Fáze 2 CMMC je pozastavena. Povinnosti fáze 1 trvají.

Stručná odpověď

Ministerstvo války USA (Department of War) pozastavilo fázi II programu CMMC s účinností od 13. července 2026, zatímco provádí 60denní přezkum. Fáze I zůstává v platnosti. Smluvní úředníci mohou nadále vyžadovat Level 1 Self nebo Level 2 Self a stávající povinnosti podle DFARS týkající se kybernetické bezpečnosti, posuzování, hlášení incidentů a ochrany dat trvají nezávisle na pozastavení fáze II.

Co bylo rozhodnuto 13. července 2026

Dne 13. července 2026 oznámilo ministerstvo války okamžité pozastavení fáze II programu Cybersecurity Maturity Model Certification až do odvolání. Oficiální oznámení uvádí, že ministerstvo využívá 60denní období k přezkumu programu a k odstranění zbytečných překážek při zachování ochrany federálních smluvních informací (Federal Contract Information, FCI) a neutajovaných informací podléhajících kontrole (Controlled Unclassified Information, CUI). Toto 60denní období je harmonogramem přezkumu a podávání zpráv, nikoli slíbeným datem ukončení pozastavení ani datem opětovného spuštění.

Fáze II měla původně začít 10. listopadu 2026. Pozastavení mění, jaký stav CMMC může smluvní úředník během přezkumu určit; neruší pravidla CMMC ani neodstraňuje smluvní doložky, které již platí. Oficiální prováděcí memorandum ukládá týmům pro zadávání zakázek, jak toto rozlišení uplatnit.

Co bylo pozastaveno

Během pozastavení mohou nové nebo změněné výzvy a smlouvy určovat pouze:

• CMMC Level 1 Self
• CMMC Level 2 Self

Prováděcí memorandum ukládá smluvním úředníkům odstranit nebo změnit určení pro:

• CMMC Level 2 C3PAO, tedy certifikační posouzení prováděné autorizovanou organizací pro posuzování třetí stranou
• CMMC Level 3 DIBCAC, tedy posouzení vedené vládou pro nejvyšší úroveň CMMC

Jde o pozastavení určování posouzení fáze II. Nejde o obecné pozastavení veškeré činnosti v rámci CMMC, samo o sobě nezneplatňuje stávající certifikát C3PAO a nezakazuje dobrovolnou přípravu. Stávající výzvy a smlouvy se mění prostřednictvím formálních dodatků nebo změn. Dodavatelé by se měli řídit platnou smlouvou a pokyny smluvního úředníka, dokud taková změna nebude vydána.

Co nadále platí

Určení sebehodnocení podle fáze I zůstávají k dispozici. Aktualizovaný oficiální přehled CMMC nadále popisuje postupně zaváděný program a požadavky na posouzení spojené s každou úrovní.

Relevantní zůstávají i samostatné smluvní povinnosti:

• DFARS 252.204-7012 nadále upravuje ochranu chráněných obranných informací, hlášení kybernetických incidentů, předávání škodlivého softwaru, uchovávání, přístup a relevantní přenesení povinností na subdodavatele, pokud se doložka uplatní.
• DFARS 252.204-7020 nadále upravuje požadavky na posouzení NIST SP 800-171 ze strany DoD, přístup pro účely posouzení a případné přenesení povinností.
• Ministerstvo může pokračovat ve vybraných vládních posouzeních mimo pozastavenou cestu určení Level 2 C3PAO a Level 3.

Praktické pravidlo je jednoduché: povinnosti určujte z aktuální výzvy, zakázky, doložek, zpracovávaných dat, systémů v rozsahu a přenesených povinností, nikoli jen z titulku o fázi II.

Co to znamená pro úroveň 1

Level 1 Self zůstává během pozastavení k dispozici. Uplatňuje se tam, kde informační systémy dodavatele zpracovávají, ukládají nebo přenášejí FCI, a vyžaduje každoroční sebehodnocení podle 15 požadavků na ochranu ve FAR 52.204-21, po němž následuje každoroční potvrzení (affirmation).

Úroveň 1 nepřipouští plány opatření a milníků (POA&M). Pro požadovaný stav úrovně 1 musí být splněn každý použitelný požadavek. Organizace by měly udržovat rozsah posouzení, výsledky, potvrzení a podpůrné důkazy v souladu se systémy, které s FCI skutečně pracují.

Co to znamená pro úroveň 2

Level 2 Self lze i nadále určit. Vychází ze 110 bezpečnostních požadavků v NIST SP 800-171 Revision 2, s opakovaným posouzením každé tři roky a každoročním potvrzením.

Omezené POA&M jsou přípustné pouze za podmínek stanovených pravidly CMMC. Položky zařazené do přípustného POA&M musí být uzavřeny do 180 dnů a nesmějí zahrnovat požadavky, které jsou z použití POA&M vyloučeny. Určení Level 2 Self proto zůstává věcnou prací s důkazy, nikoli registračním krokem.

Pozastavenou částí jsou určení Level 2 C3PAO. Dodavatelé by neměli předpokládat, že dosavadní příprava přišla vniveč: stejné vymezení hranice CUI, zavedení NIST SP 800-171, kvalita důkazů, opatření vůči dodavatelům a procesy pro incidenty jsou základem současného plnění smluv i jakéhokoli pozdějšího posouzení.

Připravujeme samostatného průvodce požadavky CMMC Level 2 se strukturovaným přehledem jednotlivých opatření.

