CMMC 2. etapp on peatatud. 1. etapi kohustused kehtivad edasi.

Lühivastus

Sõjaministeerium peatas CMMC II etapi alates 13. juulist 2026, viies samal ajal läbi 60-päevase ülevaatuse. I etapp jääb jõusse. Hankeametnikud võivad endiselt nõuda määrangut Level 1 Self või Level 2 Self ning olemasolevad DFARS-i küberturvalisuse, hindamise, intsidentidest teatamise ja andmekaitse kohustused kehtivad II etapi peatamisest sõltumatult.

Mida otsustati 13. juulil 2026

13. juulil 2026 teatas sõjaministeerium küberturvalisuse küpsusmudeli sertifitseerimisprogrammi (Cybersecurity Maturity Model Certification) II etapi viivitamatust peatamisest kuni edasise teateni. Ametliku teadaande kohaselt kasutab ministeerium 60-päevast perioodi programmi ülevaatamiseks ja tarbetute takistuste vähendamiseks, säilitades samal ajal föderaalse lepinguteabe (Federal Contract Information, FCI) ja kontrollitava salastamata teabe (Controlled Unclassified Information, CUI) kaitse. See 60-päevane periood on ülevaatuse ja aruandluse ajakava, mitte lubatud peatamise lõpu- või taasalustamise kuupäev.

II etapp pidi algselt algama 10. novembril 2026. Peatamine muudab seda, millise CMMC oleku võib hankeametnik ülevaatuse ajal määrata; see ei tühista CMMC reegleid ega kustuta juba kehtivaid lepinguklausleid. Ametlik rakendusmemorandum juhendab hankemeeskondi, kuidas seda eristust rakendada.

Mis peatati

Peatamise ajal võivad uued või muudetud hankekutsed ja lepingud määrata ainult:

• CMMC Level 1 Self
• CMMC Level 2 Self

Rakendusmemorandum suunab hankeametnikke eemaldama või muutma järgmisi määranguid:

• CMMC Level 2 C3PAO, sertifitseerimishindamine, mille teeb volitatud kolmanda osapoole hindamisorganisatsioon
• CMMC Level 3 DIBCAC, valitsuse juhitud hindamine kõrgeima CMMC taseme jaoks

See on II etapi hindamismäärangute paus. See ei ole kogu CMMC tegevuse üldine peatamine, ei muuda iseenesest olemasolevat C3PAO sertifikaati kehtetuks ega keela vabatahtlikku ettevalmistust. Olemasolevad hankekutsed ja lepingud muutuvad ametlike muudatuste või modifikatsioonide kaudu. Töövõtjad peaksid järgima kehtivat lepingut ja hankeametniku juhiseid, kuni selline muudatus välja antakse.

Mis kehtib edasi

I etapi enesehindamise määrangud jäävad kättesaadavaks. Ajakohastatud ametlik CMMC ülevaade kirjeldab jätkuvalt etapiviisilist programmi ja igale tasemele lisatud hindamisnõudeid.

Asjakohaseks jäävad ka eraldi lepingulised kohustused:

• DFARS 252.204-7012 reguleerib klausli kohaldumisel endiselt hõlmatud kaitseteabe kaitsmist, küberintsidentidest teatamist, pahavara esitamist, säilitamist, juurdepääsu ja asjakohast edasikandmist allhankijatele.
• DFARS 252.204-7020 reguleerib kohaldumisel endiselt NIST SP 800-171 DoD hindamisnõudeid, juurdepääsu hindamisteks ja edasikandmist allhankijatele.
• Ministeerium võib jätkata valitud valitsuse hindamisi väljaspool peatatud Level 2 C3PAO ja Level 3 määrangute teed.

Praktiline reegel on lihtne: tehke kohustused kindlaks kehtiva hankekutse, lepingu sõlmimise, klauslite, käideldavate andmete, ulatusse kuuluvate süsteemide ja allhankijatele edasikantud kohustuste põhjal, mitte ainult II etappi puudutava pealkirja põhjal.

