o VoIP agora é tratado como qualquer outra tecnologia.

Dados atualizados em 2026-10-27: os números deste artigo são calculados a partir da correspondência atual e são atualizados quando ela muda. Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Não é aconselhamento de conformidade.

CMMC Nível 2 mapeado à SP 800-53: o que diz o Apêndice D da NIST