A fase 2 do CMMC está suspensa. As obrigações da fase 1 mantêm-se.

Resposta curta

O Departamento da Guerra dos EUA (Department of War) suspendeu a fase II do CMMC com efeitos a partir de 13 de julho de 2026, enquanto realiza uma revisão de 60 dias. A fase I continua em vigor. Os responsáveis pela contratação (contracting officers) podem continuar a exigir o Level 1 Self ou o Level 2 Self, e os deveres DFARS existentes em matéria de cibersegurança, avaliação, notificação de incidentes e proteção de dados mantêm-se independentemente da pausa da fase II.

O que foi decidido a 13 de julho de 2026

A 13 de julho de 2026, o Departamento da Guerra anunciou a suspensão imediata, até nova ordem, da fase II do programa Cybersecurity Maturity Model Certification. O anúncio oficial indica que o Departamento vai utilizar um período de 60 dias para rever o programa e reduzir obstáculos desnecessários, preservando a proteção da Federal Contract Information (FCI) e da Controlled Unclassified Information (CUI). Esse período de 60 dias é um calendário de revisão e de prestação de informação, e não uma data prometida para o fim da suspensão ou para o reinício.

A fase II estava inicialmente prevista para começar a 10 de novembro de 2026. A suspensão altera o estado CMMC que um responsável pela contratação pode designar durante a revisão; não revoga as regras do CMMC nem apaga as cláusulas contratuais já em vigor. O memorando oficial de execução orienta as equipas de aquisição sobre como aplicar essa distinção.

O que foi suspenso

Durante a suspensão, os concursos e contratos novos ou alterados só podem designar:

• CMMC Level 1 Self
• CMMC Level 2 Self

O memorando de execução orienta os responsáveis pela contratação a remover ou alterar as designações relativas a:

• CMMC Level 2 C3PAO, a avaliação de certificação realizada por uma organização de avaliação terceira autorizada
• CMMC Level 3 DIBCAC, a avaliação conduzida pelo governo para o nível CMMC mais elevado

Trata-se de uma pausa nas designações de avaliação da fase II. Não é uma suspensão geral de toda a atividade CMMC, não invalida, por si só, um certificado C3PAO existente e não proíbe a preparação voluntária. Os concursos e contratos existentes só mudam através de alterações ou modificações formais. Os fornecedores devem seguir o contrato em vigor e as instruções do responsável pela contratação até que essa alteração seja emitida.

O que continua a aplicar-se

As designações de autoavaliação da fase I continuam disponíveis. A síntese oficial atualizada do CMMC continua a descrever o programa faseado e os requisitos de avaliação associados a cada nível.

Os deveres contratuais separados também continuam a ser relevantes:

• A DFARS 252.204-7012 continua a reger a proteção da covered defense information, a notificação de ciberincidentes, a submissão de software malicioso, a preservação, o acesso e a transmissão relevante a subcontratados (flowdown) quando a cláusula se aplica.
• A DFARS 252.204-7020 continua a reger os requisitos de avaliação DoD da NIST SP 800-171, o acesso para avaliações e a transmissão a subcontratados, quando aplicável.
• O Departamento pode continuar a realizar determinadas avaliações governamentais fora da via de designação suspensa do Level 2 C3PAO e do Level 3.

A regra prática é simples: determine as obrigações a partir do concurso em curso, da adjudicação, das cláusulas, dos dados tratados, dos sistemas no âmbito e das transmissões a subcontratados, e não apenas a partir de uma manchete sobre a fase II.

O que isto significa para o nível 1

O Level 1 Self continua disponível durante a suspensão. Aplica-se quando os sistemas de informação do fornecedor tratam, armazenam ou transmitem FCI e exige uma autoavaliação anual face aos 15 requisitos de proteção da FAR 52.204-21, seguida de uma declaração anual de conformidade (affirmation).

O nível 1 não permite planos de ação e marcos (POA&M). Todos os requisitos aplicáveis têm de estar cumpridos para obter o estado de nível 1 exigido. As organizações devem manter o âmbito da avaliação, os resultados, a declaração e as evidências de suporte alinhados com os sistemas que efetivamente tratam FCI.

O que isto significa para o nível 2

O Level 2 Self pode continuar a ser designado. Baseia-se nos 110 requisitos de segurança da NIST SP 800-171 Revision 2, com reavaliação de três em três anos e uma declaração anual.

Só são permitidos POA&M limitados nas condições previstas pelas regras do CMMC. Os itens colocados num POA&M permitido têm de ser encerrados no prazo de 180 dias e não podem incluir requisitos excluídos da utilização de POA&M. Uma designação Level 2 Self continua, por isso, a ser um exercício substantivo de evidências, e não um passo de registo.

As designações Level 2 C3PAO são a parte suspensa. Os fornecedores não devem presumir que a preparação anterior foi desperdiçada: a mesma fronteira de CUI, a implementação da NIST SP 800-171, a qualidade das evidências, os controlos sobre fornecedores e os processos de incidentes sustentam a conformidade contratual atual e qualquer avaliação posterior.

Está previsto um guia dedicado aos requisitos do CMMC Level 2, com uma visão estruturada controlo a controlo.