Mida see tähendab 1. taseme jaoks

Level 1 Self jääb peatamise ajal kättesaadavaks. See kohaldub juhul, kui töövõtja infosüsteemid töötlevad, salvestavad või edastavad FCI-d, ning nõuab iga-aastast enesehindamist FAR 52.204-21 15 kaitsenõude alusel, millele järgneb iga-aastane kinnitus.

1. tase ei luba tegevus- ja verstapostide kavasid (plans of action and milestones, POA&M). Nõutava 1. taseme oleku saavutamiseks peab olema täidetud iga kohaldatav nõue. Organisatsioonid peaksid hoidma hindamise ulatuse, tulemused, kinnituse ja toetavad tõendid kooskõlas süsteemidega, mis tegelikult FCI-d käitlevad.

Mida see tähendab 2. taseme jaoks

Level 2 Self võib endiselt määrata. See põhineb NIST SP 800-171 2. redaktsiooni 110 turvanõudel, korduvhindamisega iga kolme aasta järel ja iga-aastase kinnitusega.

Piiratud POA&M-id on lubatud ainult CMMC reeglite tingimustel. Lubatud POA&M-i kantud punktid tuleb sulgeda 180 päeva jooksul ja need ei tohi hõlmata nõudeid, mis on POA&M-i kasutamisest välja jäetud. Seetõttu jääb Level 2 Self määrang sisuliseks tõendamisharjutuseks, mitte registreerimissammuks.

Level 2 C3PAO määrangud on see osa, mis on peatatud. Töövõtjad ei tohiks eeldada, et varasem ettevalmistus läks raisku: sama CUI piir, NIST SP 800-171 rakendamine, tõendite kvaliteet, tarnijameetmed ja intsidendiprotsessid on aluseks praegusele lepingulisele vastavusele ja igale hilisemale hindamisele.

Kavas on eraldi CMMC 2. taseme nõuete juhend struktureeritud meetmepõhise vaatega.

Mida see tähendab Saksa ja Euroopa tarnijatele

CMMC ulatus järgib USA valitsuse lepinguklausleid, käideldavat teavet, seda teavet töötlevaid, salvestavaid või edastavaid süsteeme ja allhankijatele edasikantud kohustusi, mitte tarnija riiki. Seetõttu võib Saksa või Euroopa ettevõte kuuluda ulatusse, kui peatöövõtuleping või allhankeleping nõuab CMMC-d ja tema enda süsteemid käitlevad FCI-d või CUI-d.

Seevastu selgitab 2025. aasta DFARS-i lõplik reegel, et allhankija, kes töötab ainult peatöövõtja süsteemides, töötlemata, salvestamata või edastamata FCI-d või CUI-d oma süsteemides, ei vajaks nende süsteemide jaoks eraldi CMMC hindamist. Tegelik arhitektuur ja lepingu sõnastus peavad seda järeldust toetama.

Euroopa tarnijad peaksid kaardistama USA lepingulise piiri eraldi GDPR-ist, NIS2-st, ISO 27001-st või riiklikest turvanõuetest. Need režiimid võivad tegevuslikult kattuda, kuid ükski neist ei asenda automaatselt nõutavat CMMC olekut või DFARS-i kohustust. Kavas on eraldi CMMC ülevaade ja kontrollija esialgse kohaldatavuse ülevaatuse struktureerimiseks.

