Faza 2 CMMC-a je suspendirana. Obveze iz Faze 1 ostaju.

Kratak odgovor

Ministarstvo rata (Department of War) suspendiralo je Fazu II CMMC-a s učinkom od 13. srpnja 2026. dok provodi 60-dnevni pregled. Faza I ostaje na snazi. Službenici za ugovaranje i dalje mogu zahtijevati Level 1 Self ili Level 2 Self, a postojeće obveze iz DFARS-a u pogledu kibernetičke sigurnosti, procjena, izvješćivanja o incidentima i zaštite podataka nastavljaju se neovisno o pauzi Faze II.

Što je odlučeno 13. srpnja 2026.

Ministarstvo rata 13. srpnja 2026. objavilo je trenutačnu suspenziju Faze II programa Cybersecurity Maturity Model Certification do daljnjega. U službenoj objavi navodi se da Ministarstvo koristi razdoblje od 60 dana za pregled programa i smanjenje nepotrebnih prepreka, uz očuvanje zaštite za informacije o saveznim ugovorima (Federal Contract Information, FCI) i kontrolirane neklasificirane informacije (Controlled Unclassified Information, CUI). To razdoblje od 60 dana vremenski je okvir za pregled i izvješćivanje, a ne obećani datum završetka suspenzije ili ponovnog pokretanja.

Faza II prvotno je trebala započeti 10. studenoga 2026. Suspenzija mijenja koji status CMMC-a službenik za ugovaranje smije odrediti tijekom pregleda; ne ukida pravila CMMC-a niti briše ugovorne klauzule koje su već na snazi. Službeni provedbeni memorandum upućuje timove za nabavu kako tu razliku provesti.

Što je suspendirano

Tijekom suspenzije novi ili izmijenjeni natječaji i ugovori smiju određivati samo:

• CMMC Level 1 Self
• CMMC Level 2 Self

Provedbeni memorandum nalaže službenicima za ugovaranje da uklone ili izmijene oznake za:

• CMMC Level 2 C3PAO, certifikacijsku procjenu koju provodi ovlaštena organizacija za procjenu treće strane
• CMMC Level 3 DIBCAC, procjenu koju vodi državna uprava za najvišu razinu CMMC-a

Riječ je o pauzi u određivanju procjena iz Faze II. To nije opća suspenzija svih aktivnosti CMMC-a, samo po sebi ne poništava postojeći certifikat C3PAO i ne zabranjuje dobrovoljnu pripremu. Postojeći natječaji i ugovori mijenjaju se formalnim izmjenama ili dopunama. Ugovaratelji bi trebali slijediti mjerodavni ugovor i upute službenika za ugovaranje dok takva promjena ne bude izdana.

Što se i dalje primjenjuje

Oznake samoprocjene iz Faze I i dalje su dostupne. Ažurirani službeni pregled CMMC-a i dalje opisuje program u fazama i zahtjeve za procjenu povezane sa svakom razinom.

I zasebne ugovorne obveze ostaju relevantne:

• DFARS 252.204-7012 i dalje uređuje zaštitu obuhvaćenih obrambenih informacija, izvješćivanje o kibernetičkim incidentima, dostavu zlonamjernog softvera, očuvanje, pristup i relevantno prenošenje obveza na podizvođače kada se klauzula primjenjuje.
• DFARS 252.204-7020 i dalje uređuje zahtjeve za procjenu NIST SP 800-171 DoD, pristup radi procjena i prenošenje obveza kada je primjenjivo.
• Ministarstvo može nastaviti odabrane državne procjene izvan suspendiranog puta određivanja za Level 2 C3PAO i Level 3.

Praktično je pravilo jednostavno: obveze utvrdite iz aktualnog natječaja, dodjele ugovora, klauzula, podataka koji se obrađuju, sustava u opsegu i obveza prenesenih na podizvođače, a ne samo iz naslova o Fazi II.

