Η Φάση 2 του CMMC αναστέλλεται. Οι υποχρεώσεις της Φάσης 1 παραμένουν.

Σύντομη απάντηση

Το Υπουργείο Πολέμου ανέστειλε τη Φάση II του CMMC από τις 13 Ιουλίου 2026, ενώ διενεργεί επανεξέταση 60 ημερών. Η Φάση I παραμένει σε ισχύ. Οι αναθέτοντες υπάλληλοι μπορούν ακόμη να απαιτούν Level 1 Self ή Level 2 Self, και οι υφιστάμενες υποχρεώσεις του DFARS για την κυβερνοασφάλεια, την αξιολόγηση, την αναφορά περιστατικών και την προστασία δεδομένων συνεχίζουν να ισχύουν ανεξάρτητα από την παύση της Φάσης II.

Τι αποφασίστηκε στις 13 Ιουλίου 2026

Στις 13 Ιουλίου 2026, το Υπουργείο Πολέμου ανακοίνωσε την άμεση αναστολή της Φάσης II του προγράμματος Cybersecurity Maturity Model Certification μέχρι νεωτέρας. Η επίσημη ανακοίνωση αναφέρει ότι το Υπουργείο χρησιμοποιεί μια περίοδο 60 ημερών για να επανεξετάσει το πρόγραμμα και να μειώσει τα περιττά εμπόδια, διατηρώντας παράλληλα την προστασία των Federal Contract Information (FCI) και των Controlled Unclassified Information (CUI). Η περίοδος των 60 ημερών είναι χρονοδιάγραμμα επανεξέτασης και αναφοράς, όχι υπόσχεση για ημερομηνία λήξης ή επανέναρξης μετά την αναστολή.

Η Φάση II είχε αρχικά προγραμματιστεί να ξεκινήσει στις 10 Νοεμβρίου 2026. Η αναστολή αλλάζει την κατάσταση CMMC που μπορεί να ορίσει ένας αναθέτων υπάλληλος κατά τη διάρκεια της επανεξέτασης· δεν καταργεί τους κανόνες του CMMC ούτε διαγράφει ρήτρες συμβάσεων που ήδη ισχύουν. Το επίσημο υπόμνημα εφαρμογής καθοδηγεί τις ομάδες προμηθειών για το πώς να εφαρμόσουν αυτή τη διάκριση.

Τι ανεστάλη

Κατά τη διάρκεια της αναστολής, οι νέες ή τροποποιημένες προκηρύξεις και συμβάσεις μπορούν να ορίζουν μόνο:

• CMMC Level 1 Self
• CMMC Level 2 Self

Το υπόμνημα εφαρμογής καθοδηγεί τους αναθέτοντες υπαλλήλους να αφαιρέσουν ή να τροποποιήσουν τους ορισμούς για:

• CMMC Level 2 C3PAO, την αξιολόγηση πιστοποίησης που διενεργείται από εξουσιοδοτημένο οργανισμό αξιολόγησης τρίτου μέρους
• CMMC Level 3 DIBCAC, την αξιολόγηση υπό την καθοδήγηση της κυβέρνησης για το υψηλότερο επίπεδο CMMC

Πρόκειται για παύση των ορισμών αξιολόγησης της Φάσης II. Δεν είναι γενική αναστολή κάθε δραστηριότητας CMMC, δεν ακυρώνει από μόνη της ένα υφιστάμενο πιστοποιητικό C3PAO και δεν απαγορεύει την εθελοντική προετοιμασία. Οι υφιστάμενες προκηρύξεις και συμβάσεις αλλάζουν μέσω επίσημων τροποποιήσεων. Οι ανάδοχοι πρέπει να ακολουθούν την ισχύουσα σύμβαση και τις οδηγίες του αναθέτοντος υπαλλήλου μέχρι να εκδοθεί τέτοια αλλαγή.

Τι εξακολουθεί να ισχύει

Οι ορισμοί αυτοαξιολόγησης της Φάσης I παραμένουν διαθέσιμοι. Η επικαιροποιημένη επίσημη επισκόπηση του CMMC εξακολουθεί να περιγράφει το σταδιακό πρόγραμμα και τις απαιτήσεις αξιολόγησης που συνδέονται με κάθε επίπεδο.