O que isto significa para os fornecedores alemães e europeus

O âmbito do CMMC segue as cláusulas dos contratos públicos norte-americanos, a informação tratada, os sistemas que tratam, armazenam ou transmitem essa informação e as transmissões em subcontratos, e não o país do fornecedor. Uma empresa alemã ou europeia pode, por isso, estar no âmbito quando um contrato principal ou um subcontrato exige o CMMC e os seus próprios sistemas tratam FCI ou CUI.

Inversamente, a regra final DFARS de 2025 explica que um subcontratado que trabalhe apenas dentro dos sistemas do contratante principal, sem tratar, armazenar ou transmitir FCI ou CUI nos seus próprios sistemas, não precisaria de uma avaliação CMMC separada para esses sistemas. A arquitetura real e a redação do contrato têm de sustentar essa conclusão.

Os fornecedores europeus devem mapear a fronteira contratual norte-americana separadamente do RGPD, da NIS2, da ISO 27001 ou dos requisitos nacionais de segurança. Estes regimes podem sobrepor-se a nível operacional, mas nenhum substitui automaticamente um estado CMMC exigido ou uma obrigação DFARS. Estão previstos uma síntese dedicada ao CMMC e um verificador para estruturar uma análise inicial de aplicabilidade.

Próximos passos concretos

• Volte a ler cada concurso, adjudicação, modificação e subcontrato relevante em curso. Registe o nível CMMC e o tipo de avaliação atuais exatamente como estão redigidos.
• Peça ao responsável pela contratação ou ao contratante principal que confirme as alterações quando surgir uma designação Level 2 C3PAO ou Level 3 DIBCAC.
• Não pare o trabalho da fase I. Mantenha as evidências do Level 1 Self ou do Level 2 Self, as datas de reavaliação e as declarações anuais, quando exigidas.
• Valide a fronteira dos sistemas que tratam FCI/CUI, incluindo serviços na nuvem, administração remota, serviços partilhados da empresa e ligações a fornecedores.
• Reconcilie os registos no SPRS e os resultados aplicáveis das avaliações DoD da NIST SP 800-171 com a entidade jurídica e os sistemas de informação abrangidos.
• Mantenha operacionais os procedimentos de notificação de incidentes e de preservação de evidências da DFARS 252.204-7012.
• Reveja as transmissões a subcontratados e documente se cada fornecedor trata FCI ou CUI nos seus próprios sistemas.
• Acompanhe as atualizações oficiais através da página de recursos e documentação do CMMC.

Este artigo fornece informação geral e não constitui aconselhamento jurídico. As questões específicas de cada contrato devem ser esclarecidas com o responsável pela contratação, o contratante principal e um consultor jurídico qualificado.

Cronologia

• 16 de dezembro de 2024: entrou em vigor a regra do programa CMMC do 32 CFR.
• 10 de novembro de 2025: entraram em vigor a regra de aquisição CMMC da DFARS e a fase I.
• 13 de julho de 2026: o Departamento anunciou a suspensão imediata da fase II e uma revisão de 60 dias.
• 10 de novembro de 2026: data em que a fase II estava prevista começar antes da suspensão.
• 28 de julho de 2026: última atualização deste artigo e da síntese do estado.

Fontes oficiais

• Anúncio do Departamento: suspensão da fase II, 13 de julho de 2026
• Memorando do DoD CIO: Implementing the Suspension of CMMC Phase II
• DoD CIO: About CMMC
• DoD CIO: recursos e documentação do CMMC
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 Revision 2
• Regra final DFARS de 2025

Perguntas frequentes

O CMMC foi cancelado?

Não. O Departamento suspendeu a fase II, e não o programa CMMC. As designações de autoavaliação da fase I continuam disponíveis, e as obrigações FAR e DFARS subjacentes mantêm-se quando estão incluídas no contrato.

Um responsável pela contratação pode continuar a exigir uma avaliação C3PAO?

O memorando de execução orienta os responsáveis pela contratação a remover ou alterar as designações CMMC Level 2 C3PAO durante a suspensão da fase II. Confirme a redação do concurso ou do contrato em vigor junto da autoridade de contratação responsável.

Uma avaliação Level 2 Self continua a ser relevante?

Sim. O Level 2 Self pode continuar a ser designado durante a suspensão. Exige uma avaliação face a todos os 110 requisitos da NIST SP 800-171 Revision 2, sujeita apenas às disposições limitadas sobre POA&M das regras do CMMC, além de reavaliação trienal e declaração anual.

A suspensão elimina os deveres da DFARS 252.204-7012?

Não. Os deveres de proteção, notificação de ciberincidentes, preservação, acesso e transmissão a subcontratados previstos na DFARS 252.204-7012 mantêm-se quando essa cláusula se aplica.

Os fornecedores de fora dos Estados Unidos estão isentos?

Não se deve presumir qualquer isenção geográfica. A aplicabilidade depende do contrato e das transmissões a subcontratados, da informação envolvida e de os sistemas do fornecedor tratarem, armazenarem ou transmitirem FCI ou CUI.

Os fornecedores devem deixar de se preparar para a certificação de nível 2?

O Departamento não forneceu uma base para prever o resultado da revisão. As organizações devem tomar uma decisão baseada no risco, continuando a cumprir os requisitos contratuais atuais e a proteger a FCI e a CUI.