Što to znači za razinu 1

Level 1 Self i dalje je dostupan tijekom suspenzije. Primjenjuje se kada informacijski sustavi ugovaratelja obrađuju, pohranjuju ili prenose FCI i zahtijeva godišnju samoprocjenu prema 15 zahtjeva za zaštitu iz FAR 52.204-21, nakon čega slijedi godišnja potvrda (affirmation).

Razina 1 ne dopušta planove djelovanja i ključnih točaka (POA&M). Svaki primjenjivi zahtjev mora biti ispunjen za zahtijevani status razine 1. Organizacije bi trebale uskladiti opseg procjene, rezultate, potvrdu i dokaze koji ih podupiru sa sustavima koji stvarno obrađuju FCI.

Što to znači za razinu 2

Level 2 Self i dalje se može odrediti. Temelji se na 110 sigurnosnih zahtjeva iz NIST SP 800-171 Revision 2, uz ponovnu procjenu svake tri godine i godišnju potvrdu.

Ograničeni POA&M-ovi dopušteni su samo pod uvjetima iz pravila CMMC-a. Stavke uvrštene u dopušteni POA&M moraju se zatvoriti u roku od 180 dana i ne smiju uključivati zahtjeve isključene iz upotrebe POA&M-a. Oznaka Level 2 Self stoga ostaje sadržajna vježba prikupljanja dokaza, a ne korak registracije.

Suspendiran je dio koji se odnosi na oznake Level 2 C3PAO. Ugovaratelji ne bi trebali pretpostaviti da je dosadašnja priprema uzaludna: ista granica za CUI, provedba NIST SP 800-171, kvaliteta dokaza, kontrole dobavljača i procesi za incidente temelj su aktualne ugovorne usklađenosti i svake kasnije procjene.

Planiran je zaseban vodič za zahtjeve razine 2 CMMC-a sa strukturiranim prikazom kontrolu po kontrolu.

Što to znači za njemačke i europske dobavljače

Opseg CMMC-a slijedi ugovorne klauzule američke savezne vlade, informacije koje se obrađuju, sustave koji te informacije obrađuju, pohranjuju ili prenose te obveze prenesene na podizvođače, a ne zemlju dobavljača. Njemačko ili europsko poduzeće stoga može biti u opsegu kada glavni ugovor ili podugovor zahtijeva CMMC, a njegovi vlastiti sustavi obrađuju FCI ili CUI.

Obrnuto, konačno pravilo DFARS-a iz 2025. objašnjava da podizvođač koji radi isključivo unutar sustava glavnog ugovaratelja, bez obrade, pohrane ili prijenosa FCI ili CUI na vlastitim sustavima, ne bi trebao zasebnu procjenu CMMC-a za te sustave. Stvarna arhitektura i tekst ugovora moraju podupirati takav zaključak.

Europski dobavljači trebali bi američku ugovornu granicu mapirati odvojeno od GDPR-a, NIS2, ISO 27001 ili nacionalnih sigurnosnih zahtjeva. Ti se režimi mogu operativno preklapati, ali nijedan automatski ne zamjenjuje zahtijevani status CMMC-a ili obvezu iz DFARS-a. Planirani su zaseban pregled CMMC-a i alat za provjeru koji će pomoći u strukturiranju početnog pregleda primjenjivosti.

Konkretni sljedeći koraci

• Ponovno pročitajte svaki aktivni natječaj, dodjelu ugovora, izmjenu i relevantni podugovor. Evidentirajte trenutačnu razinu CMMC-a i vrstu procjene točno kako su navedene.
• Zamolite službenika za ugovaranje ili glavnog ugovaratelja da potvrdi izmjene ondje gdje se pojavljuje oznaka Level 2 C3PAO ili Level 3 DIBCAC.
• Ne zaustavljajte rad na Fazi I. Održavajte dokaze za Level 1 Self ili Level 2 Self, datume ponovne procjene i godišnje potvrde ondje gdje se zahtijevaju.
• Provjerite granicu sustava za FCI/CUI, uključujući usluge u oblaku, udaljenu administraciju, zajedničke korporativne usluge i veze s dobavljačima.
• Uskladite zapise u SPRS-u i primjenjive rezultate procjene NIST SP 800-171 DoD s pravnim subjektom i obuhvaćenim informacijskim sustavima.
• Održavajte operativnima postupke izvješćivanja o incidentima i očuvanja dokaza prema DFARS 252.204-7012.
• Pregledajte obveze prenesene na podizvođače i dokumentirajte obrađuje li svaki dobavljač FCI ili CUI na vlastitim sustavima.
• Pratite službena ažuriranja putem stranice s resursima i dokumentacijom za CMMC.

