Carbon ERP: el MES open source para fabricantes con CUI

Carbon ERP/MES/QMS open source: un sistema único que cabe dentro del perímetro CMMC

Carbon es un ERP/MRP/MES/QMS open source escrito como monorepo en TypeScript sobre Postgres, publicado por crbnos en GitHub bajo AGPL-3.0. La versión que se muestra en su landing, carbon.ms/self-hosted, está pensada para fabricantes —sobre todo de defensa y aeroespacial— que necesitan que el registro de producción no salga de su propia red, ya sea por CMMC, ITAR o por una política interna de air-gap.

A diferencia de un SaaS clásico, el repositorio incluye ERP + MRP + MES + QMS en una sola base de código: cotizaciones, órdenes de compra, inventario, costeo por trabajo, planificación de demanda y oferta, versiones de BOM y rutas, digital travelers, terminal de operario, finite-capacity scheduling, first article, NCR/CAPA, calibración y genealogía. La edición Community es gratis para self-host; los módulos Enterprise y la opción de mantener el fork privado requieren licencia comercial, una condición habitual del modelo AGPL-3.0.

Qué trae el repo y por qué importa para tu planta

El docker compose up -d del README levanta app, API, servidor MCP y Postgres en la misma máquina. Carbon expone una API REST y un servidor MCP que permite enchufar agentes propios —Claude, ChatGPT, un modelo local— directamente contra la base de datos del cliente, sin intermediarios en la nube.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

El detalle que más pesa para un fabricante regulado:

Multi-entidad y multi-sitio sobre un único Postgres: moneda por entidad, plan de cuentas e impuestos locales, libros consolidados y transferencias entre sitios sin salir de la red.
SSO/SAML, permisos granulares y row-level security para segregar plantas o programas.
Trazabilidad por serial number que incluye certificados de material, operarios, mediciones y desviaciones, todo detrás del propio firewall.
Despliegue ITAR-ready, CMMC y NIST 800-171 alineado; la versión Enterprise añade licencia air-gapped para correr sin llamadas salientes.

En la práctica, esto significa que un subcontratista de defensa puede auditar línea por línea del código antes de meterle el primer registro de producción.

Por qué el timing pega: CMMC Fase 2 y el reloj del DoD

El lanzamiento coincide con un momento crítico del programa CMMC. Según RSI Security, la Fase 1 del CMMC está plenamente activa y la Fase 2 —evaluaciones obligatorias de terceros (C3PAO)— arranca el 10 de noviembre de 2026. A partir de ahí, los fabricantes que manejan CUI necesitan un CMMC Unique Identifier (UID) de 10 caracteres ligado a un certificado acreditado para optar a contratos prioritarios.

La Wikipedia recoge además que el 25 de agosto de 2025 la regla 48 CFR del CMMC completó su revisión regulatoria y se publicó el 10 de septiembre de 2025, y que el 13 de julio de 2026 el Pentágono pausó temporalmente la Fase 2 por considerar el proceso «demasiado burocrático», con una CMMC Reform Task Force revisando el programa. Para los contratistas, el mensaje es claro: CMMC es operacional, no opcional, y los proveedores de software que tocan CUI tienen que demostrar que esos datos no salen del perímetro del fabricante.

Ahí entra el modelo de Carbon: correr el ERP dentro del mismo CMMC boundary del cliente elimina una capa entera de proveedores en la cadena de custodia del registro de producción.

Cómo se compara con Odoo, ERPNext, NetSuite y Dynamics 365

La guía 2026 de Harmatiq sobre ERPs de manufactura sitúa a ERPNext y Odoo como las dos opciones open source más sólidas para fabricantes pequeños y medianos. ¿Dónde encaja Carbon?

vs ERPNext: ERPNext es open source puro (GPL) con cobertura amplia (stock, compras, calidad, proyectos, contabilidad) y buena trazabilidad por lote/serie, pero su modelo de planificación finita y MES de planta es más ligero; Carbon presume de finite-capacity scheduling, digital travelers y QMS (NCR/CAPA/calibración) como núcleo, no como módulo opcional.
vs Odoo: Odoo ofrece una suite modular enorme y un mercado de apps, pero Odoo Enterprise es licenciado y Odoo Online limita apps no estándar; Carbon mantiene una sola base de código del Community al cloud gestionado, y el self-host corre la misma API REST/MCP que la versión hospedada.
vs NetSuite / Dynamics 365 SCM: ambas son opciones cloud-first con gran profundidad financiera y multi-entidad, pero implican datos de producción en la nube del proveedor —incompatible, en muchos casos, con un CMMC boundary propio.

El diferencial no es la profundidad funcional aislada (Carbon es un proyecto joven comparado con Odoo), sino el combo código auditable + self-host + despliegue alineado a CMMC en el mismo paquete.

Qué significa esto para tu startup

Para una startup que vende a defensa o aeroespacial y necesita demostrar control de CUI sin pagar cinco años de implementación de SAP, Carbon es una opción real a evaluar como núcleo de planta. Para una pyme industrial que solo busca un ERP moderno y open, ERPNext u Odoo siguen siendo el camino más probado.

Dos acciones concretas que puedes dar esta semana:

Levanta el stack local y mapea tu CMMC boundary. Clona el repo, ejecuta docker compose up -d y comprueba si tu System Security Plan (SSP) y Plan of Action & Milestones (POA&M) actuales describen correctamente dónde corre cada módulo. Si tu ERP actual está en la nube de un tercero, ese es el gap que un C3PAO va a marcar en cuanto arranque la Fase 2.
Prueba el servidor MCP contra un agente propio. Apunta Claude, ChatGPT o un modelo local al endpoint MCP de Carbon y valida que las consultas devuelven solo datos dentro de tu perímetro. Es la forma más barata de saber si la promesa de «trae tus propios modelos sin que se filtre nada» se cumple en tu configuración.

Si tu operación es estrictamente make-to-stock o make-to-order sin componentes regulados, un Odoo o ERPNext probablemente te da más por menos. Si tocas CUI, ITAR o propiedad intelectual de cliente bajo NDA estricto, vale la pena dedicarle una semana a esta prueba de concepto.