Konkreetsed järgmised sammud

• Lugege uuesti läbi iga aktiivne hankekutse, lepingu sõlmimine, modifikatsioon ja asjakohane allhankeleping. Salvestage kehtiv CMMC tase ja hindamise liik täpselt nii, nagu need on kirjas.
• Paluge hankeametnikul või peatöövõtjal kinnitada muudatused, kui esineb Level 2 C3PAO või Level 3 DIBCAC määrang.
• Ärge lõpetage I etapi tööd. Säilitage vajaduse korral Level 1 Self või Level 2 Self tõendid, korduvhindamise kuupäevad ja iga-aastased kinnitused.
• Valideerige FCI/CUI süsteemipiir, sealhulgas pilveteenused, kaughaldus, ettevõtte jagatud teenused ja tarnijaühendused.
• Viige SPRS-i kirjed ja kohaldatavad NIST SP 800-171 DoD hindamistulemused vastavusse juriidilise isiku ja hõlmatud infosüsteemidega.
• Hoidke DFARS 252.204-7012 intsidentidest teatamise ja tõendite säilitamise protseduurid toimivana.
• Vaadake üle allhankijatele edasikantud kohustused ja dokumenteerige, kas iga tarnija käitleb FCI-d või CUI-d oma süsteemides.
• Jälgige ametlikke uuendusi CMMC ressursside ja dokumentatsiooni lehel.

See artikkel annab üldist teavet, mitte õigusnõu. Lepingupõhised küsimused tuleks lahendada hankeametniku, peatöövõtja ja pädeva õigusnõustajaga.

Ajajoon

• 16. detsember 2024: jõustus 32 CFR CMMC programmi reegel.
• 10. november 2025: jõustusid DFARS-i CMMC hankereegel ja I etapp.
• 13. juuli 2026: ministeerium teatas II etapi viivitamatust peatamisest ja 60-päevasest ülevaatusest.
• 10. november 2026: II etapp pidi enne peatamist algama sellel kuupäeval.
• 28. juuli 2026: seda artiklit ja oleku kokkuvõtet uuendati viimati.

Ametlikud allikad

• Ministeeriumi teadaanne: II etapi peatamine, 13. juuli 2026
• DoD CIO memorandum: Implementing the Suspension of CMMC Phase II
• DoD CIO: About CMMC
• DoD CIO: CMMC ressursid ja dokumentatsioon
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 2. redaktsioon
• 2025. aasta DFARS-i lõplik reegel

KKK

Kas CMMC on tühistatud?

Ei. Ministeerium peatas II etapi, mitte CMMC programmi. I etapi enesehindamise määrangud jäävad kättesaadavaks ning aluseks olevad FAR-i ja DFARS-i kohustused kehtivad edasi, kui need on lepingusse lisatud.

Kas hankeametnik võib endiselt nõuda C3PAO hindamist?

Rakendusmemorandum suunab hankeametnikke II etapi peatamise ajal eemaldama või muutma CMMC Level 2 C3PAO määranguid. Kinnitage kehtiva hankekutse või lepingu sõnastus vastutava hankeasutusega.

Kas Level 2 Self hindamine on endiselt oluline?

Jah. Level 2 Self võib peatamise ajal endiselt määrata. See nõuab hindamist kõigi 110 NIST SP 800-171 2. redaktsiooni nõude alusel, millele kehtivad üksnes CMMC reeglite piiratud POA&M-sätted, lisaks korduvhindamine iga kolme aasta järel ja iga-aastane kinnitus.

Kas peatamine kaotab DFARS 252.204-7012 kohustused?

Ei. DFARS 252.204-7012 kohased kaitse-, küberintsidentidest teatamise, säilitamise, juurdepääsu ja allhankijatele edasikandmise kohustused kehtivad edasi, kui see klausel kohaldub.

Kas tarnijad väljaspool Ameerika Ühendriike on vabastatud?

Geograafilist vabastust ei tohiks eeldada. Kohaldatavus sõltub lepingust ja allhankijatele edasikantud kohustustest, asjaomasest teabest ja sellest, kas tarnija süsteemid töötlevad, salvestavad või edastavad FCI-d või CUI-d.

Kas töövõtjad peaksid 2. taseme sertifitseerimiseks valmistumise lõpetama?

Ministeerium ei ole andnud alust ülevaatuse tulemuse ennustamiseks. Organisatsioonid peaksid tegema riskipõhise otsuse, täites samal ajal jätkuvalt kehtivaid lepingunõudeid ning kaitstes FCI-d ja CUI-d.