Ovaj članak pruža opće informacije, a ne pravni savjet. Pitanja specifična za pojedini ugovor trebalo bi riješiti sa službenikom za ugovaranje, glavnim ugovarateljem i kvalificiranim pravnim savjetnikom.

Vremenski tijek

• 16. prosinca 2024.: Stupilo je na snagu pravilo o programu CMMC iz 32 CFR.
• 10. studenoga 2025.: Stupili su na snagu pravilo DFARS-a o nabavi u vezi s CMMC-om i Faza I.
• 13. srpnja 2026.: Ministarstvo je objavilo trenutačnu suspenziju Faze II i 60-dnevni pregled.
• 10. studenoga 2026.: Prije suspenzije Faza II trebala je započeti na taj datum.
• 28. srpnja 2026.: Ovaj članak i sažetak statusa posljednji su put ažurirani.

Službeni izvori

• Objava Ministarstva: suspenzija Faze II, 13. srpnja 2026.
• Memorandum DoD CIO: Implementing the Suspension of CMMC Phase II
• DoD CIO: o CMMC-u
• DoD CIO: resursi i dokumentacija za CMMC
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 Revision 2
• Konačno pravilo DFARS-a iz 2025.

Česta pitanja

Je li CMMC ukinut?

Ne. Ministarstvo je suspendiralo Fazu II, a ne program CMMC. Oznake samoprocjene iz Faze I i dalje su dostupne, a temeljne obveze iz FAR-a i DFARS-a nastavljaju se ondje gdje su uključene u ugovor.

Može li službenik za ugovaranje i dalje zahtijevati procjenu C3PAO?

Provedbeni memorandum nalaže službenicima za ugovaranje da tijekom suspenzije Faze II uklone ili izmijene oznake CMMC Level 2 C3PAO. Potvrdite mjerodavni tekst natječaja ili ugovora s odgovornim tijelom za ugovaranje.

Je li samoprocjena Level 2 Self i dalje važna?

Da. Level 2 Self i dalje se može odrediti tijekom suspenzije. Zahtijeva procjenu prema svih 110 zahtjeva iz NIST SP 800-171 Revision 2, uz iznimku samo ograničenih odredbi o POA&M-u iz pravila CMMC-a, te ponovnu procjenu svake tri godine i godišnju potvrdu.

Ukida li suspenzija obveze iz DFARS 252.204-7012?

Ne. Obveze zaštite, izvješćivanja o kibernetičkim incidentima, očuvanja, pristupa i prenošenja na podizvođače prema DFARS 252.204-7012 nastavljaju se kada se ta klauzula primjenjuje.

Jesu li dobavljači izvan Sjedinjenih Američkih Država izuzeti?

Ne treba pretpostaviti nikakvo zemljopisno izuzeće. Primjenjivost ovisi o ugovoru i prenesenim obvezama, uključenim informacijama i o tome obrađuju li, pohranjuju ili prenose sustavi dobavljača FCI ili CUI.

Trebaju li ugovaratelji prestati s pripremom za certifikaciju razine 2?

Ministarstvo nije pružilo osnovu za predviđanje ishoda pregleda. Organizacije bi trebale donijeti odluku temeljenu na riziku, a pritom nastaviti ispunjavati aktualne ugovorne zahtjeve i štititi FCI i CUI.