Χωριστές συμβατικές υποχρεώσεις παραμένουν επίσης σχετικές:

• Το DFARS 252.204-7012 εξακολουθεί να διέπει την προστασία των covered defense information, την αναφορά κυβερνοπεριστατικών, την υποβολή κακόβουλου λογισμικού, τη διατήρηση, την πρόσβαση και τη σχετική μεταβίβαση υποχρεώσεων σε υπεργολάβους όταν εφαρμόζεται η ρήτρα.
• Το DFARS 252.204-7020 εξακολουθεί να διέπει τις απαιτήσεις αξιολόγησης NIST SP 800-171 DoD, την πρόσβαση για αξιολογήσεις και τη μεταβίβαση υποχρεώσεων όταν εφαρμόζεται.
• Το Υπουργείο μπορεί να συνεχίσει επιλεγμένες κυβερνητικές αξιολογήσεις εκτός της διαδρομής ορισμών Level 2 C3PAO και Level 3 που έχει ανασταλεί.

Ο πρακτικός κανόνας είναι απλός: προσδιορίστε τις υποχρεώσεις από την τρέχουσα προκήρυξη, την ανάθεση, τις ρήτρες, τα δεδομένα που χειρίζεστε, τα συστήματα εντός πεδίου εφαρμογής και τις μεταβιβάσεις υποχρεώσεων, όχι μόνο από έναν τίτλο ειδήσεων για τη Φάση II.

Τι σημαίνει αυτό για το Επίπεδο 1

Το Level 1 Self παραμένει διαθέσιμο κατά τη διάρκεια της αναστολής. Εφαρμόζεται όπου τα πληροφοριακά συστήματα του αναδόχου επεξεργάζονται, αποθηκεύουν ή μεταδίδουν FCI και απαιτεί ετήσια αυτοαξιολόγηση με βάση τις 15 απαιτήσεις προστασίας του FAR 52.204-21, ακολουθούμενη από ετήσια βεβαίωση.

Το Επίπεδο 1 δεν επιτρέπει σχέδια δράσης και ορόσημα (POA&M). Κάθε εφαρμοστέα απαίτηση πρέπει να πληρούται για την απαιτούμενη κατάσταση Επιπέδου 1. Οι οργανισμοί πρέπει να διατηρούν το εύρος της αξιολόγησης, τα αποτελέσματα, τη βεβαίωση και τα υποστηρικτικά τεκμήρια ευθυγραμμισμένα με τα συστήματα που πραγματικά χειρίζονται FCI.

Τι σημαίνει αυτό για το Επίπεδο 2

Το Level 2 Self μπορεί ακόμη να οριστεί. Βασίζεται στις 110 απαιτήσεις ασφάλειας του NIST SP 800-171 Revision 2, με επαναξιολόγηση κάθε τρία χρόνια και ετήσια βεβαίωση.

Περιορισμένα POA&M επιτρέπονται μόνο υπό τις προϋποθέσεις των κανόνων του CMMC. Τα στοιχεία που περιλαμβάνονται σε ένα επιτρεπόμενο POA&M πρέπει να κλείσουν εντός 180 ημερών και δεν μπορούν να περιλαμβάνουν απαιτήσεις που εξαιρούνται από τη χρήση POA&M. Ένας ορισμός Level 2 Self παραμένει επομένως ουσιαστική άσκηση τεκμηρίωσης, όχι βήμα καταχώρισης.

Οι ορισμοί Level 2 C3PAO είναι το τμήμα που ανεστάλη. Οι ανάδοχοι δεν πρέπει να υποθέτουν ότι η προηγούμενη προετοιμασία πήγε χαμένη: το ίδιο όριο CUI, η υλοποίηση του NIST SP 800-171, η ποιότητα των τεκμηρίων, τα μέτρα ελέγχου προμηθευτών και οι διαδικασίες περιστατικών αποτελούν τη βάση της τρέχουσας συμβατικής συμμόρφωσης και κάθε μεταγενέστερης αξιολόγησης.

Σχεδιάζεται ένας ειδικός οδηγός για τις απαιτήσεις του CMMC Level 2 με δομημένη προβολή ανά μέτρο ελέγχου.

