Fáza 2 CMMC je pozastavená. Povinnosti fázy 1 zostávajú.

Stručná odpoveď

Ministerstvo vojny USA (Department of War) pozastavilo fázu II CMMC s účinnosťou od 13. júla 2026 na čas 60-dňového preskúmania. Fáza I zostáva v platnosti. Zmluvní úradníci môžu naďalej vyžadovať úroveň 1 so samoposúdením (Level 1 Self) alebo úroveň 2 so samoposúdením (Level 2 Self) a existujúce povinnosti podľa DFARS v oblasti kybernetickej bezpečnosti, posudzovania, hlásenia incidentov a ochrany údajov pokračujú nezávisle od prerušenia fázy II.

Čo sa rozhodlo 13. júla 2026

Dňa 13. júla 2026 ministerstvo vojny oznámilo okamžité pozastavenie fázy II programu Cybersecurity Maturity Model Certification až do odvolania. Oficiálne oznámenie uvádza, že ministerstvo využíva 60-dňové obdobie na preskúmanie programu a odstránenie zbytočných prekážok pri zachovaní ochrany federálnych zmluvných informácií (Federal Contract Information, FCI) a kontrolovaných neutajovaných informácií (Controlled Unclassified Information, CUI). Toto 60-dňové obdobie je harmonogram preskúmania a podávania správ, nie prisľúbený dátum ukončenia alebo opätovného spustenia po pozastavení.

Fáza II sa pôvodne mala začať 10. novembra 2026. Pozastavenie mení, aký stav CMMC môže zmluvný úradník počas preskúmania určiť; neruší pravidlá CMMC ani nevymazáva zmluvné doložky, ktoré už platia. Oficiálne implementačné memorandum usmerňuje tímy obstarávania, ako toto rozlíšenie uplatňovať.

Čo bolo pozastavené

Počas pozastavenia môžu nové alebo zmenené výzvy a zmluvy určovať len:

• CMMC Level 1 Self
• CMMC Level 2 Self

Implementačné memorandum ukladá zmluvným úradníkom odstrániť alebo zmeniť určenia pre:

• CMMC Level 2 C3PAO, certifikačné posúdenie vykonávané autorizovanou organizáciou na posudzovanie treťou stranou
• CMMC Level 3 DIBCAC, posúdenie vedené vládou pre najvyššiu úroveň CMMC

Ide o prerušenie určovania posúdení fázy II. Nejde o všeobecné pozastavenie všetkých činností CMMC, samo osebe neruší platnosť existujúceho certifikátu C3PAO a nezakazuje dobrovoľnú prípravu. Existujúce výzvy a zmluvy sa menia prostredníctvom formálnych dodatkov alebo úprav. Kým takáto zmena nebude vydaná, dodávatelia by sa mali riadiť platnou zmluvou a pokynmi zmluvného úradníka.

Čo naďalej platí

Určenia so samoposúdením vo fáze I zostávajú k dispozícii. Aktualizovaný oficiálny prehľad CMMC naďalej opisuje postupne zavádzaný program a požiadavky na posúdenie spojené s každou úrovňou.

Relevantné zostávajú aj samostatné zmluvné povinnosti:

• DFARS 252.204-7012 naďalej upravuje ochranu chránených obranných informácií, hlásenie kybernetických incidentov, odovzdávanie škodlivého softvéru, uchovávanie, prístup a príslušné prenesenie povinností na subdodávateľov, ak sa doložka uplatňuje.
• DFARS 252.204-7020 naďalej upravuje požiadavky na posúdenie podľa NIST SP 800-171 zo strany DoD, prístup na účely posúdení a prípadné prenesenie povinností.
• Ministerstvo môže pokračovať vo vybraných vládnych posúdeniach mimo pozastavenej cesty určení Level 2 C3PAO a Level 3.

Praktické pravidlo je jednoduché: povinnosti určujte podľa aktuálnej výzvy, zadania zákazky, doložiek, spracúvaných údajov, systémov v rozsahu a prenesených povinností, nie len podľa titulku o fáze II.

