Фаза 2 на CMMC е спряна. Задълженията по фаза 1 остават.

Кратък отговор

Министерството на войната спря фаза II на CMMC, считано от 13 юли 2026 г., докато провежда 60-дневен преглед. Фаза I остава в сила. Служителите по договаряне все още могат да изискват Level 1 Self или Level 2 Self, а съществуващите задължения по DFARS за киберсигурност, оценка, докладване на инциденти и защита на данните продължават да се прилагат независимо от паузата във фаза II.

Какво беше решено на 13 юли 2026 г.

На 13 юли 2026 г. Министерството на войната обяви незабавното спиране до второ нареждане на фаза II от програмата Cybersecurity Maturity Model Certification. В официалното съобщение се посочва, че министерството използва 60-дневен период, за да прегледа програмата и да намали ненужните пречки, като същевременно запази защитата на информацията по федерални договори (FCI) и на контролираната некласифицирана информация (CUI). Този 60-дневен период е срок за преглед и докладване, а не обещана крайна дата или дата за подновяване след спирането.

Фаза II първоначално трябваше да започне на 10 ноември 2026 г. Спирането променя кой статус по CMMC може да определи служителят по договаряне по време на прегледа; то не отменя правилата на CMMC и не заличава вече действащите договорни клаузи. Официалният меморандум за прилагане указва на екипите по възлагане как да прилагат това разграничение.

Какво беше спряно

По време на спирането новите или изменените покани за участие и договори могат да определят само:

• CMMC Level 1 Self
• CMMC Level 2 Self

Меморандумът за прилагане указва на служителите по договаряне да премахнат или изменят определянията за:

• CMMC Level 2 C3PAO – сертификационната оценка, извършвана от оправомощена организация за оценка от трета страна
• CMMC Level 3 DIBCAC – оценката, водена от правителството, за най-високото ниво на CMMC

Това е пауза в определянията на оценки по фаза II. Тя не е общо спиране на всички дейности по CMMC, сама по себе си не обезсилва съществуващ сертификат от C3PAO и не забранява доброволната подготовка. Съществуващите покани за участие и договори се променят чрез официални изменения или модификации. Изпълнителите трябва да следват действащия договор и инструкциите на служителя по договаряне, докато не бъде издадена такава промяна.

Какво продължава да се прилага

Определянията за самооценка по фаза I остават налични. Актуализираният официален преглед на CMMC продължава да описва поетапната програма и изискванията за оценка, свързани с всяко ниво.

Отделните договорни задължения също остават релевантни:

• DFARS 252.204-7012 продължава да урежда защитата на обхванатата информация в областта на отбраната, докладването на киберинциденти, предаването на зловреден софтуер, запазването, достъпа и релевантното прехвърляне на задължения към подизпълнители, когато клаузата се прилага.
• DFARS 252.204-7020 продължава да урежда изискванията за оценка на DoD по NIST SP 800-171, достъпа за оценки и прехвърлянето на задължения, когато е приложимо.
• Министерството може да продължи избрани правителствени оценки извън спрения път за определяне на Level 2 C3PAO и Level 3.

Практическото правило е просто: определяйте задълженията от текущата покана за участие, възлагането, клаузите, обработваните данни, системите в обхвата и прехвърлените задължения – а не само от заглавие за фаза II.

Какво означава това за ниво 1

Level 1 Self остава наличен по време на спирането. Той се прилага, когато информационните системи на изпълнителя обработват, съхраняват или предават FCI, и изисква ежегодна самооценка спрямо 15-те изисквания за защита в FAR 52.204-21, последвана от ежегодно потвърждение.

Ниво 1 не допуска планове за действие и етапи (POA&M). Всяко приложимо изискване трябва да бъде изпълнено за изисквания статус по ниво 1. Организациите трябва да поддържат обхвата на оценката, резултатите, потвърждението и подкрепящите доказателства в съответствие със системите, които действително обработват FCI.

Какво означава това за ниво 2

Level 2 Self все още може да бъде определян. Той се основава на 110-те изисквания за сигурност в NIST SP 800-171, ревизия 2, с повторна оценка на всеки три години и ежегодно потвърждение.

Ограничени POA&M се допускат само при условията на правилата на CMMC. Елементите, включени в допустим POA&M, трябва да бъдат закрити в срок от 180 дни и не могат да включват изисквания, изключени от използването на POA&M. Следователно определянето на Level 2 Self остава съществено упражнение по събиране на доказателства, а не стъпка по регистрация.

Определянията на Level 2 C3PAO са частта, която е спряна. Изпълнителите не бива да приемат, че досегашната подготовка е загубена: същата граница на CUI, внедряване на NIST SP 800-171, качество на доказателствата, контроли върху доставчиците и процеси за инциденти са в основата на текущото договорно съответствие и на всяка по-късна оценка.

Планирано е специално ръководство за изискванията на CMMC Level 2 със структуриран преглед контрол по контрол.

