CMMC fase 2 is opgeschort. De verplichtingen uit fase 1 blijven.

Kort antwoord

Het Department of War heeft fase II van CMMC met ingang van 13 juli 2026 opgeschort, terwijl het een review van 60 dagen uitvoert. Fase I blijft van kracht. Contracting officers kunnen nog steeds Level 1 Self of Level 2 Self vereisen, en bestaande DFARS-verplichtingen op het gebied van cyberbeveiliging, beoordeling, incidentmelding en gegevensbescherming blijven gelden, los van de pauze in fase II.

Wat er op 13 juli 2026 is besloten

Op 13 juli 2026 kondigde het Department of War de onmiddellijke opschorting aan van fase II van het programma Cybersecurity Maturity Model Certification, tot nader order. De officiële aankondiging stelt dat het ministerie een periode van 60 dagen gebruikt om het programma te herzien en onnodige drempels te verlagen, terwijl de bescherming van Federal Contract Information (FCI) en Controlled Unclassified Information (CUI) behouden blijft. Die periode van 60 dagen is een tijdlijn voor review en rapportage, geen toegezegde einddatum of herstartdatum van de opschorting.

Fase II zou oorspronkelijk op 10 november 2026 beginnen. De opschorting verandert welke CMMC-status een contracting officer tijdens de review mag aanduiden; ze trekt de CMMC-regels niet in en schrapt geen contractbepalingen die al van kracht zijn. Het officiële uitvoeringsmemorandum geeft aanbestedingsteams instructies over hoe ze dat onderscheid moeten toepassen.

Wat is opgeschort

Tijdens de opschorting mogen nieuwe of gewijzigde aanbestedingen en contracten alleen het volgende aanduiden:

• CMMC Level 1 Self
• CMMC Level 2 Self

Het uitvoeringsmemorandum draagt contracting officers op aanduidingen te verwijderen of te wijzigen voor:

• CMMC Level 2 C3PAO, de certificeringsbeoordeling door een geautoriseerde externe beoordelingsorganisatie
• CMMC Level 3 DIBCAC, de door de overheid uitgevoerde beoordeling voor het hoogste CMMC-niveau

Dit is een pauze in de beoordelingsaanduidingen van fase II. Het is geen algemene opschorting van alle CMMC-activiteiten, maakt een bestaand C3PAO-certificaat niet op zichzelf ongeldig en verbiedt vrijwillige voorbereiding niet. Bestaande aanbestedingen en contracten veranderen via formele wijzigingen of aanpassingen. Contractanten moeten het geldende contract en de instructies van de contracting officer volgen totdat zo'n wijziging is uitgevaardigd.

Wat blijft gelden

Aanduidingen voor zelfbeoordeling uit fase I blijven beschikbaar. Het bijgewerkte officiële CMMC-overzicht beschrijft nog steeds het gefaseerde programma en de beoordelingseisen die aan elk niveau zijn verbonden.

Ook afzonderlijke contractuele verplichtingen blijven relevant:

• DFARS 252.204-7012 regelt nog steeds de beveiliging van covered defense information, de melding van cyberincidenten, het aanleveren van malware, het bewaren van gegevens, toegang en de relevante doorlevering aan onderaannemers wanneer de bepaling van toepassing is.
• DFARS 252.204-7020 regelt nog steeds de DoD-beoordelingseisen voor NIST SP 800-171, toegang voor beoordelingen en doorlevering waar van toepassing.
• Het ministerie kan bepaalde overheidsbeoordelingen voortzetten buiten het opgeschorte aanduidingstraject voor Level 2 C3PAO en Level 3.

De praktische regel is eenvoudig: bepaal verplichtingen aan de hand van de actuele aanbesteding, gunning, bepalingen, verwerkte gegevens, systemen binnen de reikwijdte en doorleveringen, niet alleen aan de hand van een kop over fase II.

Wat dit betekent voor niveau 1

Level 1 Self blijft tijdens de opschorting beschikbaar. Het geldt wanneer informatiesystemen van de contractant FCI verwerken, opslaan of verzenden, en vereist een jaarlijkse zelfbeoordeling aan de hand van de 15 beveiligingseisen in FAR 52.204-21, gevolgd door een jaarlijkse bevestiging (affirmation).

Niveau 1 staat geen plans of action and milestones (POA&M's) toe. Aan elke toepasselijke eis moet zijn voldaan voor de vereiste niveau 1-status. Organisaties moeten de reikwijdte van de beoordeling, de resultaten, de bevestiging en het ondersteunende bewijs afstemmen op de systemen die daadwerkelijk FCI verwerken.

Wat dit betekent voor niveau 2

Level 2 Self kan nog steeds worden aangeduid. Het is gebaseerd op de 110 beveiligingseisen in NIST SP 800-171 Revision 2, met een herbeoordeling om de drie jaar en een jaarlijkse bevestiging.

Beperkte POA&M's zijn alleen toegestaan onder de voorwaarden van de CMMC-regels. Punten op een toegestane POA&M moeten binnen 180 dagen worden afgesloten en mogen geen eisen omvatten die van POA&M-gebruik zijn uitgesloten. Een aanduiding als Level 2 Self blijft daarom een inhoudelijke bewijsexercitie, geen registratiestap.

Aanduidingen voor Level 2 C3PAO zijn het deel dat is opgeschort. Contractanten moeten er niet van uitgaan dat eerdere voorbereiding verspild is: dezelfde CUI-grens, implementatie van NIST SP 800-171, bewijskwaliteit, leveranciersmaatregelen en incidentprocessen vormen de basis voor de huidige contractuele naleving en voor een eventuele latere beoordeling.

Een aparte gids over de eisen van CMMC niveau 2, met een gestructureerd overzicht per beheersmaatregel, is gepland.

