CMMC:n vaihe 2 on keskeytetty. Vaiheen 1 velvoitteet ovat edelleen voimassa.

Lyhyt vastaus

Yhdysvaltain sotaministeriö (Department of War) keskeytti CMMC:n vaiheen II 13. heinäkuuta 2026 alkaen 60 päivän tarkastelun ajaksi. Vaihe I on edelleen voimassa. Hankintaviranomaiset voivat edelleen edellyttää tasoa Level 1 Self tai Level 2 Self, ja olemassa olevat DFARS-säännösten mukaiset kyberturvallisuus-, arviointi-, poikkeamailmoitus- ja tietosuojavelvollisuudet jatkuvat vaiheen II keskeytyksestä riippumatta.

Mitä päätettiin 13. heinäkuuta 2026

Sotaministeriö ilmoitti 13. heinäkuuta 2026 keskeyttävänsä Cybersecurity Maturity Model Certification -ohjelman vaiheen II välittömästi toistaiseksi. Virallisen tiedotteen mukaan ministeriö käyttää 60 päivän jakson ohjelman tarkasteluun ja tarpeettomien esteiden vähentämiseen säilyttäen samalla liittovaltion sopimustietojen (Federal Contract Information, FCI) ja valvottujen luokittelemattomien tietojen (Controlled Unclassified Information, CUI) suojan. Tämä 60 päivän jakso on tarkastelun ja raportoinnin aikataulu, ei luvattu päättymis- tai uudelleenkäynnistyspäivä keskeytykselle.

Vaiheen II oli alun perin määrä alkaa 10. marraskuuta 2026. Keskeytys muuttaa sitä, minkä CMMC-tilan hankintaviranomainen voi määrittää tarkastelun aikana; se ei kumoa CMMC-sääntöjä eikä poista jo voimassa olevia sopimuslausekkeita. Virallinen täytäntöönpanomuistio ohjeistaa hankintatiimejä tämän erottelun toteuttamisessa.

Mitä keskeytettiin

Keskeytyksen aikana uusissa tai muutetuissa tarjouspyynnöissä ja sopimuksissa voidaan määrittää ainoastaan:

• CMMC Level 1 Self
• CMMC Level 2 Self

Täytäntöönpanomuistio ohjeistaa hankintaviranomaisia poistamaan tai muuttamaan seuraavat määritykset:

• CMMC Level 2 C3PAO, eli valtuutetun kolmannen osapuolen arviointiorganisaation tekemä sertifiointiarviointi
• CMMC Level 3 DIBCAC, eli hallinnon johtama arviointi CMMC:n korkeimmalle tasolle

Kyse on vaiheen II arviointimääritysten keskeytyksestä. Se ei ole kaiken CMMC-toiminnan yleinen keskeytys, se ei sellaisenaan mitätöi olemassa olevaa C3PAO-sertifikaattia eikä se kiellä vapaaehtoista valmistautumista. Olemassa olevat tarjouspyynnöt ja sopimukset muuttuvat virallisten muutosten tai muokkausten kautta. Sopimuskumppanien tulee noudattaa voimassa olevaa sopimusta ja hankintaviranomaisen ohjeita, kunnes tällainen muutos annetaan.

Mitä edelleen sovelletaan

Vaiheen I itsearviointimääritykset ovat edelleen käytettävissä. Päivitetty virallinen CMMC-yleiskatsaus kuvaa edelleen vaiheittaista ohjelmaa ja kuhunkin tasoon liittyviä arviointivaatimuksia.

Myös erilliset sopimusvelvoitteet ovat edelleen merkityksellisiä:

• DFARS 252.204-7012 säätelee edelleen katettujen puolustustietojen suojaamista, kyberpoikkeamista ilmoittamista, haittaohjelmien toimittamista, säilyttämistä, pääsyä ja asiaankuuluvaa alihankkijoille siirtämistä (flowdown), kun lauseketta sovelletaan.
• DFARS 252.204-7020 säätelee edelleen NIST SP 800-171 -standardin mukaisia DoD-arviointivaatimuksia, pääsyä arviointeja varten ja tarvittaessa alihankkijoille siirtämistä.
• Ministeriö voi jatkaa valikoituja hallinnon arviointeja keskeytetyn Level 2 C3PAO- ja Level 3 -määrityspolun ulkopuolella.

Käytännön sääntö on yksinkertainen: määritä velvoitteet ajantasaisen tarjouspyynnön, sopimuksen, lausekkeiden, käsiteltyjen tietojen, soveltamisalaan kuuluvien järjestelmien ja alihankkijoille siirrettyjen velvoitteiden perusteella, ei pelkän vaihetta II koskevan otsikon perusteella.