Čo to znamená pre úroveň 1

Level 1 Self zostáva počas pozastavenia k dispozícii. Uplatňuje sa tam, kde informačné systémy dodávateľa spracúvajú, ukladajú alebo prenášajú FCI, a vyžaduje každoročné samoposúdenie podľa 15 ochranných požiadaviek vo FAR 52.204-21, po ktorom nasleduje každoročné potvrdenie (affirmation).

Úroveň 1 neumožňuje plány opatrení a míľnikov (POA&M). Pre požadovaný stav úrovne 1 musí byť splnená každá uplatniteľná požiadavka. Organizácie by mali udržiavať rozsah posúdenia, výsledky, potvrdenie a podporné dôkazy v súlade so systémami, ktoré s FCI skutočne pracujú.

Čo to znamená pre úroveň 2

Level 2 Self môže byť naďalej určená. Vychádza zo 110 bezpečnostných požiadaviek v NIST SP 800-171 Revision 2, s opätovným posúdením každé tri roky a každoročným potvrdením.

Obmedzené POA&M sú povolené len za podmienok stanovených pravidlami CMMC. Položky zaradené do povoleného POA&M musia byť uzavreté do 180 dní a nemôžu zahŕňať požiadavky, pri ktorých je použitie POA&M vylúčené. Určenie Level 2 Self preto zostáva podstatnou prácou s dôkazmi, nie registračným krokom.

Pozastavenou časťou sú určenia Level 2 C3PAO. Dodávatelia by nemali predpokladať, že doterajšia príprava je zbytočná: rovnaká hranica CUI, implementácia NIST SP 800-171, kvalita dôkazov, opatrenia voči dodávateľom a procesy riešenia incidentov sú základom súčasného zmluvného súladu aj akéhokoľvek neskoršieho posúdenia.

Pripravujeme samostatného sprievodcu požiadavkami CMMC Level 2 so štruktúrovaným pohľadom na jednotlivé opatrenia.

Čo to znamená pre nemeckých a európskych dodávateľov

Rozsah CMMC sa riadi zmluvnými doložkami vlády USA, spracúvanými informáciami, systémami, ktoré tieto informácie spracúvajú, ukladajú alebo prenášajú, a prenesením povinností v subdodávateľských zmluvách, nie krajinou dodávateľa. Nemecká alebo európska spoločnosť preto môže byť v rozsahu, ak hlavná zmluva alebo subdodávateľská zmluva vyžaduje CMMC a jej vlastné systémy pracujú s FCI alebo CUI.

Naopak, konečné pravidlo DFARS z roku 2025 vysvetľuje, že subdodávateľ, ktorý pracuje len v systémoch hlavného dodávateľa a na vlastných systémoch FCI ani CUI nespracúva, neukladá ani neprenáša, by pre tieto systémy nepotreboval samostatné posúdenie CMMC. Tento záver musí podporovať skutočná architektúra aj znenie zmluvy.

Európski dodávatelia by mali zmapovať zmluvnú hranicu USA oddelene od GDPR, NIS2, ISO 27001 alebo vnútroštátnych bezpečnostných požiadaviek. Tieto režimy sa môžu prevádzkovo prekrývať, žiadny z nich však automaticky nenahrádza požadovaný stav CMMC ani povinnosť podľa DFARS. Pripravujeme samostatný prehľad CMMC a kontrolný nástroj na štruktúrovanie úvodného posúdenia uplatniteľnosti.

