Faza 2 a CMMC este suspendată. Obligațiile din Faza 1 rămân.

Răspunsul pe scurt

Departamentul Războiului a suspendat Faza II a CMMC începând cu 13 iulie 2026, pe durata unei revizuiri de 60 de zile. Faza I rămâne în vigoare. Ofițerii contractanți pot în continuare să impună Level 1 Self sau Level 2 Self, iar obligațiile DFARS existente privind securitatea cibernetică, evaluarea, raportarea incidentelor și protecția datelor continuă independent de pauza din Faza II.

Ce s-a decis la 13 iulie 2026

La 13 iulie 2026, Departamentul Războiului a anunțat suspendarea imediată, până la noi dispoziții, a Fazei II a programului Cybersecurity Maturity Model Certification. Anunțul oficial precizează că Departamentul folosește o perioadă de 60 de zile pentru a revizui programul și a reduce barierele inutile, păstrând în același timp protecția pentru Federal Contract Information (FCI) și Controlled Unclassified Information (CUI). Această perioadă de 60 de zile reprezintă un calendar de revizuire și raportare, nu o dată promisă de încheiere a suspendării sau de reluare.

Faza II fusese programată inițial să înceapă la 10 noiembrie 2026. Suspendarea schimbă statutul CMMC pe care un ofițer contractant îl poate desemna în timpul revizuirii; ea nu abrogă regulile CMMC și nu elimină clauzele contractuale deja în vigoare. Memorandumul oficial de implementare le arată echipelor de achiziții cum să aplice această distincție.

Ce a fost suspendat

Pe durata suspendării, cererile de ofertă și contractele noi sau modificate pot desemna doar:

• CMMC Level 1 Self
• CMMC Level 2 Self

Memorandumul de implementare le cere ofițerilor contractanți să elimine sau să modifice desemnările pentru:

• CMMC Level 2 C3PAO, evaluarea de certificare efectuată de o organizație de evaluare terță autorizată
• CMMC Level 3 DIBCAC, evaluarea condusă de guvern pentru cel mai înalt nivel CMMC

Aceasta este o pauză a desemnărilor de evaluare din Faza II. Nu este o suspendare generală a tuturor activităților CMMC, nu invalidează în sine un certificat C3PAO existent și nu interzice pregătirea voluntară. Cererile de ofertă și contractele existente se modifică prin amendamente sau modificări formale. Contractorii ar trebui să respecte contractul în vigoare și instrucțiunile ofițerului contractant până la emiterea unei astfel de modificări.

Ce se aplică în continuare

Desemnările de autoevaluare din Faza I rămân disponibile. Prezentarea oficială actualizată a CMMC continuă să descrie programul etapizat și cerințele de evaluare asociate fiecărui nivel.

Obligațiile contractuale separate rămân, de asemenea, relevante:

• DFARS 252.204-7012 reglementează în continuare protejarea covered defense information, raportarea incidentelor cibernetice, transmiterea software-ului rău intenționat, conservarea, accesul și transmiterea relevantă către subcontractori, atunci când clauza se aplică.
• DFARS 252.204-7020 reglementează în continuare cerințele de evaluare DoD privind NIST SP 800-171, accesul pentru evaluări și transmiterea către subcontractori, atunci când este aplicabilă.
• Departamentul poate continua anumite evaluări guvernamentale în afara căii de desemnare suspendate pentru Level 2 C3PAO și Level 3.

Regula practică este simplă: stabiliți obligațiile pe baza cererii de ofertă actuale, a atribuirii, a clauzelor, a datelor gestionate, a sistemelor din domeniul de aplicare și a transmiterilor către subcontractori, nu doar pe baza unui titlu despre Faza II.

Ce înseamnă acest lucru pentru Nivelul 1

Level 1 Self rămâne disponibil pe durata suspendării. Se aplică atunci când sistemele informatice ale contractorului prelucrează, stochează sau transmit FCI și impune o autoevaluare anuală în raport cu cele 15 cerințe de protecție din FAR 52.204-21, urmată de o confirmare anuală.

Nivelul 1 nu permite planuri de acțiune și etape (POA&M). Fiecare cerință aplicabilă trebuie îndeplinită pentru statutul de Nivel 1 cerut. Organizațiile ar trebui să mențină domeniul evaluării, rezultatele, confirmarea și dovezile justificative aliniate cu sistemele care gestionează efectiv FCI.

Ce înseamnă acest lucru pentru Nivelul 2

Level 2 Self poate fi în continuare desemnat. Se bazează pe cele 110 cerințe de securitate din NIST SP 800-171 Revision 2, cu reevaluare la fiecare trei ani și o confirmare anuală.

POA&M-urile limitate sunt permise numai în condițiile prevăzute de regulile CMMC. Elementele incluse într-un POA&M permis trebuie închise în termen de 180 de zile și nu pot include cerințe excluse de la utilizarea POA&M. O desemnare Level 2 Self rămâne, așadar, un exercițiu substanțial privind dovezile, nu un simplu pas de înregistrare.

Desemnările Level 2 C3PAO reprezintă partea suspendată. Contractorii nu ar trebui să presupună că pregătirea anterioară a fost în zadar: același perimetru CUI, aceeași implementare NIST SP 800-171, aceeași calitate a dovezilor, aceleași controale privind furnizorii și aceleași procese de gestionare a incidentelor stau la baza conformității contractuale actuale și a oricărei evaluări ulterioare.

Este planificat un ghid dedicat cerințelor CMMC Level 2, cu o prezentare structurată, control cu control.