Mitä tämä tarkoittaa tasolle 1

Level 1 Self on edelleen käytettävissä keskeytyksen aikana. Sitä sovelletaan, kun sopimuskumppanin tietojärjestelmät käsittelevät, tallentavat tai siirtävät FCI-tietoja, ja se edellyttää vuosittaista itsearviointia FAR 52.204-21:n 15 suojausvaatimusta vasten sekä vuosittaista vahvistusta (affirmation).

Taso 1 ei salli toimenpide- ja välitavoitesuunnitelmia (plans of action and milestones, POA&M). Jokaisen sovellettavan vaatimuksen on täytyttävä vaaditun tason 1 tilan saavuttamiseksi. Organisaatioiden tulee pitää arvioinnin soveltamisala, tulokset, vahvistus ja tukeva näyttö yhdenmukaisina niiden järjestelmien kanssa, jotka todella käsittelevät FCI-tietoja.

Mitä tämä tarkoittaa tasolle 2

Level 2 Self voidaan edelleen määrittää. Se perustuu NIST SP 800-171 Revision 2 -julkaisun 110 tietoturvavaatimukseen, ja siihen kuuluu uudelleenarviointi kolmen vuoden välein ja vuosittainen vahvistus.

Rajoitetut POA&M-suunnitelmat ovat sallittuja vain CMMC-sääntöjen ehtojen mukaisesti. Sallittuun POA&M-suunnitelmaan merkityt kohdat on suljettava 180 päivän kuluessa, eikä niihin saa sisältyä vaatimuksia, jotka on suljettu POA&M-käytön ulkopuolelle. Level 2 Self -määritys on siksi edelleen sisällöllinen näyttöharjoitus, ei rekisteröitymisvaihe.

Keskeytetty osa on Level 2 C3PAO -määritykset. Sopimuskumppanien ei pidä olettaa, että aiempi valmistautuminen on mennyt hukkaan: sama CUI-raja, NIST SP 800-171 -toteutus, näytön laatu, toimittajia koskevat hallintakeinot ja poikkeamaprosessit ovat nykyisen sopimuksellisen vaatimustenmukaisuuden ja mahdollisen myöhemmän arvioinnin perusta.

Suunnitteilla on erillinen CMMC Level 2 -vaatimuksia käsittelevä opas, jossa on jäsennelty hallintakeinokohtainen näkymä.

Mitä tämä tarkoittaa saksalaisille ja eurooppalaisille toimittajille

CMMC:n soveltamisala määräytyy Yhdysvaltain hallinnon sopimuslausekkeiden, käsiteltyjen tietojen, kyseisiä tietoja käsittelevien, tallentavien tai siirtävien järjestelmien ja alihankintasopimuksiin siirrettyjen velvoitteiden mukaan, ei toimittajan kotimaan mukaan. Saksalainen tai eurooppalainen yritys voi siksi kuulua soveltamisalaan, kun pääsopimus tai alihankintasopimus edellyttää CMMC:tä ja sen omat järjestelmät käsittelevät FCI- tai CUI-tietoja.

Toisaalta vuoden 2025 lopullisessa DFARS-säännössä todetaan, että alihankkija, joka työskentelee ainoastaan päätoimittajan järjestelmissä käsittelemättä, tallentamatta tai siirtämättä FCI- tai CUI-tietoja omissa järjestelmissään, ei tarvitsisi erillistä CMMC-arviointia näille järjestelmille. Todellisen arkkitehtuurin ja sopimuksen sanamuodon on tuettava tätä johtopäätöstä.

Eurooppalaisten toimittajien tulee kartoittaa Yhdysvaltain sopimuksellinen raja erillään yleisestä tietosuoja-asetuksesta (GDPR), NIS2:sta, ISO 27001:stä tai kansallisista turvallisuusvaatimuksista. Nämä järjestelmät voivat olla operatiivisesti päällekkäisiä, mutta mikään niistä ei automaattisesti korvaa vaadittua CMMC-tilaa tai DFARS-velvoitetta. Suunnitteilla on erillinen CMMC-yleiskatsaus ja tarkistustyökalu alustavan soveltuvuusarvion jäsentämiseen.