Co to znamená pro německé a evropské dodavatele

Rozsah CMMC se řídí smluvními doložkami vlády USA, zpracovávanými informacemi, systémy, které tyto informace zpracovávají, ukládají nebo přenášejí, a přenesením povinností v subdodavatelských smlouvách, nikoli zemí dodavatele. Německá nebo evropská společnost proto může spadat do rozsahu, pokud hlavní smlouva nebo subdodavatelská smlouva vyžaduje CMMC a její vlastní systémy pracují s FCI nebo CUI.

Naopak konečné pravidlo DFARS z roku 2025 vysvětluje, že subdodavatel, který pracuje pouze v systémech hlavního dodavatele a nezpracovává, neukládá ani nepřenáší FCI nebo CUI ve vlastních systémech, by pro tyto systémy nepotřeboval samostatné posouzení CMMC. Tento závěr musí podporovat skutečná architektura i znění smlouvy.

Evropští dodavatelé by měli smluvní hranici podle práva USA mapovat odděleně od GDPR, NIS2, ISO 27001 nebo vnitrostátních bezpečnostních požadavků. Tyto režimy se mohou provozně překrývat, ale žádný z nich automaticky nenahrazuje požadovaný stav CMMC ani povinnost podle DFARS. Připravujeme samostatný přehled CMMC a nástroj pro strukturování prvotního posouzení působnosti.

Konkrétní další kroky

• Znovu si přečtěte každou aktivní výzvu, zakázku, změnu a relevantní subdodavatelskou smlouvu. Zaznamenejte aktuální úroveň CMMC a typ posouzení přesně tak, jak jsou uvedeny.
• Pokud se objevuje určení Level 2 C3PAO nebo Level 3 DIBCAC, požádejte smluvního úředníka nebo hlavního dodavatele o potvrzení změn.
• Nezastavujte práci na fázi I. Udržujte důkazy pro Level 1 Self nebo Level 2 Self, data opakovaného posouzení a každoroční potvrzení tam, kde jsou vyžadována.
• Ověřte hranici systémů pro FCI/CUI, včetně cloudových služeb, vzdálené správy, sdílených firemních služeb a připojení dodavatelů.
• Sesouhlaste záznamy v SPRS a použitelné výsledky posouzení NIST SP 800-171 ze strany DoD s právním subjektem a dotčenými informačními systémy.
• Udržujte v provozu postupy hlášení incidentů a uchovávání důkazů podle DFARS 252.204-7012.
• Přezkoumejte přenesení povinností v subdodavatelských smlouvách a zdokumentujte, zda každý dodavatel pracuje s FCI nebo CUI ve vlastních systémech.
• Sledujte oficiální aktualizace na stránce se zdroji a dokumentací CMMC.

Tento článek poskytuje obecné informace, nikoli právní poradenství. Otázky týkající se konkrétních smluv by měly být vyřešeny se smluvním úředníkem, hlavním dodavatelem a kvalifikovaným právním poradcem.

Časová osa

• 16. prosince 2024: Nabylo účinnosti pravidlo programu CMMC v 32 CFR.
• 10. listopadu 2025: Nabylo účinnosti pravidlo DFARS pro zadávání zakázek s CMMC a fáze I.
• 13. července 2026: Ministerstvo oznámilo okamžité pozastavení fáze II a 60denní přezkum.
• 10. listopadu 2026: K tomuto datu měla před pozastavením začít fáze II.
• 28. července 2026: Datum poslední aktualizace tohoto článku a přehledu stavu.

Oficiální zdroje

• Oznámení ministerstva: pozastavení fáze II, 13. července 2026
• Memorandum DoD CIO: Implementing the Suspension of CMMC Phase II
• DoD CIO: About CMMC
• DoD CIO: zdroje a dokumentace CMMC
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 Revision 2
• Konečné pravidlo DFARS z roku 2025

Časté otázky

Je CMMC zrušeno?

Ne. Ministerstvo pozastavilo fázi II, nikoli program CMMC. Určení sebehodnocení podle fáze I zůstávají k dispozici a podkladové povinnosti podle FAR a DFARS trvají tam, kde jsou součástí smlouvy.

Může smluvní úředník stále vyžadovat posouzení C3PAO?

Prováděcí memorandum ukládá smluvním úředníkům během pozastavení fáze II odstranit nebo změnit určení CMMC Level 2 C3PAO. Platné znění výzvy nebo smlouvy si ověřte u příslušného zadávacího orgánu.

Má sebehodnocení Level 2 Self stále význam?

Ano. Level 2 Self lze během pozastavení i nadále určit. Vyžaduje posouzení podle všech 110 požadavků NIST SP 800-171 Revision 2, pouze s výhradou omezených ustanovení pravidel CMMC o POA&M, a navíc opakované posouzení každé tři roky a každoroční potvrzení.

Odstraňuje pozastavení povinnosti podle DFARS 252.204-7012?

Ne. Povinnosti týkající se ochrany, hlášení kybernetických incidentů, uchovávání, přístupu a přenesení na subdodavatele podle DFARS 252.204-7012 trvají, pokud se tato doložka uplatní.

Jsou dodavatelé mimo Spojené státy vyňati?

Žádnou zeměpisnou výjimku nepředpokládejte. Použitelnost závisí na smlouvě a přenesených povinnostech, na dotčených informacích a na tom, zda systémy dodavatele zpracovávají, ukládají nebo přenášejí FCI nebo CUI.

Měli by dodavatelé přestat s přípravou na certifikaci úrovně 2?

Ministerstvo neposkytlo žádný základ pro předvídání výsledku přezkumu. Organizace by měly přijmout rozhodnutí založené na riziku a přitom nadále plnit aktuální smluvní požadavky a chránit FCI a CUI.