CMMC II etapas sustabdytas. I etapo prievolės lieka.

Trumpas atsakymas

Karo departamentas nuo 2026 m. liepos 13 d. sustabdė CMMC II etapą, kol atlieka 60 dienų peržiūrą. I etapas tebegalioja. Sutarčių pareigūnai vis dar gali reikalauti 1 lygio savęs vertinimo arba 2 lygio savęs vertinimo, o esamos DFARS kibernetinio saugumo, vertinimo, pranešimo apie incidentus ir duomenų apsaugos pareigos galioja nepriklausomai nuo II etapo sustabdymo.

Kas nuspręsta 2026 m. liepos 13 d.

2026 m. liepos 13 d. Karo departamentas paskelbė, kad Kibernetinio saugumo brandos modelio sertifikavimo programos II etapas nedelsiant sustabdomas iki atskiro pranešimo. Oficialiame pranešime teigiama, kad departamentas 60 dienų laikotarpį naudoja programai peržiūrėti ir nereikalingoms kliūtims sumažinti, kartu išlaikydamas federalinės sutarčių informacijos (FCI) ir kontroliuojamos neįslaptintos informacijos (CUI) apsaugą. Šis 60 dienų laikotarpis yra peržiūros ir ataskaitų teikimo tvarkaraštis, o ne pažadėta sustabdymo pabaigos ar atnaujinimo data.

II etapas iš pradžių turėjo prasidėti 2026 m. lapkričio 10 d. Sustabdymas keičia tai, kokią CMMC būseną sutarčių pareigūnas gali nurodyti peržiūros metu; jis nepanaikina CMMC taisyklių ir neištrina jau galiojančių sutarčių sąlygų. Oficialiame įgyvendinimo memorandume pirkimų komandoms nurodoma, kaip taikyti šį skirtumą.

Kas sustabdyta

Sustabdymo metu naujuose ar pakeistuose kvietimuose teikti pasiūlymus ir sutartyse galima nurodyti tik:

• CMMC 1 lygio savęs vertinimą
• CMMC 2 lygio savęs vertinimą

Įgyvendinimo memorandume sutarčių pareigūnams nurodoma pašalinti arba pakeisti šiuos paskyrimus:

• CMMC 2 lygio C3PAO – sertifikavimo vertinimą, kurį atlieka įgaliota trečiosios šalies vertinimo organizacija
• CMMC 3 lygio DIBCAC – vyriausybės vykdomą vertinimą aukščiausiam CMMC lygiui

Tai yra II etapo vertinimo paskyrimų pertrauka. Tai nėra bendras visos CMMC veiklos sustabdymas, tai savaime nepanaikina esamo C3PAO sertifikato galiojimo ir nedraudžia savanoriško pasirengimo. Esami kvietimai teikti pasiūlymus ir sutartys keičiami oficialiais pakeitimais ar modifikacijomis. Kol toks pakeitimas neišleistas, rangovai turėtų vadovautis galiojančia sutartimi ir sutarčių pareigūno nurodymais.

Kas tebegalioja

I etapo savęs vertinimo paskyrimai tebėra galimi. Atnaujintoje oficialioje CMMC apžvalgoje ir toliau aprašoma etapais įgyvendinama programa ir kiekvienam lygiui taikomi vertinimo reikalavimai.

Svarbios lieka ir atskiros sutartinės pareigos:

• DFARS 252.204-7012, kai ši sąlyga taikoma, ir toliau reglamentuoja saugomos gynybos informacijos apsaugą, pranešimą apie kibernetinius incidentus, kenkėjiškos programinės įrangos pateikimą, išsaugojimą, prieigą ir atitinkamą reikalavimų perkėlimą subrangovams.
• DFARS 252.204-7020, kai taikoma, ir toliau reglamentuoja NIST SP 800-171 DoD vertinimo reikalavimus, prieigą vertinimams ir reikalavimų perkėlimą.
• Departamentas gali toliau atlikti tam tikrus vyriausybės vertinimus už sustabdytų 2 lygio C3PAO ir 3 lygio paskyrimų ribų.

Praktinė taisyklė paprasta: prievoles nustatykite pagal dabartinį kvietimą teikti pasiūlymus, sutarties sudarymą, sąlygas, tvarkomus duomenis, į taikymo sritį patenkančias sistemas ir reikalavimų perkėlimą, o ne vien pagal antraštę apie II etapą.

