CMMC 2. fāze ir apturēta. 1. fāzes pienākumi paliek spēkā.

Īsā atbilde

Kara departaments apturēja CMMC II fāzi no 2026. gada 13. jūlija, kamēr tas veic 60 dienu pārskatīšanu. I fāze paliek spēkā. Līgumslēdzēji amatpersonas joprojām var pieprasīt Level 1 Self vai Level 2 Self, un esošie DFARS kiberdrošības, novērtēšanas, ziņošanas par incidentiem un datu aizsardzības pienākumi turpinās neatkarīgi no II fāzes pārtraukuma.

Kas tika nolemts 2026. gada 13. jūlijā

Kara departaments 2026. gada 13. jūlijā paziņoja par Cybersecurity Maturity Model Certification programmas II fāzes tūlītēju apturēšanu līdz turpmākam paziņojumam. Oficiālajā paziņojumā teikts, ka departaments izmanto 60 dienu periodu, lai pārskatītu programmu un samazinātu nevajadzīgus šķēršļus, vienlaikus saglabājot federālā līguma informācijas (FCI) un kontrolētas neklasificētas informācijas (CUI) aizsardzību. Šis 60 dienu periods ir pārskatīšanas un ziņošanas grafiks, nevis solīts apturēšanas beigu vai atsākšanas datums.

II fāzi sākotnēji bija paredzēts sākt 2026. gada 10. novembrī. Apturēšana maina to, kādu CMMC statusu līgumslēdzēja amatpersona pārskatīšanas laikā var noteikt; tā neatceļ CMMC noteikumus un neizdzēš jau spēkā esošas līguma klauzulas. Oficiālais īstenošanas memorands norāda iepirkumu komandām, kā īstenot šo nošķīrumu.

Kas tika apturēts

Apturēšanas laikā jaunos vai grozītos iepirkuma pieprasījumos un līgumos var noteikt tikai:

• CMMC Level 1 Self
• CMMC Level 2 Self

Īstenošanas memorands uzdod līgumslēdzējām amatpersonām svītrot vai grozīt šādas prasības:

• CMMC Level 2 C3PAO – sertifikācijas novērtējums, ko veic pilnvarota trešās puses novērtēšanas organizācija
• CMMC Level 3 DIBCAC – valdības vadīts novērtējums augstākajam CMMC līmenim

Tas ir II fāzes novērtējuma prasību pārtraukums. Tā nav vispārēja visas CMMC darbības apturēšana, tā pati par sevi nepadara nederīgu esošu C3PAO sertifikātu un neaizliedz brīvprātīgu sagatavošanos. Esošie iepirkuma pieprasījumi un līgumi mainās ar formāliem grozījumiem vai modifikācijām. Kamēr šādas izmaiņas nav izdotas, darbuzņēmējiem būtu jāievēro spēkā esošais līgums un līgumslēdzējas amatpersonas norādījumi.

Kas joprojām ir piemērojams

I fāzes pašnovērtējuma prasības joprojām ir pieejamas. Atjauninātajā oficiālajā CMMC pārskatā joprojām aprakstīta pakāpeniskā programma un katram līmenim piesaistītās novērtējuma prasības.

Būtiski joprojām ir arī atsevišķi līgumiskie pienākumi:

• DFARS 252.204-7012 joprojām regulē aptvertās aizsardzības informācijas aizsardzību, ziņošanu par kiberincidentiem, ļaunprogrammatūras iesniegšanu, saglabāšanu, piekļuvi un attiecīgo prasību nodošanu apakšuzņēmējiem, ja klauzula ir piemērojama.
• DFARS 252.204-7020 joprojām regulē NIST SP 800-171 DoD novērtējuma prasības, piekļuvi novērtējumiem un prasību nodošanu, ja tā ir piemērojama.
• Departaments var turpināt atsevišķus valdības novērtējumus ārpus apturētā Level 2 C3PAO un Level 3 prasību ceļa.

Praktiskais noteikums ir vienkāršs: nosakiet pienākumus, pamatojoties uz pašreizējo iepirkuma pieprasījumu, līguma piešķīrumu, klauzulām, apstrādātajiem datiem, tvērumā ietilpstošajām sistēmām un prasību nodošanu, nevis tikai uz virsrakstu par II fāzi.