Τι σημαίνει αυτό για τους γερμανούς και ευρωπαίους προμηθευτές

Το πεδίο εφαρμογής του CMMC ακολουθεί τις ρήτρες των συμβάσεων της κυβέρνησης των ΗΠΑ, τις πληροφορίες που χειρίζεται ο προμηθευτής, τα συστήματα που επεξεργάζονται, αποθηκεύουν ή μεταδίδουν αυτές τις πληροφορίες και τις μεταβιβάσεις υποχρεώσεων σε υπεργολαβίες, όχι τη χώρα του προμηθευτή. Μια γερμανική ή ευρωπαϊκή εταιρεία μπορεί επομένως να εμπίπτει στο πεδίο εφαρμογής όταν μια κύρια σύμβαση ή υπεργολαβία απαιτεί CMMC και τα δικά της συστήματα χειρίζονται FCI ή CUI.

Αντίστροφα, ο τελικός κανόνας DFARS του 2025 εξηγεί ότι ένας υπεργολάβος που εργάζεται μόνο μέσα στα συστήματα του κύριου αναδόχου, χωρίς να επεξεργάζεται, να αποθηκεύει ή να μεταδίδει FCI ή CUI στα δικά του συστήματα, δεν θα χρειαζόταν χωριστή αξιολόγηση CMMC για αυτά τα συστήματα. Η πραγματική αρχιτεκτονική και η διατύπωση της σύμβασης πρέπει να υποστηρίζουν αυτό το συμπέρασμα.

Οι ευρωπαίοι προμηθευτές πρέπει να χαρτογραφούν το συμβατικό όριο των ΗΠΑ χωριστά από τον ΓΚΠΔ, την NIS2, το ISO 27001 ή τις εθνικές απαιτήσεις ασφάλειας. Τα καθεστώτα αυτά μπορεί να αλληλεπικαλύπτονται λειτουργικά, αλλά κανένα δεν υποκαθιστά αυτομάτως μια απαιτούμενη κατάσταση CMMC ή υποχρέωση DFARS. Σχεδιάζονται μια ειδική επισκόπηση του CMMC και ένα εργαλείο ελέγχου για τη δόμηση μιας αρχικής επανεξέτασης εφαρμοσιμότητας.

Συγκεκριμένα επόμενα βήματα

• Διαβάστε ξανά κάθε ενεργή προκήρυξη, ανάθεση, τροποποίηση και σχετική υπεργολαβία. Καταγράψτε το τρέχον επίπεδο CMMC και τον τύπο αξιολόγησης ακριβώς όπως είναι γραμμένα.
• Ζητήστε από τον αναθέτοντα υπάλληλο ή τον κύριο ανάδοχο να επιβεβαιώσει τις τροποποιήσεις όπου εμφανίζεται ορισμός Level 2 C3PAO ή Level 3 DIBCAC.
• Μη σταματήσετε την εργασία της Φάσης I. Διατηρήστε τα τεκμήρια Level 1 Self ή Level 2 Self, τις ημερομηνίες επαναξιολόγησης και τις ετήσιες βεβαιώσεις όπου απαιτούνται.
• Επικυρώστε το όριο των συστημάτων FCI/CUI, συμπεριλαμβανομένων των υπηρεσιών cloud, της απομακρυσμένης διαχείρισης, των κοινών εταιρικών υπηρεσιών και των συνδέσεων με προμηθευτές.
• Συμφωνήστε τις εγγραφές SPRS και τα εφαρμοστέα αποτελέσματα αξιολόγησης NIST SP 800-171 DoD με τη νομική οντότητα και τα καλυπτόμενα πληροφοριακά συστήματα.
• Διατηρήστε λειτουργικές τις διαδικασίες αναφοράς περιστατικών και διατήρησης τεκμηρίων του DFARS 252.204-7012.
• Επανεξετάστε τις μεταβιβάσεις υποχρεώσεων στις υπεργολαβίες και τεκμηριώστε αν κάθε προμηθευτής χειρίζεται FCI ή CUI στα δικά του συστήματα.
• Παρακολουθήστε τις επίσημες ενημερώσεις μέσω της σελίδας πόρων και τεκμηρίωσης του CMMC.

Το άρθρο αυτό παρέχει γενικές πληροφορίες, όχι νομικές συμβουλές. Τα ερωτήματα που αφορούν συγκεκριμένες συμβάσεις πρέπει να επιλύονται με τον αναθέτοντα υπάλληλο, τον κύριο ανάδοχο και κατάλληλους νομικούς συμβούλους.