Ce înseamnă acest lucru pentru furnizorii germani și europeni

Domeniul de aplicare CMMC urmează clauzele contractelor guvernamentale americane, informațiile gestionate, sistemele care prelucrează, stochează sau transmit aceste informații și transmiterile către subcontractori, nu țara furnizorului. O companie germană sau europeană poate intra, așadar, în domeniul de aplicare atunci când un contract principal sau un subcontract impune CMMC, iar propriile sale sisteme gestionează FCI sau CUI.

Invers, regula finală DFARS din 2025 explică faptul că un subcontractor care lucrează doar în sistemele contractorului principal, fără a prelucra, stoca sau transmite FCI sau CUI în propriile sisteme, nu ar avea nevoie de o evaluare CMMC separată pentru acele sisteme. Arhitectura reală și formularea contractului trebuie să susțină această concluzie.

Furnizorii europeni ar trebui să cartografieze limita contractuală americană separat de RGPD, NIS2, ISO 27001 sau cerințele naționale de securitate. Aceste regimuri se pot suprapune operațional, dar niciunul nu înlocuiește automat un statut CMMC cerut sau o obligație DFARS. Sunt planificate o prezentare generală dedicată CMMC și un instrument de verificare pentru structurarea unei analize inițiale a aplicabilității.

Pași concreți următori

• Recitiți fiecare cerere de ofertă, atribuire, modificare și subcontract relevant aflat în derulare. Consemnați nivelul CMMC și tipul de evaluare actuale exact așa cum sunt formulate.
• Cereți ofițerului contractant sau contractorului principal să confirme modificările acolo unde apare o desemnare Level 2 C3PAO sau Level 3 DIBCAC.
• Nu opriți activitatea din Faza I. Mențineți dovezile pentru Level 1 Self sau Level 2 Self, datele de reevaluare și confirmările anuale, acolo unde sunt cerute.
• Validați perimetrul sistemelor FCI/CUI, inclusiv serviciile cloud, administrarea la distanță, serviciile partajate ale companiei și conexiunile furnizorilor.
• Reconciliați evidențele SPRS și rezultatele aplicabile ale evaluărilor DoD privind NIST SP 800-171 cu entitatea juridică și sistemele informatice acoperite.
• Mențineți operaționale procedurile de raportare a incidentelor și de conservare a dovezilor prevăzute de DFARS 252.204-7012.
• Revizuiți transmiterile către subcontractori și documentați dacă fiecare furnizor gestionează FCI sau CUI în propriile sisteme.
• Urmăriți actualizările oficiale pe pagina de resurse și documentație CMMC.

Acest articol oferă informații generale, nu consultanță juridică. Întrebările specifice contractelor ar trebui clarificate cu ofițerul contractant, contractorul principal și consilieri juridici calificați.

Cronologie

• 16 decembrie 2024: Regula programului CMMC din 32 CFR a intrat în vigoare.
• 10 noiembrie 2025: Regula de achiziții DFARS privind CMMC și Faza I au intrat în vigoare.
• 13 iulie 2026: Departamentul a anunțat suspendarea imediată a Fazei II și o revizuire de 60 de zile.
• 10 noiembrie 2026: Faza II fusese programată să înceapă la această dată, înainte de suspendare.
• 28 iulie 2026: Acest articol și rezumatul stadiului au fost actualizate ultima dată.

Surse oficiale

• Anunțul Departamentului: suspendarea Fazei II, 13 iulie 2026
• Memorandumul DoD CIO: Implementing the Suspension of CMMC Phase II
• DoD CIO: About CMMC
• DoD CIO: resurse și documentație CMMC
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 Revision 2
• Regula finală DFARS din 2025

Întrebări frecvente

A fost anulat CMMC?

Nu. Departamentul a suspendat Faza II, nu programul CMMC. Desemnările de autoevaluare din Faza I rămân disponibile, iar obligațiile FAR și DFARS de bază continuă acolo unde sunt incluse în contract.

Mai poate un ofițer contractant să impună o evaluare C3PAO?

Memorandumul de implementare le cere ofițerilor contractanți să elimine sau să modifice desemnările CMMC Level 2 C3PAO pe durata suspendării Fazei II. Confirmați formularea cererii de ofertă sau a contractului în vigoare cu autoritatea contractantă responsabilă.

Mai contează o evaluare Level 2 Self?

Da. Level 2 Self poate fi în continuare desemnat pe durata suspendării. Necesită evaluarea în raport cu toate cele 110 cerințe din NIST SP 800-171 Revision 2, sub rezerva exclusiv a dispozițiilor limitate privind POA&M din regulile CMMC, plus reevaluare la fiecare trei ani și confirmare anuală.

Elimină suspendarea obligațiile prevăzute de DFARS 252.204-7012?

Nu. Obligațiile de protejare, raportare a incidentelor cibernetice, conservare, acces și transmitere către subcontractori prevăzute de DFARS 252.204-7012 continuă atunci când clauza se aplică.

Sunt exceptați furnizorii din afara Statelor Unite?

Nu ar trebui presupusă nicio excepție geografică. Aplicabilitatea depinde de contract și de transmiterile către subcontractori, de informațiile implicate și de faptul dacă sistemele furnizorului prelucrează, stochează sau transmit FCI sau CUI.

Ar trebui contractorii să oprească pregătirea pentru certificarea de Nivel 2?

Departamentul nu a oferit o bază pentru a anticipa rezultatul revizuirii. Organizațiile ar trebui să ia o decizie bazată pe risc, continuând în același timp să îndeplinească cerințele contractuale actuale și să protejeze FCI și CUI.