Ko tas nozīmē 1. līmenim

Level 1 Self apturēšanas laikā joprojām ir pieejams. Tas ir piemērojams, ja darbuzņēmēja informācijas sistēmas apstrādā, glabā vai pārsūta FCI, un prasa ikgadēju pašnovērtējumu atbilstoši 15 aizsardzības prasībām FAR 52.204-21, kam seko ikgadējs apliecinājums.

CMMC 1. līmenis neatļauj rīcības plānus un starpposma mērķus (POA&M). Lai iegūtu prasīto 1. līmeņa statusu, jāizpilda katra piemērojamā prasība. Organizācijām būtu jāsaglabā novērtējuma tvērums, rezultāti, apliecinājums un pamatojošie pierādījumi saskaņā ar sistēmām, kas faktiski apstrādā FCI.

Ko tas nozīmē 2. līmenim

Level 2 Self joprojām var tikt noteikts. Tas balstās uz 110 drošības prasībām NIST SP 800-171 2. redakcijā ar atkārtotu novērtēšanu ik pēc trim gadiem un ikgadēju apliecinājumu.

Ierobežoti POA&M ir atļauti tikai saskaņā ar CMMC noteikumu nosacījumiem. Atļautā POA&M iekļautie vienumi jāslēdz 180 dienu laikā, un tajos nedrīkst iekļaut prasības, kuras izslēgts iekļaut POA&M. Tāpēc Level 2 Self prasība joprojām ir būtisks pierādījumu darbs, nevis reģistrācijas solis.

Apturētā daļa ir Level 2 C3PAO prasības. Darbuzņēmējiem nevajadzētu pieņemt, ka iepriekšējā sagatavošanās ir bijusi veltīga: tā pati CUI robeža, NIST SP 800-171 ieviešana, pierādījumu kvalitāte, piegādātāju kontroles un incidentu procesi ir pamatā pašreizējai līgumiskajai atbilstībai un jebkuram vēlākam novērtējumam.

Plānots īpašs CMMC 2. līmeņa prasību ceļvedis ar strukturētu skatījumu uz katru kontroli.

Ko tas nozīmē Vācijas un Eiropas piegādātājiem

CMMC tvērumu nosaka ASV valdības līguma klauzulas, apstrādātā informācija, sistēmas, kas šo informāciju apstrādā, glabā vai pārsūta, un apakšlīgumos nodotās prasības, nevis piegādātāja valsts. Tāpēc Vācijas vai Eiropas uzņēmums var ietilpt tvērumā, ja galvenais līgums vai apakšlīgums prasa CMMC un tā paša sistēmas apstrādā FCI vai CUI.

Un otrādi: 2025. gada DFARS galīgajā noteikumā paskaidrots, ka apakšuzņēmējam, kas strādā tikai galvenā darbuzņēmēja sistēmās, neapstrādājot, neglabājot un nepārsūtot FCI vai CUI savās sistēmās, nebūtu nepieciešams atsevišķs CMMC novērtējums šīm sistēmām. Šim secinājumam jābūt pamatotam ar faktisko arhitektūru un līguma formulējumu.

Eiropas piegādātājiem būtu jākartē ASV līgumiskā robeža atsevišķi no VDAR, NIS2, ISO 27001 vai nacionālās drošības prasībām. Šie režīmi var darbības līmenī pārklāties, taču neviens no tiem automātiski neaizstāj prasīto CMMC statusu vai DFARS pienākumu. Plānots īpašs CMMC pārskats un pārbaudes rīks sākotnējā piemērojamības novērtējuma strukturēšanai.

Konkrēti nākamie soļi

• Atkārtoti izlasiet katru aktīvo iepirkuma pieprasījumu, līguma piešķīrumu, modifikāciju un attiecīgo apakšlīgumu. Reģistrējiet pašreizējo CMMC līmeni un novērtējuma veidu precīzi tā, kā tas ir rakstīts.
• Lūdziet līgumslēdzējai amatpersonai vai galvenajam darbuzņēmējam apstiprināt grozījumus, ja parādās Level 2 C3PAO vai Level 3 DIBCAC prasība.
• Nepārtrauciet I fāzes darbu. Uzturiet Level 1 Self vai Level 2 Self pierādījumus, atkārtotās novērtēšanas datumus un ikgadējos apliecinājumus, ja tie ir prasīti.
• Validējiet FCI/CUI sistēmu robežu, ieskaitot mākoņpakalpojumus, attālināto administrēšanu, uzņēmuma kopīgos pakalpojumus un piegādātāju savienojumus.
• Saskaņojiet SPRS ierakstus un piemērojamos NIST SP 800-171 DoD novērtējuma rezultātus ar juridisko personu un aptvertajām informācijas sistēmām.
• Uzturiet darbojošās DFARS 252.204-7012 ziņošanas par incidentiem un pierādījumu saglabāšanas procedūras.
• Pārskatiet apakšlīgumos nodotās prasības un dokumentējiet, vai katrs piegādātājs apstrādā FCI vai CUI savās sistēmās.
• Sekojiet oficiālajiem atjauninājumiem CMMC resursu un dokumentācijas lapā.

