CMMC fase 2 er suspenderet. Forpligtelserne i fase 1 består.

Kort svar

Department of War suspenderede CMMC fase II med virkning fra den 13. juli 2026, mens ministeriet gennemfører en 60-dages gennemgang. Fase I gælder fortsat. Kontraktansvarlige (contracting officers) kan stadig kræve Level 1 Self eller Level 2 Self, og de eksisterende DFARS-pligter vedrørende cybersikkerhed, vurdering, indberetning af hændelser og databeskyttelse fortsætter uafhængigt af pausen i fase II.

Hvad der blev besluttet den 13. juli 2026

Den 13. juli 2026 meddelte Department of War, at fase II af programmet Cybersecurity Maturity Model Certification blev suspenderet med øjeblikkelig virkning indtil videre. Ifølge den officielle meddelelse bruger ministeriet en periode på 60 dage til at gennemgå programmet og reducere unødvendige barrierer, samtidig med at beskyttelsen af Federal Contract Information (FCI) og Controlled Unclassified Information (CUI) bevares. Perioden på 60 dage er en tidsplan for gennemgang og rapportering, ikke en lovet slutdato eller genstartsdato for suspensionen.

Fase II skulle oprindeligt være begyndt den 10. november 2026. Suspensionen ændrer, hvilken CMMC-status en kontraktansvarlig kan angive under gennemgangen; den ophæver ikke CMMC-reglerne og sletter ikke kontraktklausuler, der allerede er i kraft. Det officielle implementeringsnotat instruerer indkøbsteams i, hvordan denne skelnen skal gennemføres.

Hvad der blev suspenderet

Under suspensionen må nye eller ændrede udbud og kontrakter kun angive:

• CMMC Level 1 Self
• CMMC Level 2 Self

Implementeringsnotatet pålægger kontraktansvarlige at fjerne eller ændre angivelser af:

• CMMC Level 2 C3PAO, certificeringsvurderingen, som udføres af en autoriseret tredjepartsvurderingsorganisation
• CMMC Level 3 DIBCAC, den statsligt ledede vurdering for det højeste CMMC-niveau

Det er en pause i angivelserne af vurderinger i fase II. Det er ikke en generel suspension af al CMMC-aktivitet, det gør ikke i sig selv et eksisterende C3PAO-certifikat ugyldigt, og det forbyder ikke frivillig forberedelse. Eksisterende udbud og kontrakter ændres gennem formelle tillæg eller ændringer. Leverandører bør følge den gældende kontrakt og den kontraktansvarliges instruktioner, indtil en sådan ændring udstedes.

Hvad der stadig gælder

Angivelser af selvvurderinger i fase I er fortsat tilgængelige. Den opdaterede officielle CMMC-oversigt beskriver fortsat det faseopdelte program og de vurderingskrav, der er knyttet til hvert niveau.

Separate kontraktlige pligter er også fortsat relevante:

• DFARS 252.204-7012 regulerer fortsat beskyttelse af covered defense information, indberetning af cyberhændelser, indsendelse af ondsindet software, bevaring, adgang og relevant videreførelse (flowdown) til underleverandører, når klausulen finder anvendelse.
• DFARS 252.204-7020 regulerer fortsat kravene til DoD-vurderinger efter NIST SP 800-171, adgang i forbindelse med vurderinger og videreførelse, hvor det er relevant.
• Ministeriet kan fortsætte udvalgte statslige vurderinger uden for den suspenderede angivelsesvej for Level 2 C3PAO og Level 3.

Den praktiske regel er enkel: Fastlæg forpligtelserne ud fra det aktuelle udbud, tildelingen, klausulerne, de håndterede data, de omfattede systemer og videreførelserne, ikke ud fra en overskrift om fase II alene.

Hvad det betyder for niveau 1

Level 1 Self er fortsat tilgængeligt under suspensionen. Det gælder, hvor leverandørens informationssystemer behandler, lagrer eller overfører FCI, og kræver en årlig selvvurdering op imod de 15 beskyttelseskrav i FAR 52.204-21 efterfulgt af en årlig bekræftelse (affirmation).

Niveau 1 tillader ikke handlingsplaner med milepæle (plans of action and milestones, POA&M). Alle gældende krav skal være opfyldt for at opnå den krævede status på niveau 1. Organisationer bør holde vurderingens omfang, resultater, bekræftelse og understøttende dokumentation i overensstemmelse med de systemer, der faktisk håndterer FCI.

Hvad det betyder for niveau 2

Level 2 Self kan stadig angives. Det bygger på de 110 sikkerhedskrav i NIST SP 800-171 Revision 2 med fornyet vurdering hvert tredje år og en årlig bekræftelse.

Begrænsede POA&M'er er kun tilladt på de betingelser, der fremgår af CMMC-reglerne. Punkter på en tilladt POA&M skal lukkes inden for 180 dage og må ikke omfatte krav, der er udelukket fra brug af POA&M. En angivelse af Level 2 Self er derfor fortsat en substantiel dokumentationsopgave, ikke et registreringstrin.

Angivelserne af Level 2 C3PAO er den del, der er suspenderet. Leverandører bør ikke antage, at tidligere forberedelse er spildt: Den samme CUI-afgrænsning, implementering af NIST SP 800-171, dokumentationskvalitet, leverandørkontroller og hændelsesprocesser ligger til grund for den aktuelle kontraktlige overholdelse og for en eventuel senere vurdering.

En dedikeret guide til kravene på CMMC-niveau 2 med en struktureret gennemgang kontrol for kontrol er planlagt.

