Profesional de cumplimiento CMMC

Pregunta de muestra 1

Usted es el profesional de cumplimiento de CMMC en Halloway Fasteners, un fabricante pequeño que solo maneja Información de Contrato Federal (FCI) y no tiene ningún contrato que involucre Información No Clasificada Controlada (CUI). Hace once meses, Halloway completó su primera autoevaluación de Nivel 1 de CMMC, se calificó a sí misma contra las salvaguardas requeridas y publicó el resultado en el Sistema de Riesgo de Desempeño del Proveedor (SPRS). Ningún contrato nuevo ha modificado las obligaciones de CMMC de Halloway desde entonces. Al revisar el calendario de cumplimiento del próximo mes, usted necesita identificar qué mantiene vigente el estatus de Nivel 1 de Halloway más allá de la marca de un año. ¿Cuál de las siguientes opciones lo identifica correctamente?

1. A.El Centro de Evaluación de Ciberseguridad de la Base Industrial de Defensa (DIBCAC) debe revisar las salvaguardas, registrar su resultado en el SPRS y confirmar el estatus al cumplirse el año, porque DIBCAC reverifica periódicamente una autoevaluación de Nivel 1 una vez transcurrido un año completo desde que la empresa la publicó.
2. B.Una Organización de Evaluación de Terceros de CMMC (C3PAO) debe evaluar las salvaguardas, publicar su resultado y certificar el estatus al cumplirse el año, porque un estatus de Nivel 1 autoevaluado se convierte, después de su primer año, en uno que solo una C3PAO puede renovar, como eventualmente exige un estatus de Nivel 2.
3. C.Debe completarse una nueva autoevaluación de Nivel 1, publicarse el resultado en el SPRS y presentarse la afirmación correspondiente del funcionario afirmante, porque el estatus de Nivel 1 es válido solo por un año y cada ciclo anual exige tanto una evaluación nueva como su afirmación, no una renovación de la puntuación ya registrada.
4. D.El funcionario afirmante debe revisar la puntuación anterior, confirmar que ninguna salvaguarda ha cambiado y presentar una afirmación anual en el SPRS que reitere esa puntuación, porque una afirmación es lo que mantiene vigente un estatus autoevaluado entre evaluaciones completas, el mismo mecanismo que sirve a un estatus de autoevaluación de Nivel 2 durante su ciclo plurianual.

Pregunta de muestra 2

Usted es el profesional de cumplimiento de la Certificación del Modelo de Madurez de Ciberseguridad (CMMC) en Kestrel Avionics, y en septiembre de 2026 está armando una propuesta para un nuevo contrato del Departamento de Defensa (DoD) que conllevará las cláusulas 252.204-7012, 252.204-7019, 252.204-7020 y 252.204-7021 del Suplemento del Reglamento Federal de Adquisiciones para la Defensa (DFARS). Las instrucciones de la licitación establecen que un oferente debe tener registrada una puntuación de evaluación vigente al momento de la adjudicación del contrato. Usted confirma que la puntuación resumida de la Evaluación Básica (Basic Assessment) de Kestrel, realizada hace catorce meses conforme a la Metodología de Evaluación del DoD para NIST SP 800-171, sigue publicada en el Sistema de Riesgo de Desempeño del Proveedor (SPRS); no ha ocurrido ningún incidente cibernético, y el gobierno no ha solicitado una visita de evaluación en sitio. ¿Qué obligación de cláusula explica por qué esa puntuación ya publicada es lo que satisface la condición de la licitación?

1. A.La obligación de la cláusula 252.204-7012, porque esa cláusula exige que un contratista proteja la información de defensa cubierta mediante la implementación de NIST SP 800-171, y una puntuación publicada que refleje esa implementación es la forma en que un oferente demuestra el cumplimiento de la cláusula antes de una nueva adjudicación de contrato.
2. B.La obligación de la cláusula 252.204-7019, porque esa cláusula exige que el oferente tenga en el SPRS una puntuación vigente de Evaluación del DoD conforme a NIST SP 800-171 para la fecha en que se adjudique el contrato, y una puntuación publicada con menos de tres años cumple esa condición sin necesidad de ninguna presentación nueva.
3. C.La obligación de la cláusula 252.204-7020, porque esa cláusula exige que la puntuación publicada de un oferente en el SPRS demuestre que la empresa está preparada para otorgarle al gobierno acceso para una evaluación de nivel Medio o Alto, que es la condición que en realidad busca verificar el texto de la licitación.
4. D.La obligación de la cláusula 252.204-7021, porque esa cláusula es la que exige que un contratista mantenga el estatus de CMMC que un contrato requiere como condición de adjudicación, y una puntuación de Evaluación Básica actualmente publicada es la forma en que ese requisito de estatus se satisface bajo esta licitación.

Pregunta de muestra 3

Usted es el profesional de cumplimiento de CMMC en Corvid Systems. Una licitación del Departamento de Defensa (DoD) para la cual Corvid se está preparando a ofertar establece que los oferentes deben tener el estatus certificado de Nivel 2 (C3PAO) al momento de la adjudicación del contrato, porque el trabajo involucra especificaciones de diseño marcadas como Información No Clasificada Controlada (CUI). Usted revisa el registro de Corvid y encuentra una autoevaluación de Nivel 2 (Self), completada hace cinco meses, vigente dentro de su periodo de validez, con su afirmación anual más reciente publicada a tiempo en el Sistema de Riesgo de Desempeño del Proveedor (SPRS). No hay ninguna certificación de Nivel 2 emitida por una Organización de Evaluación de Terceros de CMMC (C3PAO) registrada. ¿Cuál de las siguientes opciones describe mejor lo que usted debe concluir y hacer antes de que venza el plazo de la propuesta?

1. A.El estatus actual de Nivel 2 (Self) satisface la licitación tal como está publicada. Tanto una autoevaluación como una certificación de una C3PAO se califican contra los mismos 110 requisitos de NIST SP 800-171, así que una licitación que nombra el Nivel 2 queda satisfecha con cualquiera de los dos tipos de evaluación que la empresa ya tenga registrados.
2. B.El estatus actual no satisface la licitación, pero como la autoevaluación de Nivel 2 (Self) de Corvid está vigente, el funcionario afirmante puede cerrar la brecha con una nueva afirmación en el SPRS que declare el estatus certificado, ya que una afirmación es lo que mantiene vigente cada año cualquier estatus de Nivel 2.
3. C.El estatus actual no satisface la licitación, pero el Centro de Evaluación de Ciberseguridad de la Base Industrial de Defensa (DIBCAC) convertirá la puntuación de autoevaluación de Corvid en estatus certificado de Nivel 2 (C3PAO) una vez que se revise la puntuación subyacente, así que Corvid no necesita tomar ninguna otra acción.
4. D.El estatus actual de Nivel 2 (Self) no satisface la licitación. Una autoevaluación calificada por la propia empresa es un tipo de evaluación distinto de una certificación emitida por una C3PAO, así que Corvid necesita programar y completar una evaluación de certificación de una C3PAO antes de la decisión de adjudicación.