Šajā rakstā sniegta vispārīga informācija, nevis juridiska konsultācija. Konkrētiem līgumiem specifiski jautājumi jārisina ar līgumslēdzēju amatpersonu, galveno darbuzņēmēju un kvalificētu juristu.

Laika grafiks

• 2024. gada 16. decembris: stājās spēkā 32 CFR CMMC programmas noteikums.
• 2025. gada 10. novembris: stājās spēkā DFARS CMMC iepirkuma noteikums un I fāze.
• 2026. gada 13. jūlijs: departaments paziņoja par tūlītēju II fāzes apturēšanu un 60 dienu pārskatīšanu.
• 2026. gada 10. novembris: šajā datumā pirms apturēšanas bija paredzēts sākt II fāzi.
• 2026. gada 28. jūlijs: šis raksts un statusa kopsavilkums pēdējo reizi atjaunināts.

Oficiālie avoti

• Departamenta paziņojums: II fāzes apturēšana, 2026. gada 13. jūlijs
• DoD CIO memorands: CMMC II fāzes apturēšanas īstenošana
• DoD CIO: par CMMC
• DoD CIO: CMMC resursi un dokumentācija
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 2. redakcija
• 2025. gada DFARS galīgais noteikums

Biežāk uzdotie jautājumi

Vai CMMC ir atcelta?

Nē. Departaments apturēja II fāzi, nevis CMMC programmu. I fāzes pašnovērtējuma prasības joprojām ir pieejamas, un pamatā esošie FAR un DFARS pienākumi turpinās, ja tie ir iekļauti līgumā.

Vai līgumslēdzēja amatpersona joprojām var pieprasīt C3PAO novērtējumu?

Īstenošanas memorands uzdod līgumslēdzējām amatpersonām II fāzes apturēšanas laikā svītrot vai grozīt CMMC Level 2 C3PAO prasības. Pārliecinieties par spēkā esošā iepirkuma pieprasījuma vai līguma formulējumu pie atbildīgās līgumslēdzējas iestādes.

Vai Level 2 Self novērtējums joprojām ir svarīgs?

Jā. Level 2 Self apturēšanas laikā joprojām var tikt noteikts. Tas prasa novērtējumu atbilstoši visām 110 NIST SP 800-171 2. redakcijas prasībām, ievērojot tikai CMMC noteikumu ierobežotos POA&M noteikumus, kā arī atkārtotu novērtēšanu ik pēc trim gadiem un ikgadēju apliecinājumu.

Vai apturēšana atceļ DFARS 252.204-7012 pienākumus?

Nē. Aizsardzības, ziņošanas par kiberincidentiem, saglabāšanas, piekļuves un prasību nodošanas pienākumi saskaņā ar DFARS 252.204-7012 turpinās, ja šī klauzula ir piemērojama.

Vai piegādātāji ārpus Amerikas Savienotajām Valstīm ir atbrīvoti?

Nevajadzētu pieņemt nekādu ģeogrāfisku atbrīvojumu. Piemērojamība ir atkarīga no līguma un nodotajām prasībām, iesaistītās informācijas un tā, vai piegādātāja sistēmas apstrādā, glabā vai pārsūta FCI vai CUI.

Vai darbuzņēmējiem būtu jāpārtrauc gatavošanās 2. līmeņa sertifikācijai?

Departaments nav sniedzis pamatu pārskatīšanas iznākuma prognozēšanai. Organizācijām būtu jāpieņem uz riskiem balstīts lēmums, vienlaikus turpinot izpildīt pašreizējās līguma prasības un aizsargāt FCI un CUI.