Wat dit betekent voor Duitse en Europese leveranciers

De reikwijdte van CMMC volgt de contractbepalingen van de Amerikaanse overheid, de verwerkte informatie, de systemen die die informatie verwerken, opslaan of verzenden, en doorleveringen naar onderaannemers, niet het land van de leverancier. Een Duits of Europees bedrijf kan dus binnen de reikwijdte vallen wanneer een hoofdcontract of subcontract CMMC vereist en de eigen systemen FCI of CUI verwerken.

Omgekeerd legt de definitieve DFARS-regel van 2025 uit dat een onderaannemer die uitsluitend binnen de systemen van de hoofdcontractant werkt, zonder FCI of CUI op eigen systemen te verwerken, op te slaan of te verzenden, geen afzonderlijke CMMC-beoordeling voor die systemen nodig zou hebben. De werkelijke architectuur en de contracttekst moeten die conclusie ondersteunen.

Europese leveranciers moeten de Amerikaanse contractuele grens afzonderlijk in kaart brengen, los van de AVG, NIS2, ISO 27001 of nationale beveiligingseisen. Die regimes kunnen operationeel overlappen, maar geen van alle vervangt automatisch een vereiste CMMC-status of DFARS-verplichting. Een apart CMMC-overzicht en een checker om een eerste toepasselijkheidsbeoordeling te structureren, zijn gepland.

Concrete volgende stappen

• Lees elke actieve aanbesteding, gunning, wijziging en relevant subcontract opnieuw. Leg het huidige CMMC-niveau en het beoordelingstype precies vast zoals ze zijn geformuleerd.
• Vraag de contracting officer of hoofdcontractant om wijzigingen te bevestigen waar een aanduiding Level 2 C3PAO of Level 3 DIBCAC voorkomt.
• Stop het werk voor fase I niet. Houd waar vereist het bewijs voor Level 1 Self of Level 2 Self, herbeoordelingsdata en jaarlijkse bevestigingen bij.
• Valideer de systeemgrens voor FCI/CUI, inclusief clouddiensten, beheer op afstand, gedeelde bedrijfsdiensten en verbindingen met leveranciers.
• Stem SPRS-registraties en toepasselijke DoD-beoordelingsresultaten voor NIST SP 800-171 af op de juridische entiteit en de gedekte informatiesystemen.
• Houd de procedures voor incidentmelding en het bewaren van bewijs onder DFARS 252.204-7012 operationeel.
• Beoordeel doorleveringen in subcontracten en documenteer of elke leverancier FCI of CUI op eigen systemen verwerkt.
• Volg officiële updates via de pagina met CMMC-bronnen en -documentatie.

Dit artikel biedt algemene informatie, geen juridisch advies. Contractspecifieke vragen moeten worden opgelost met de contracting officer, de hoofdcontractant en een gekwalificeerde jurist.

Tijdlijn

• 16 december 2024: de CMMC-programmaregel in 32 CFR treedt in werking.
• 10 november 2025: de CMMC-aanbestedingsregel in DFARS en fase I worden van kracht.
• 13 juli 2026: het ministerie kondigt de onmiddellijke opschorting van fase II en een review van 60 dagen aan.
• 10 november 2026: op deze datum zou fase II vóór de opschorting beginnen.
• 28 juli 2026: dit artikel en het statusoverzicht zijn voor het laatst bijgewerkt.

Officiële bronnen

• Aankondiging van het ministerie: opschorting van fase II, 13 juli 2026
• Memorandum van de DoD CIO: Implementing the Suspension of CMMC Phase II
• DoD CIO: About CMMC
• DoD CIO: CMMC-bronnen en -documentatie
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 Revision 2
• Definitieve DFARS-regel van 2025

Veelgestelde vragen

Is CMMC geschrapt?

Nee. Het ministerie heeft fase II opgeschort, niet het CMMC-programma. Aanduidingen voor zelfbeoordeling uit fase I blijven beschikbaar, en de onderliggende FAR- en DFARS-verplichtingen blijven gelden waar ze in het contract zijn opgenomen.

Kan een contracting officer nog een C3PAO-beoordeling vereisen?

Het uitvoeringsmemorandum draagt contracting officers op om aanduidingen voor CMMC Level 2 C3PAO tijdens de opschorting van fase II te verwijderen of te wijzigen. Controleer de geldende tekst van de aanbesteding of het contract bij de verantwoordelijke aanbestedende instantie.

Is een Level 2 Self-beoordeling nog van belang?

Ja. Level 2 Self kan tijdens de opschorting nog steeds worden aangeduid. Het vereist een beoordeling aan de hand van alle 110 eisen van NIST SP 800-171 Revision 2, uitsluitend onder voorbehoud van de beperkte POA&M-bepalingen in de CMMC-regels, plus een driejaarlijkse herbeoordeling en een jaarlijkse bevestiging.

Vervallen de verplichtingen uit DFARS 252.204-7012 door de opschorting?

Nee. De verplichtingen voor beveiliging, melding van cyberincidenten, bewaring, toegang en doorlevering onder DFARS 252.204-7012 blijven gelden wanneer die bepaling van toepassing is.

Zijn leveranciers buiten de Verenigde Staten vrijgesteld?

Ga niet uit van een geografische vrijstelling. De toepasselijkheid hangt af van het contract en de doorleveringen, de betrokken informatie en de vraag of de systemen van de leverancier FCI of CUI verwerken, opslaan of verzenden.

Moeten contractanten stoppen met de voorbereiding op certificering voor niveau 2?

Het ministerie heeft geen basis gegeven om de uitkomst van de review te voorspellen. Organisaties moeten een risicogebaseerd besluit nemen en intussen blijven voldoen aan de huidige contracteisen en FCI en CUI blijven beschermen.