A CMMC 2. fázisát felfüggesztették. Az 1. fázis kötelezettségei megmaradnak.

Röviden

A Department of War 2026. július 13-i hatállyal felfüggesztette a CMMC II. fázisát, amíg egy 60 napos felülvizsgálatot végez. Az I. fázis hatályban marad. Az ajánlatkérő tisztviselők továbbra is előírhatják a Level 1 Self vagy a Level 2 Self szintet, a meglévő DFARS szerinti kiberbiztonsági, értékelési, incidensbejelentési és adatvédelmi kötelezettségek pedig a II. fázis szüneteltetésétől függetlenül fennmaradnak.

Mit döntöttek 2026. július 13-án

2026. július 13-án a Department of War bejelentette, hogy a Cybersecurity Maturity Model Certification program II. fázisát további intézkedésig azonnali hatállyal felfüggeszti. A hivatalos bejelentés szerint a minisztérium egy 60 napos időszakot használ a program felülvizsgálatára és a szükségtelen akadályok csökkentésére, miközben megőrzi a szövetségi szerződéses információk (Federal Contract Information, FCI) és az ellenőrzött, nem minősített információk (Controlled Unclassified Information, CUI) védelmét. Ez a 60 napos időszak felülvizsgálati és jelentéstételi ütemterv, nem pedig a felfüggesztés megígért befejezési vagy újraindítási dátuma.

A II. fázist eredetileg 2026. november 10-én tervezték elindítani. A felfüggesztés azt változtatja meg, milyen CMMC-státuszt írhat elő egy ajánlatkérő tisztviselő a felülvizsgálat ideje alatt; nem helyezi hatályon kívül a CMMC-szabályokat, és nem törli a már hatályos szerződéses kikötéseket. A hivatalos végrehajtási memorandum utasítja a beszerzési csapatokat arra, hogyan alkalmazzák ezt a megkülönböztetést.

Mit függesztettek fel

A felfüggesztés ideje alatt az új vagy módosított ajánlattételi felhívások és szerződések csak a következőket írhatják elő:

• CMMC Level 1 Self
• CMMC Level 2 Self

A végrehajtási memorandum arra utasítja az ajánlatkérő tisztviselőket, hogy távolítsák el vagy módosítsák a következő előírásokat:

• CMMC Level 2 C3PAO, vagyis egy felhatalmazott harmadik fél értékelő szervezet által végzett tanúsítási értékelés
• CMMC Level 3 DIBCAC, vagyis a legmagasabb CMMC-szintre vonatkozó, kormányzati vezetésű értékelés

Ez a II. fázis szerinti értékelési előírások szüneteltetése. Nem a CMMC összes tevékenységének általános felfüggesztése, önmagában nem érvényteleníti a meglévő C3PAO-tanúsítványokat, és nem tiltja az önkéntes felkészülést. A meglévő ajánlattételi felhívások és szerződések hivatalos módosítások útján változnak. A beszállítóknak az ilyen módosítás kiadásáig a hatályos szerződést és az ajánlatkérő tisztviselő utasításait kell követniük.

Mi marad érvényben

Az I. fázis szerinti önértékelési előírások továbbra is alkalmazhatók. A frissített hivatalos CMMC-áttekintés továbbra is leírja a szakaszos programot és az egyes szintekhez kapcsolódó értékelési követelményeket.

Különálló szerződéses kötelezettségek is relevánsak maradnak:

• A DFARS 252.204-7012 továbbra is szabályozza a védett védelmi információk védelmét, a kiberincidensek bejelentését, a rosszindulatú szoftverek benyújtását, a megőrzést, a hozzáférést és a releváns alvállalkozói továbbhárítást, ha a kikötés alkalmazandó.
• A DFARS 252.204-7020 továbbra is szabályozza a NIST SP 800-171 szerinti DoD-értékelési követelményeket, az értékelésekhez való hozzáférést és adott esetben a továbbhárítást.
• A minisztérium a felfüggesztett Level 2 C3PAO és Level 3 előírási útvonalon kívül folytathat egyes kormányzati értékeléseket.

A gyakorlati szabály egyszerű: a kötelezettségeket az aktuális ajánlattételi felhívásból, a szerződés odaítéléséből, a kikötésekből, a kezelt adatokból, a hatókörbe tartozó rendszerekből és a továbbhárításokból kell meghatározni – nem pusztán egy, a II. fázisról szóló főcímből.