Ką tai reiškia 1 lygiui

1 lygio savęs vertinimas sustabdymo metu tebėra galimas. Jis taikomas, kai rangovo informacinės sistemos tvarko, saugo ar perduoda FCI, ir reikalauja kasmetinio savęs vertinimo pagal 15 FAR 52.204-21 apsaugos reikalavimų, po kurio pateikiamas kasmetinis patvirtinimas.

1 lygis neleidžia taikyti veiksmų ir etapų planų (POA&M). Kad būtų pasiekta reikalaujama 1 lygio būsena, turi būti įvykdytas kiekvienas taikomas reikalavimas. Organizacijos turėtų užtikrinti, kad vertinimo apimtis, rezultatai, patvirtinimas ir pagrindžiantys įrodymai atitiktų sistemas, kurios faktiškai tvarko FCI.

Ką tai reiškia 2 lygiui

2 lygio savęs vertinimas vis dar gali būti nurodytas. Jis grindžiamas 110 saugumo reikalavimų iš NIST SP 800-171 2 redakcijos, pakartotinai vertinant kas trejus metus ir teikiant kasmetinį patvirtinimą.

Riboti POA&M leidžiami tik CMMC taisyklėse nustatytomis sąlygomis. Į leidžiamą POA&M įtraukti elementai turi būti uždaryti per 180 dienų ir negali apimti reikalavimų, kuriems POA&M taikyti neleidžiama. Todėl 2 lygio savęs vertinimo paskyrimas išlieka esminiu įrodymų darbu, o ne registracijos žingsniu.

Sustabdyta būtent 2 lygio C3PAO paskyrimų dalis. Rangovai neturėtų manyti, kad ankstesnis pasirengimas nuėjo veltui: ta pati CUI riba, NIST SP 800-171 įgyvendinimas, įrodymų kokybė, tiekėjų kontrolės priemonės ir incidentų procesai yra dabartinės sutartinės atitikties ir bet kokio vėlesnio vertinimo pagrindas.

Planuojamas atskiras CMMC 2 lygio reikalavimų vadovas su struktūrizuota kiekvienos kontrolės priemonės apžvalga.

Ką tai reiškia Vokietijos ir Europos tiekėjams

CMMC taikymo sritį lemia JAV vyriausybės sutarčių sąlygos, tvarkoma informacija, šią informaciją tvarkančios, saugančios ar perduodančios sistemos ir subrangos sutarčių reikalavimų perkėlimas, o ne tiekėjo šalis. Todėl Vokietijos ar Europos įmonė gali patekti į taikymo sritį, kai pagrindinė sutartis ar subrangos sutartis reikalauja CMMC, o jos pačios sistemos tvarko FCI ar CUI.

Kita vertus, 2025 m. galutinėje DFARS taisyklėje paaiškinama, kad subrangovui, dirbančiam tik pagrindinio rangovo sistemose ir netvarkančiam, nesaugančiam ar neperduodančiam FCI ar CUI savo sistemose, nereikėtų atskiro CMMC vertinimo toms sistemoms. Tokią išvadą turi pagrįsti faktinė architektūra ir sutarties formuluotės.

Europos tiekėjai turėtų JAV sutartines ribas nustatyti atskirai nuo BDAR, NIS2, ISO 27001 ar nacionalinių saugumo reikalavimų. Šie režimai veiklos požiūriu gali sutapti, tačiau nė vienas automatiškai nepakeičia reikalaujamos CMMC būsenos ar DFARS prievolės. Planuojama atskira CMMC apžvalga ir tikrinimo priemonė pradinei taikymo peržiūrai struktūrizuoti.