Konkrétne ďalšie kroky

• Znova si prečítajte každú aktívnu výzvu, zadanie zákazky, úpravu a relevantnú subdodávateľskú zmluvu. Zaznamenajte aktuálnu úroveň CMMC a typ posúdenia presne tak, ako sú uvedené.
• Ak sa objavuje určenie Level 2 C3PAO alebo Level 3 DIBCAC, požiadajte zmluvného úradníka alebo hlavného dodávateľa o potvrdenie zmien.
• Nezastavujte prácu na fáze I. Tam, kde sa to vyžaduje, udržiavajte dôkazy pre Level 1 Self alebo Level 2 Self, termíny opätovného posúdenia a každoročné potvrdenia.
• Overte hranicu systémov pre FCI/CUI vrátane cloudových služieb, vzdialenej administrácie, zdieľaných firemných služieb a pripojení dodávateľov.
• Zosúlaďte záznamy v SPRS a uplatniteľné výsledky posúdení podľa NIST SP 800-171 zo strany DoD s právnym subjektom a dotknutými informačnými systémami.
• Udržiavajte v prevádzke postupy hlásenia incidentov a uchovávania dôkazov podľa DFARS 252.204-7012.
• Preskúmajte prenesenie povinností v subdodávateľských zmluvách a zdokumentujte, či každý dodávateľ pracuje s FCI alebo CUI na vlastných systémoch.
• Oficiálne aktualizácie sledujte na stránke zdrojov a dokumentácie CMMC.

Tento článok poskytuje všeobecné informácie, nie právne poradenstvo. Otázky týkajúce sa konkrétnych zmlúv by sa mali riešiť so zmluvným úradníkom, hlavným dodávateľom a kvalifikovaným právnym poradcom.

Časová os

• 16. decembra 2024: Nadobudlo účinnosť pravidlo programu CMMC v 32 CFR.
• 10. novembra 2025: Nadobudlo účinnosť pravidlo DFARS o obstarávaní CMMC a fáza I.
• 13. júla 2026: Ministerstvo oznámilo okamžité pozastavenie fázy II a 60-dňové preskúmanie.
• 10. novembra 2026: K tomuto dátumu sa pred pozastavením mala začať fáza II.
• 28. júla 2026: Posledná aktualizácia tohto článku a súhrnu stavu.

Oficiálne zdroje

• Oznámenie ministerstva: pozastavenie fázy II, 13. júla 2026
• Memorandum DoD CIO: Implementing the Suspension of CMMC Phase II
• DoD CIO: O CMMC
• DoD CIO: Zdroje a dokumentácia CMMC
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 Revision 2
• Konečné pravidlo DFARS z roku 2025

Časté otázky

Je CMMC zrušené?

Nie. Ministerstvo pozastavilo fázu II, nie program CMMC. Určenia so samoposúdením vo fáze I zostávajú k dispozícii a podkladové povinnosti podľa FAR a DFARS pokračujú tam, kde sú súčasťou zmluvy.

Môže zmluvný úradník stále vyžadovať posúdenie C3PAO?

Implementačné memorandum ukladá zmluvným úradníkom počas pozastavenia fázy II odstrániť alebo zmeniť určenia CMMC Level 2 C3PAO. Platné znenie výzvy alebo zmluvy si overte u zodpovedného zmluvného orgánu.

Má posúdenie Level 2 Self stále význam?

Áno. Level 2 Self môže byť počas pozastavenia naďalej určená. Vyžaduje posúdenie podľa všetkých 110 požiadaviek NIST SP 800-171 Revision 2, s výhradou len obmedzených ustanovení pravidiel CMMC o POA&M, ako aj opätovné posúdenie každé tri roky a každoročné potvrdenie.

Odstraňuje pozastavenie povinnosti podľa DFARS 252.204-7012?

Nie. Povinnosti ochrany, hlásenia kybernetických incidentov, uchovávania, prístupu a prenesenia povinností podľa DFARS 252.204-7012 pokračujú, ak sa táto doložka uplatňuje.

Sú dodávatelia mimo Spojených štátov vyňatí?

Nemali by ste predpokladať žiadnu geografickú výnimku. Uplatniteľnosť závisí od zmluvy a prenesených povinností, dotknutých informácií a od toho, či systémy dodávateľa spracúvajú, ukladajú alebo prenášajú FCI alebo CUI.

Mali by dodávatelia prestať s prípravou na certifikáciu úrovne 2?

Ministerstvo neposkytlo základ na predpovedanie výsledku preskúmania. Organizácie by mali prijať rozhodnutie založené na rizikách a zároveň naďalej plniť aktuálne zmluvné požiadavky a chrániť FCI a CUI.