Mit jelent ez az 1. szintre nézve

A Level 1 Self a felfüggesztés ideje alatt is alkalmazható. Akkor alkalmazandó, ha a beszállító információs rendszerei FCI-t kezelnek, tárolnak vagy továbbítanak, és éves önértékelést ír elő a FAR 52.204-21 15 védelmi követelménye alapján, amelyet éves megerősítő nyilatkozat követ.

Az 1. szint nem teszi lehetővé cselekvési és mérföldkőtervek (POA&M) alkalmazását. Az előírt Level 1 státuszhoz minden alkalmazandó követelménynek teljesülnie kell. A szervezeteknek az értékelés hatókörét, eredményeit, a megerősítő nyilatkozatot és az alátámasztó bizonyítékokat összhangban kell tartaniuk azokkal a rendszerekkel, amelyek ténylegesen FCI-t kezelnek.

Mit jelent ez a 2. szintre nézve

A Level 2 Self továbbra is előírható. A NIST SP 800-171 2. revíziójának 110 biztonsági követelményén alapul, háromévenkénti újraértékeléssel és éves megerősítő nyilatkozattal.

Korlátozott POA&M-ek csak a CMMC-szabályok feltételei mellett megengedettek. A megengedett POA&M-be felvett tételeket 180 napon belül le kell zárni, és ezek nem tartalmazhatnak olyan követelményeket, amelyek ki vannak zárva a POA&M-használatból. A Level 2 Self előírás ezért továbbra is érdemi bizonyítékgyűjtési feladat, nem pusztán regisztrációs lépés.

A Level 2 C3PAO előírások a felfüggesztett rész. A beszállítóknak nem szabad azt feltételezniük, hogy a korábbi felkészülés kárba veszett: ugyanaz a CUI-határ, a NIST SP 800-171 megvalósítása, a bizonyítékok minősége, a beszállítói kontrollok és az incidenskezelési folyamatok képezik a jelenlegi szerződéses megfelelés és bármely későbbi értékelés alapját.

Tervezünk egy külön, a CMMC 2. szintjének követelményeiről szóló útmutatót, kontrollonként strukturált áttekintéssel.

Mit jelent ez a német és európai beszállítók számára

A CMMC hatálya az amerikai kormányzati szerződéses kikötéseket, a kezelt információkat, az ezeket az információkat kezelő, tároló vagy továbbító rendszereket és az alvállalkozói továbbhárításokat követi – nem a beszállító országát. Egy német vagy európai vállalat ezért hatály alá tartozhat, ha egy fővállalkozói szerződés vagy alvállalkozói szerződés CMMC-t ír elő, és saját rendszerei FCI-t vagy CUI-t kezelnek.

Fordítva: a 2025-ös végleges DFARS-szabály kifejti, hogy egy alvállalkozónak, amely kizárólag a fővállalkozó rendszerein belül dolgozik, és saját rendszerein nem kezel, nem tárol és nem továbbít FCI-t vagy CUI-t, nincs szüksége külön CMMC-értékelésre ezekre a rendszerekre. Ezt a következtetést a tényleges architektúrának és a szerződés szövegének is alá kell támasztania.

Az európai beszállítóknak az amerikai szerződéses határt a GDPR-tól, a NIS2-től, az ISO 27001-től vagy a nemzeti biztonsági követelményektől elkülönítve kell feltérképezniük. Ezek a rendszerek operatív szinten átfedhetik egymást, de egyik sem helyettesíti automatikusan az előírt CMMC-státuszt vagy a DFARS szerinti kötelezettséget. Tervezünk egy külön CMMC-áttekintést és egy ellenőrző eszközt az első alkalmazhatósági felülvizsgálat strukturálásához.