Hvad det betyder for tyske og europæiske leverandører

CMMC's anvendelsesområde følger de amerikanske statslige kontraktklausuler, de håndterede oplysninger, de systemer, der behandler, lagrer eller overfører disse oplysninger, og videreførelserne i underleverandørkontrakter, ikke leverandørens land. En tysk eller europæisk virksomhed kan derfor være omfattet, når en hovedkontrakt eller underleverandørkontrakt kræver CMMC, og virksomhedens egne systemer håndterer FCI eller CUI.

Omvendt forklarer den endelige DFARS-regel fra 2025, at en underleverandør, der udelukkende arbejder i hovedleverandørens systemer uden at behandle, lagre eller overføre FCI eller CUI i sine egne systemer, ikke vil have brug for en separat CMMC-vurdering af disse systemer. Den faktiske arkitektur og kontraktens ordlyd skal understøtte denne konklusion.

Europæiske leverandører bør kortlægge den amerikanske kontraktlige afgrænsning adskilt fra GDPR, NIS2, ISO 27001 eller nationale sikkerhedskrav. Disse ordninger kan overlappe operationelt, men ingen af dem erstatter automatisk en krævet CMMC-status eller en DFARS-forpligtelse. En dedikeret CMMC-oversigt og et værktøj til at strukturere en indledende vurdering af anvendelighed er planlagt.

Konkrete næste skridt

• Gennemlæs igen hvert aktivt udbud, hver tildeling, ændring og relevant underleverandørkontrakt. Registrer det aktuelle CMMC-niveau og den aktuelle vurderingstype nøjagtigt som skrevet.
• Bed den kontraktansvarlige eller hovedleverandøren om at bekræfte ændringer, hvor der står en angivelse af Level 2 C3PAO eller Level 3 DIBCAC.
• Stop ikke arbejdet med fase I. Vedligehold dokumentation for Level 1 Self eller Level 2 Self, datoer for fornyet vurdering og årlige bekræftelser, hvor det kræves.
• Valider systemafgrænsningen for FCI/CUI, herunder cloudtjenester, fjernadministration, fælles virksomhedstjenester og leverandørforbindelser.
• Afstem SPRS-registreringer og gældende resultater af DoD-vurderinger efter NIST SP 800-171 med den juridiske enhed og de omfattede informationssystemer.
• Hold procedurerne for indberetning af hændelser og bevaring af beviser efter DFARS 252.204-7012 operationelle.
• Gennemgå videreførelser i underleverandørkontrakter, og dokumenter, om hver leverandør håndterer FCI eller CUI i sine egne systemer.
• Følg officielle opdateringer via siden med CMMC-ressourcer og -dokumentation.

Denne artikel indeholder generel information, ikke juridisk rådgivning. Kontraktspecifikke spørgsmål bør afklares med den kontraktansvarlige, hovedleverandøren og kvalificerede advokater.

Tidslinje

• 16. december 2024: CMMC-programreglen i 32 CFR trådte i kraft.
• 10. november 2025: DFARS-indkøbsreglen for CMMC og fase I trådte i kraft.
• 13. juli 2026: Ministeriet meddelte øjeblikkelig suspension af fase II og en 60-dages gennemgang.
• 10. november 2026: Fase II skulle have været begyndt på denne dato før suspensionen.
• 28. juli 2026: Denne artikel og statusoversigten blev senest opdateret.

Officielle kilder

• Ministeriets meddelelse: suspension af fase II, 13. juli 2026
• DoD CIO-notat: Implementing the Suspension of CMMC Phase II
• DoD CIO: About CMMC
• DoD CIO: CMMC-ressourcer og -dokumentation
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 Revision 2
• Endelig DFARS-regel fra 2025

Ofte stillede spørgsmål

Er CMMC aflyst?

Nej. Ministeriet suspenderede fase II, ikke CMMC-programmet. Angivelser af selvvurderinger i fase I er fortsat tilgængelige, og de underliggende FAR- og DFARS-forpligtelser fortsætter, hvor de indgår i kontrakten.

Kan en kontraktansvarlig stadig kræve en C3PAO-vurdering?

Implementeringsnotatet pålægger kontraktansvarlige at fjerne eller ændre angivelser af CMMC Level 2 C3PAO under suspensionen af fase II. Bekræft den gældende ordlyd i udbuddet eller kontrakten med den ansvarlige kontraktmyndighed.

Har en Level 2 Self-vurdering stadig betydning?

Ja. Level 2 Self kan stadig angives under suspensionen. Det kræver en vurdering op imod alle 110 krav i NIST SP 800-171 Revision 2, kun med forbehold for de begrænsede POA&M-bestemmelser i CMMC-reglerne, samt fornyet vurdering hvert tredje år og en årlig bekræftelse.

Fjerner suspensionen pligterne efter DFARS 252.204-7012?

Nej. Pligterne vedrørende beskyttelse, indberetning af cyberhændelser, bevaring, adgang og videreførelse efter DFARS 252.204-7012 fortsætter, når klausulen finder anvendelse.

Er leverandører uden for USA undtaget?

Der bør ikke antages nogen geografisk undtagelse. Anvendeligheden afhænger af kontrakten og videreførelserne, de involverede oplysninger, og om leverandørens systemer behandler, lagrer eller overfører FCI eller CUI.

Bør leverandører stoppe forberedelsen til certificering på niveau 2?

Ministeriet har ikke givet noget grundlag for at forudsige resultatet af gennemgangen. Organisationer bør træffe en risikobaseret beslutning og samtidig fortsætte med at opfylde de aktuelle kontraktkrav og beskytte FCI og CUI.