Atos ha obtenido la certificación CMMC 2.0 Nivel 2 para su centro de operaciones de seguridad de Managed Detection & Response (MDR) en Norteamérica, una acreditación vinculada a los servicios que presta a clientes del sector de defensa estadounidense. La compañía asegura haber alcanzado 110 puntos sobre 110 en la evaluación, la máxima puntuación prevista sobre los requisitos de NIST SP 800-171. El movimiento amplía su margen para trabajar con información controlada en programas del Departamento de Defensa de Estados Unidos, aunque llega mientras Washington revisa el calendario de implantación obligatoria del propio modelo.
El marco Cybersecurity Maturity Model Certification se diseñó para elevar el nivel de protección dentro de la base industrial de defensa de Estados Unidos. Su alcance cubre a contratistas y subcontratistas cuyos sistemas procesan, almacenan o transmiten Federal Contract Information (FCI) o Controlled Unclassified Information (CUI), dos categorías de información que pueden quedar fuera del ámbito de la clasificación formal y, aun así, requieren controles específicos. El programa aporta al comprador público una evidencia adicional de que esos requisitos de seguridad se aplican durante la ejecución contractual.
CMMC 2.0 eleva el listón para los proveedores de defensa
En el Nivel 2, la referencia técnica es NIST SP 800-171 Rev. 2, con 110 requisitos de seguridad. Las evaluaciones de certificación son realizadas por una CMMC Third-Party Assessment Organization, o C3PAO, autorizada dentro del ecosistema gestionado por The Cyber AB. El proceso combina revisión documental, entrevistas y pruebas, y termina con la emisión del correspondiente estatus CMMC cuando se cumplen las condiciones establecidas.
Atos sitúa la certificación en su SOC MDR norteamericano, es decir, en una infraestructura dedicada a monitorizar, detectar e investigar amenazas y responder ante incidentes para clientes. La delimitación es importante porque CMMC no debe interpretarse como una certificación genérica de toda la multinacional. El alcance queda ligado a los sistemas, activos, servicios y procesos incluidos en la evaluación concreta.
La empresa afirma que la revisión independiente concluyó con una puntuación de 110 sobre 110, sin controles pendientes dentro del ámbito evaluado. Ese resultado implica que los 110 requisitos considerados en el esquema de puntuación fueron valorados como cumplidos. La web de Atos en Estados Unidos recoge desde el 23 de julio de 2026 la obtención de CMMC 2.0 Nivel 2 como uno de sus hitos recientes en el mercado norteamericano.
El dato tiene valor comercial en un sector donde la capacidad de manejar CUI condiciona la participación en determinadas cadenas de suministro. Aun así, la certificación no es exclusiva de Atos. The Cyber AB indicaba en julio de 2026 que cerca de 2.000 contratistas de defensa contaban ya con un estatus final CMMC Nivel 2, mientras otras compañías han comunicado igualmente evaluaciones con 110 puntos sobre 110.
La fase II de CMMC 2.0 ya no empezará en noviembre
El principal cambio regulatorio se produjo antes de que Atos comunicara su certificación. El 13 de julio de 2026, el organismo estadounidense responsable del programa anunció la suspensión inmediata de la fase II de CMMC, cuya entrada estaba prevista para el 10 de noviembre de 2026. La fase I, iniciada el 10 de noviembre de 2025 y centrada principalmente en evaluaciones de Nivel 1 y autoevaluaciones de Nivel 2, continúa en vigor.
La decisión altera una de las premisas con las que muchas empresas habían planificado sus inversiones de cumplimiento. Antes de la suspensión, la segunda fase debía ampliar la incorporación de evaluaciones CMMC Nivel 2 realizadas por C3PAO en procesos de contratación. Ahora el Gobierno estadounidense ha abierto una revisión del programa con el objetivo declarado de reducir cargas administrativas y facilitar la participación de empresas pequeñas, medianas y proveedores no tradicionales en la base industrial de defensa.
Esa pausa no elimina las obligaciones de protección existentes. Los requisitos derivados de NIST SP 800-171 y de DFARS 252.204-7012 siguen aplicándose allí donde proceda, y las evaluaciones de certificación de Nivel 2 continúan disponibles. The Cyber AB ha señalado expresamente que la suspensión afecta a la implantación de la fase II, mientras el ecosistema de certificación, incluidos los C3PAO y las evaluaciones de Nivel 2, permanece operativo.
Para Atos, esa distinción reduce el riesgo de que la certificación pierda utilidad por el cambio de calendario. Aunque determinados contratos no vayan a exigirla desde noviembre en los términos inicialmente previstos, disponer ya de un entorno certificado aporta una credencial verificable frente a contratistas principales, organismos públicos y organizaciones que necesitan procesar CUI bajo exigencias de seguridad elevadas.
Atos gana margen comercial en contratos de alta exigencia
El impacto potencial se concentra en la capacidad de competir por servicios asociados a operaciones de misión crítica. Los grandes programas de defensa suelen articularse mediante cadenas de suministro extensas, con contratistas principales que trasladan requisitos de seguridad a proveedores tecnológicos, operadores de infraestructuras y empresas de servicios gestionados. En ese escenario, demostrar cumplimiento antes de que una licitación lo convierta en condición formal puede reducir fricción durante la homologación.
Michael Grunberg, responsable de Atos en Norteamérica, vinculó la certificación con la disciplina operativa y la capacidad de atender operaciones que exigen «resiliencia, seguridad y las máximas garantías de cumplimiento». La formulación encaja con un mercado en el que la ciberseguridad forma parte del acceso contractual, especialmente cuando terceros gestionan sistemas o información vinculada a defensa.
La compañía opera además en un momento de reordenación interna. Su documentación corporativa de 2025 sitúa a Grunberg al frente de Norteamérica dentro de una organización que ha atravesado un proceso de transformación financiera y estratégica. Esa situación convierte los contratos públicos y regulados en un área especialmente sensible: ofrecen barreras de entrada técnicas y de cumplimiento, pero también demandan inversiones sostenidas y capacidad para superar auditorías periódicas.
La puntuación máxima puede ayudar en esa ecuación, aunque CMMC no garantiza adjudicaciones ni sustituye otros requisitos de un contrato. Tampoco elimina la necesidad de mantener los controles una vez obtenida la certificación. El modelo contempla renovaciones, afirmaciones periódicas y, según el tipo de evaluación, mecanismos para supervisar el mantenimiento del estado de cumplimiento.
La derivada para el mercado es más amplia que el caso de Atos. La suspensión de la fase II rebaja temporalmente la presión contractual prevista para noviembre, pero mantiene la necesidad técnica de proteger CUI y el interés de los grandes proveedores por acreditar sus entornos antes de competir. Las empresas que ya han absorbido el coste de adaptar procesos, herramientas y gobernanza quedan en una posición distinta a las que opten por esperar a que Washington cierre la revisión. Para los proveedores tecnológicos con exposición al negocio de defensa, el calendario se ha vuelto menos predecible; los controles de seguridad siguen formando parte de la ecuación comercial.