Konkreettiset seuraavat askeleet

• Lue uudelleen jokainen aktiivinen tarjouspyyntö, sopimus, muutos ja asiaankuuluva alihankintasopimus. Kirjaa nykyinen CMMC-taso ja arviointityyppi täsmälleen siinä muodossa kuin ne on kirjoitettu.
• Pyydä hankintaviranomaista tai päätoimittajaa vahvistamaan muutokset, jos niissä esiintyy Level 2 C3PAO- tai Level 3 DIBCAC -määritys.
• Älä keskeytä vaiheen I työtä. Ylläpidä Level 1 Self- tai Level 2 Self -näyttöä, uudelleenarviointipäiviä ja vuosittaisia vahvistuksia silloin, kun niitä edellytetään.
• Validoi FCI/CUI-järjestelmäraja, mukaan lukien pilvipalvelut, etäylläpito, yrityksen yhteiset palvelut ja toimittajayhteydet.
• Täsmäytä SPRS-kirjaukset ja sovellettavat NIST SP 800-171 -standardin mukaiset DoD-arviointitulokset oikeushenkilöön ja katettuihin tietojärjestelmiin.
• Pidä DFARS 252.204-7012 -lausekkeen mukaiset poikkeamailmoitus- ja näytön säilyttämismenettelyt toiminnassa.
• Katselmoi alihankintasopimuksiin siirretyt velvoitteet ja dokumentoi, käsitteleekö kukin toimittaja FCI- tai CUI-tietoja omissa järjestelmissään.
• Seuraa virallisia päivityksiä CMMC:n resurssi- ja dokumentaatiosivulta.

Tämä artikkeli sisältää yleistä tietoa, ei oikeudellista neuvontaa. Sopimuskohtaiset kysymykset tulee ratkaista hankintaviranomaisen, päätoimittajan ja pätevän oikeudellisen neuvonantajan kanssa.

Aikajana

• 16. joulukuuta 2024: 32 CFR -säädöksen mukainen CMMC-ohjelmasääntö tuli voimaan.
• 10. marraskuuta 2025: DFARS-säännösten mukainen CMMC-hankintasääntö ja vaihe I tulivat voimaan.
• 13. heinäkuuta 2026: Ministeriö ilmoitti vaiheen II välittömästä keskeytyksestä ja 60 päivän tarkastelusta.
• 10. marraskuuta 2026: Vaiheen II oli määrä alkaa tänä päivänä ennen keskeytystä.
• 28. heinäkuuta 2026: Tämä artikkeli ja tilannekatsaus päivitettiin viimeksi.

Viralliset lähteet

• Ministeriön tiedote: vaiheen II keskeytys, 13. heinäkuuta 2026
• DoD CIO -muistio: Implementing the Suspension of CMMC Phase II
• DoD CIO: About CMMC
• DoD CIO: CMMC:n resurssit ja dokumentaatio
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 Revision 2
• Vuoden 2025 lopullinen DFARS-sääntö

Usein kysytyt kysymykset

Onko CMMC peruttu?

Ei. Ministeriö keskeytti vaiheen II, ei CMMC-ohjelmaa. Vaiheen I itsearviointimääritykset ovat edelleen käytettävissä, ja taustalla olevat FAR- ja DFARS-velvoitteet jatkuvat silloin, kun ne sisältyvät sopimukseen.

Voiko hankintaviranomainen edelleen edellyttää C3PAO-arviointia?

Täytäntöönpanomuistio ohjeistaa hankintaviranomaisia poistamaan tai muuttamaan CMMC Level 2 C3PAO -määritykset vaiheen II keskeytyksen ajaksi. Vahvista voimassa olevan tarjouspyynnön tai sopimuksen sanamuoto vastuulliselta hankintaviranomaiselta.

Onko Level 2 Self -arvioinnilla edelleen merkitystä?

Kyllä. Level 2 Self voidaan edelleen määrittää keskeytyksen aikana. Se edellyttää arviointia kaikkia NIST SP 800-171 Revision 2:n 110 vaatimusta vasten ainoastaan CMMC-sääntöjen rajoitettujen POA&M-määräysten puitteissa sekä uudelleenarviointia kolmen vuoden välein ja vuosittaista vahvistusta.

Poistaako keskeytys DFARS 252.204-7012 -lausekkeen mukaiset velvollisuudet?

Ei. DFARS 252.204-7012 -lausekkeen mukaiset suojaamis-, kyberpoikkeamailmoitus-, säilyttämis-, pääsy- ja siirtovelvollisuudet jatkuvat, kun lauseketta sovelletaan.

Ovatko Yhdysvaltain ulkopuoliset toimittajat vapautettuja?

Maantieteellistä vapautusta ei pidä olettaa. Soveltuvuus riippuu sopimuksesta ja siirretyistä velvoitteista, kyseessä olevista tiedoista ja siitä, käsittelevätkö, tallentavatko tai siirtävätkö toimittajan järjestelmät FCI- tai CUI-tietoja.

Pitäisikö sopimuskumppanien lopettaa valmistautuminen tason 2 sertifiointiin?

Ministeriö ei ole antanut perustetta tarkastelun lopputuloksen ennustamiselle. Organisaatioiden tulee tehdä riskiperusteinen päätös ja samalla jatkaa nykyisten sopimusvaatimusten täyttämistä sekä FCI- ja CUI-tietojen suojaamista.