Χρονολόγιο

• 16 Δεκεμβρίου 2024: Τέθηκε σε ισχύ ο κανόνας του προγράμματος CMMC βάσει του 32 CFR.
• 10 Νοεμβρίου 2025: Τέθηκαν σε ισχύ ο κανόνας προμηθειών DFARS για το CMMC και η Φάση I.
• 13 Ιουλίου 2026: Το Υπουργείο ανακοίνωσε την άμεση αναστολή της Φάσης II και επανεξέταση 60 ημερών.
• 10 Νοεμβρίου 2026: Η Φάση II είχε προγραμματιστεί να ξεκινήσει σε αυτή την ημερομηνία πριν από την αναστολή.
• 28 Ιουλίου 2026: Τελευταία ενημέρωση αυτού του άρθρου και της σύνοψης κατάστασης.

Επίσημες πηγές

• Ανακοίνωση του Υπουργείου: αναστολή της Φάσης II, 13 Ιουλίου 2026
• Υπόμνημα DoD CIO: Implementing the Suspension of CMMC Phase II
• DoD CIO: About CMMC
• DoD CIO: πόροι και τεκμηρίωση του CMMC
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 Revision 2
• Τελικός κανόνας DFARS του 2025

Συχνές ερωτήσεις

Έχει ακυρωθεί το CMMC;

Όχι. Το Υπουργείο ανέστειλε τη Φάση II, όχι το πρόγραμμα CMMC. Οι ορισμοί αυτοαξιολόγησης της Φάσης I παραμένουν διαθέσιμοι, και οι υποκείμενες υποχρεώσεις του FAR και του DFARS συνεχίζουν να ισχύουν όπου περιλαμβάνονται στη σύμβαση.

Μπορεί ένας αναθέτων υπάλληλος να απαιτήσει ακόμη αξιολόγηση C3PAO;

Το υπόμνημα εφαρμογής καθοδηγεί τους αναθέτοντες υπαλλήλους να αφαιρέσουν ή να τροποποιήσουν τους ορισμούς CMMC Level 2 C3PAO κατά τη διάρκεια της αναστολής της Φάσης II. Επιβεβαιώστε την ισχύουσα διατύπωση της προκήρυξης ή της σύμβασης με την αρμόδια αναθέτουσα αρχή.

Έχει ακόμη σημασία μια αξιολόγηση Level 2 Self;

Ναι. Το Level 2 Self μπορεί ακόμη να οριστεί κατά τη διάρκεια της αναστολής. Απαιτεί αξιολόγηση με βάση και τις 110 απαιτήσεις του NIST SP 800-171 Revision 2, με μόνη επιφύλαξη τις περιορισμένες διατάξεις των κανόνων του CMMC για τα POA&M, καθώς και επαναξιολόγηση ανά τριετία και ετήσια βεβαίωση.

Καταργεί η αναστολή τις υποχρεώσεις του DFARS 252.204-7012;

Όχι. Οι υποχρεώσεις προστασίας, αναφοράς κυβερνοπεριστατικών, διατήρησης, πρόσβασης και μεταβίβασης βάσει του DFARS 252.204-7012 συνεχίζουν να ισχύουν όταν εφαρμόζεται η ρήτρα.

Εξαιρούνται οι προμηθευτές εκτός Ηνωμένων Πολιτειών;

Δεν πρέπει να υποτίθεται καμία γεωγραφική εξαίρεση. Η εφαρμοσιμότητα εξαρτάται από τη σύμβαση και τις μεταβιβάσεις υποχρεώσεων, τις πληροφορίες που αφορά και από το αν τα συστήματα του προμηθευτή επεξεργάζονται, αποθηκεύουν ή μεταδίδουν FCI ή CUI.

Πρέπει οι ανάδοχοι να σταματήσουν την προετοιμασία για την πιστοποίηση Επιπέδου 2;

Το Υπουργείο δεν έχει παράσχει βάση για την πρόβλεψη του αποτελέσματος της επανεξέτασης. Οι οργανισμοί πρέπει να λάβουν απόφαση βάσει κινδύνου, συνεχίζοντας να πληρούν τις τρέχουσες συμβατικές απαιτήσεις και να προστατεύουν τα FCI και CUI.