Konkrét következő lépések

• Olvasson el újra minden aktív ajánlattételi felhívást, szerződés-odaítélést, módosítást és releváns alvállalkozói szerződést. Rögzítse az aktuális CMMC-szintet és értékelési típust pontosan úgy, ahogyan le van írva.
• Kérje meg az ajánlatkérő tisztviselőt vagy a fővállalkozót, hogy erősítse meg a módosításokat ott, ahol Level 2 C3PAO vagy Level 3 DIBCAC előírás szerepel.
• Ne állítsa le az I. fázis szerinti munkát. Ahol előírt, tartsa karban a Level 1 Self vagy a Level 2 Self bizonyítékokat, az újraértékelési dátumokat és az éves megerősítő nyilatkozatokat.
• Validálja az FCI/CUI rendszerhatárt, beleértve a felhőszolgáltatásokat, a távoli adminisztrációt, a vállalati közös szolgáltatásokat és a beszállítói kapcsolatokat.
• Egyeztesse a SPRS-nyilvántartásokat és az alkalmazandó NIST SP 800-171 szerinti DoD-értékelési eredményeket a jogi személlyel és a lefedett információs rendszerekkel.
• Tartsa működőképesen a DFARS 252.204-7012 szerinti incidensbejelentési és bizonyítékmegőrzési eljárásokat.
• Vizsgálja felül az alvállalkozói továbbhárításokat, és dokumentálja, hogy az egyes beszállítók saját rendszereiken kezelnek-e FCI-t vagy CUI-t.
• Kövesse a hivatalos frissítéseket a CMMC-forrásokat és -dokumentációt tartalmazó oldalon.

Ez a cikk általános tájékoztatást nyújt, nem jogi tanácsadás. A szerződésspecifikus kérdéseket az ajánlatkérő tisztviselővel, a fővállalkozóval és képzett jogi tanácsadóval kell tisztázni.

Idővonal

• 2024. december 16.: Hatályba lépett a 32 CFR szerinti CMMC-programszabály.
• 2025. november 10.: Hatályba lépett a DFARS CMMC-beszerzési szabálya és az I. fázis.
• 2026. július 13.: A minisztérium bejelentette a II. fázis azonnali felfüggesztését és egy 60 napos felülvizsgálatot.
• 2026. november 10.: A felfüggesztés előtt erre a napra tervezték a II. fázis kezdetét.
• 2026. július 28.: E cikk és az állapotösszefoglaló utolsó frissítése.

Hivatalos források

• A minisztérium bejelentése: a II. fázis felfüggesztése, 2026. július 13.
• DoD CIO memorandum: Implementing the Suspension of CMMC Phase II
• DoD CIO: About CMMC
• DoD CIO: CMMC-források és -dokumentáció
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 2. revízió
• 2025-ös végleges DFARS-szabály

GYIK

Megszüntették a CMMC-t?

Nem. A minisztérium a II. fázist függesztette fel, nem a CMMC-programot. Az I. fázis szerinti önértékelési előírások továbbra is alkalmazhatók, a mögöttes FAR- és DFARS-kötelezettségek pedig fennmaradnak, ha a szerződés tartalmazza őket.

Előírhat-e egy ajánlatkérő tisztviselő továbbra is C3PAO-értékelést?

A végrehajtási memorandum arra utasítja az ajánlatkérő tisztviselőket, hogy a II. fázis felfüggesztése alatt távolítsák el vagy módosítsák a CMMC Level 2 C3PAO előírásokat. A hatályos ajánlattételi felhívás vagy szerződés szövegét erősítse meg a felelős szerződéskötő hatósággal.

Számít-e még a Level 2 Self értékelés?

Igen. A Level 2 Self a felfüggesztés alatt is előírható. A NIST SP 800-171 2. revíziójának mind a 110 követelménye alapján végzett értékelést igényel, kizárólag a CMMC-szabályok korlátozott POA&M-rendelkezéseinek függvényében, valamint háromévenkénti újraértékelést és éves megerősítő nyilatkozatot.

Megszünteti-e a felfüggesztés a DFARS 252.204-7012 szerinti kötelezettségeket?

Nem. A DFARS 252.204-7012 szerinti védelmi, kiberincidens-bejelentési, megőrzési, hozzáférési és továbbhárítási kötelezettségek fennmaradnak, ha a kikötés alkalmazandó.

Mentesülnek-e az Egyesült Államokon kívüli beszállítók?

Földrajzi mentességet nem szabad feltételezni. Az alkalmazhatóság a szerződéstől és a továbbhárításoktól, az érintett információktól, valamint attól függ, hogy a beszállító rendszerei kezelnek, tárolnak vagy továbbítanak-e FCI-t vagy CUI-t.

Abba kell-e hagyniuk a beszállítóknak a 2. szintű tanúsításra való felkészülést?

A minisztérium nem adott alapot a felülvizsgálat kimenetelének előrejelzésére. A szervezeteknek kockázatalapú döntést kell hozniuk, miközben továbbra is teljesítik a jelenlegi szerződéses követelményeket, és védik az FCI-t és a CUI-t.