CMMC Nivel 2: la certificación doblete de trabajo que exige un responsable de cumplimiento dedicado
La obtención de la certificación CMMC Nivel 2 consumió dos años y ahora ocupa el 80 % del tiempo del equipo de TI, dejando escaso margen para proyectos de mejora.
El equipo de TI de una compañía pasó dos años alcanzando la certificación CMMC Nivel 2. La labor incluyó la implantación de controles, redacción de políticas y procedimientos, recolección de evidencias y coordinación con otras áreas, todo mientras mantenía las operaciones normales.
Con la certificación lograda, la carga de trabajo cambia: el 80 % del tiempo se dedica a revisar documentación, recopilar pruebas, rastrear requisitos, responder preguntas y asegurar el cumplimiento de los procesos. El resto del tiempo, que antes estaba destinado a introducir nuevos sistemas, reforzar la seguridad o automatizar flujos, se ve prácticamente eliminado.
El autor señala que, si bien la tecnología es un pilar del CMMC, el departamento de TI se ha convertido en el encargado por defecto de gestionar el programa en toda la empresa, incluyendo tareas que requieren participación de otras unidades. En consecuencia, plantea la necesidad urgente de un responsable de cumplimiento dedicado, o al menos a alguien cuyo cargo principal sea el manejo del programa.
La experiencia demuestra que la certificación no es un punto final: el mantenimiento implica una inversión continua que puede paralizar iniciativas de mejora. Para los equipos de TI más pequeños que enfrentan requisitos similares, la pregunta clave es cómo gestionan la carga: ¿contar con personal especializado o asumir la responsabilidad en la propia área?