Konkretūs kiti žingsniai

• Iš naujo perskaitykite kiekvieną aktyvų kvietimą teikti pasiūlymus, sutarties sudarymo dokumentą, modifikaciją ir susijusią subrangos sutartį. Užfiksuokite dabartinį CMMC lygį ir vertinimo tipą tiksliai taip, kaip parašyta.
• Kai nurodytas 2 lygio C3PAO ar 3 lygio DIBCAC paskyrimas, paprašykite sutarčių pareigūno ar pagrindinio rangovo patvirtinti pakeitimus.
• Nenutraukite I etapo darbų. Kai reikalaujama, palaikykite 1 lygio ar 2 lygio savęs vertinimo įrodymus, pakartotinio vertinimo datas ir kasmetinius patvirtinimus.
• Patikrinkite FCI/CUI sistemų ribas, įskaitant debesijos paslaugas, nuotolinį administravimą, bendras įmonės paslaugas ir tiekėjų jungtis.
• Suderinkite SPRS įrašus ir taikomus NIST SP 800-171 DoD vertinimo rezultatus su juridiniu asmeniu ir apimamomis informacinėmis sistemomis.
• Išlaikykite veikiančias DFARS 252.204-7012 pranešimo apie incidentus ir įrodymų išsaugojimo procedūras.
• Peržiūrėkite subrangos sutarčių reikalavimų perkėlimą ir dokumentuokite, ar kiekvienas tiekėjas tvarko FCI ar CUI savo sistemose.
• Oficialius atnaujinimus sekite CMMC išteklių ir dokumentacijos puslapyje.

Šiame straipsnyje pateikiama bendro pobūdžio informacija, o ne teisinė konsultacija. Konkrečių sutarčių klausimus reikėtų spręsti su sutarčių pareigūnu, pagrindiniu rangovu ir kvalifikuotu teisininku.

Laiko juosta

• 2024 m. gruodžio 16 d.: įsigaliojo 32 CFR CMMC programos taisyklė.
• 2025 m. lapkričio 10 d.: įsigaliojo DFARS CMMC pirkimų taisyklė ir I etapas.
• 2026 m. liepos 13 d.: departamentas paskelbė apie nedelsiant įsigaliojantį II etapo sustabdymą ir 60 dienų peržiūrą.
• 2026 m. lapkričio 10 d.: iki sustabdymo II etapas turėjo prasidėti šią dieną.
• 2026 m. liepos 28 d.: paskutinį kartą atnaujintas šis straipsnis ir būsenos santrauka.

Oficialūs šaltiniai

• Departamento pranešimas: II etapo sustabdymas, 2026 m. liepos 13 d.
• DoD CIO memorandumas: CMMC II etapo sustabdymo įgyvendinimas
• DoD CIO: apie CMMC
• DoD CIO: CMMC ištekliai ir dokumentacija
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 2 redakcija
• 2025 m. galutinė DFARS taisyklė

DUK

Ar CMMC atšaukta?

Ne. Departamentas sustabdė II etapą, o ne CMMC programą. I etapo savęs vertinimo paskyrimai tebėra galimi, o pagrindinės FAR ir DFARS prievolės galioja toliau, jei jos įtrauktos į sutartį.

Ar sutarčių pareigūnas vis dar gali reikalauti C3PAO vertinimo?

Įgyvendinimo memorandume sutarčių pareigūnams nurodoma II etapo sustabdymo metu pašalinti arba pakeisti CMMC 2 lygio C3PAO paskyrimus. Galiojančio kvietimo teikti pasiūlymus ar sutarties formuluotę pasitikslinkite su atsakinga sutarčių institucija.

Ar 2 lygio savęs vertinimas vis dar svarbus?

Taip. 2 lygio savęs vertinimas sustabdymo metu vis dar gali būti nurodytas. Jis reikalauja vertinimo pagal visus 110 NIST SP 800-171 2 redakcijos reikalavimų, taikant tik ribotas CMMC taisyklių POA&M nuostatas, taip pat pakartotinio vertinimo kas trejus metus ir kasmetinio patvirtinimo.

Ar sustabdymas panaikina DFARS 252.204-7012 pareigas?

Ne. Kai ši sąlyga taikoma, pagal DFARS 252.204-7012 nustatytos apsaugos, pranešimo apie kibernetinius incidentus, išsaugojimo, prieigos ir reikalavimų perkėlimo pareigos galioja toliau.

Ar ne JAV tiekėjams taikoma išimtis?

Neturėtų būti daroma prielaida dėl jokios geografinės išimties. Taikymas priklauso nuo sutarties ir reikalavimų perkėlimo, susijusios informacijos ir to, ar tiekėjo sistemos tvarko, saugo ar perduoda FCI ar CUI.

Ar rangovai turėtų nutraukti pasirengimą 2 lygio sertifikavimui?

Departamentas nepateikė pagrindo prognozuoti peržiūros rezultatą. Organizacijos turėtų priimti rizika pagrįstą sprendimą, toliau vykdydamos dabartinius sutarčių reikalavimus ir saugodamos FCI bei CUI.