Какво означава това за германските и европейските доставчици

Обхватът на CMMC следва договорните клаузи на правителството на САЩ, обработваната информация, системите, които обработват, съхраняват или предават тази информация, и задълженията, прехвърлени по договори за подизпълнение – а не държавата на доставчика. Следователно германско или европейско дружество може да попадне в обхвата, когато основен договор или договор за подизпълнение изисква CMMC и собствените му системи обработват FCI или CUI.

Обратно, окончателното правило по DFARS от 2025 г. обяснява, че подизпълнител, който работи само в системите на основния изпълнител, без да обработва, съхранява или предава FCI или CUI в собствените си системи, не би се нуждаел от отделна оценка по CMMC за тези системи. Действителната архитектура и текстът на договора трябва да подкрепят това заключение.

Европейските доставчици трябва да картографират договорната граница по американското право отделно от изискванията по ОРЗД, NIS2, ISO 27001 или националните изисквания за сигурност. Тези режими може да се припокриват оперативно, но нито един от тях не замества автоматично изискван статус по CMMC или задължение по DFARS. Планирани са специален преглед на CMMC и инструмент за проверка, които да помогнат за структурирането на първоначален преглед на приложимостта.

Конкретни следващи стъпки

• Прочетете отново всяка активна покана за участие, възлагане, модификация и релевантен договор за подизпълнение. Документирайте текущото ниво на CMMC и вида на оценката точно както са записани.
• Помолете служителя по договаряне или основния изпълнител да потвърди измененията, когато се среща определяне на Level 2 C3PAO или Level 3 DIBCAC.
• Не спирайте работата по фаза I. Поддържайте доказателствата за Level 1 Self или Level 2 Self, датите за повторна оценка и ежегодните потвърждения, когато се изискват.
• Валидирайте границата на системите за FCI/CUI, включително облачните услуги, отдалеченото администриране, споделените корпоративни услуги и връзките с доставчици.
• Съгласувайте записите в SPRS и приложимите резултати от оценката на DoD по NIST SP 800-171 с юридическия субект и обхванатите информационни системи.
• Поддържайте в действие процедурите за докладване на инциденти и запазване на доказателства по DFARS 252.204-7012.
• Прегледайте прехвърлените задължения по договорите за подизпълнение и документирайте дали всеки доставчик обработва FCI или CUI в собствените си системи.
• Следете официалните актуализации чрез страницата с ресурси и документация за CMMC.

Тази статия предоставя обща информация, а не правен съвет. Въпросите, специфични за конкретен договор, трябва да бъдат решени със служителя по договаряне, основния изпълнител и квалифициран юрист.

Хронология

• 16 декември 2024 г.: Правилото за програмата CMMC по 32 CFR влезе в сила.
• 10 ноември 2025 г.: Правилото за възлагане по DFARS относно CMMC и фаза I влязоха в сила.
• 13 юли 2026 г.: Министерството обяви незабавното спиране на фаза II и 60-дневен преглед.
• 10 ноември 2026 г.: Фаза II беше насрочена да започне на тази дата преди спирането.
• 28 юли 2026 г.: Последна актуализация на тази статия и обобщението на статуса.

Официални източници

• Съобщение на министерството: спиране на фаза II, 13 юли 2026 г.
• Меморандум на DoD CIO: Implementing the Suspension of CMMC Phase II
• DoD CIO: About CMMC
• DoD CIO: ресурси и документация за CMMC
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171, ревизия 2
• Окончателно правило по DFARS от 2025 г.

Често задавани въпроси

Отменена ли е CMMC?

Не. Министерството спря фаза II, а не програмата CMMC. Определянията за самооценка по фаза I остават налични, а основните задължения по FAR и DFARS продължават да се прилагат, когато са включени в договора.

Може ли служителят по договаряне все още да изисква оценка от C3PAO?

Меморандумът за прилагане указва на служителите по договаряне да премахнат или изменят определянията на CMMC Level 2 C3PAO по време на спирането на фаза II. Потвърдете действащия текст на поканата за участие или договора с отговорния възлагащ орган.

Има ли все още значение самооценката по Level 2 Self?

Да. Level 2 Self все още може да бъде определян по време на спирането. Той изисква оценка спрямо всички 110 изисквания на NIST SP 800-171, ревизия 2, като се прилагат единствено ограничените разпоредби за POA&M в правилата на CMMC, плюс повторна оценка на всеки три години и ежегодно потвърждение.

Премахва ли спирането задълженията по DFARS 252.204-7012?

Не. Задълженията за защита, докладване на киберинциденти, запазване, достъп и прехвърляне на задължения по DFARS 252.204-7012 продължават да се прилагат, когато тази клауза е приложима.

Освободени ли са доставчиците извън Съединените щати?

Не бива да се приема никакво географско освобождаване. Приложимостта зависи от договора и прехвърлените задължения, засегнатата информация и дали системите на доставчика обработват, съхраняват или предават FCI или CUI.

Трябва ли изпълнителите да спрат подготовката за сертификация по ниво 2?

Министерството не е предоставило основа за предвиждане на резултата от прегледа. Организациите трябва да вземат решение, основано на риска, като същевременно продължат да изпълняват текущите договорни изисквания и да защитават FCI и CUI.