Faza 2 CMMC je začasno ustavljena. Obveznosti faze 1 ostajajo.

Kratek odgovor

Ameriško ministrstvo za vojno (Department of War) je fazo II CMMC začasno ustavilo z učinkom od 13. julija 2026, medtem ko izvaja 60-dnevni pregled. Faza I ostaja v veljavi. Pogodbeni uradniki lahko še vedno zahtevajo Level 1 Self ali Level 2 Self, obstoječe dolžnosti po DFARS glede kibernetske varnosti, ocenjevanja, poročanja o incidentih in varstva podatkov pa veljajo neodvisno od prekinitve faze II.

Kaj je bilo odločeno 13. julija 2026

Ministrstvo za vojno je 13. julija 2026 napovedalo takojšnjo začasno ustavitev faze II programa Cybersecurity Maturity Model Certification do nadaljnjega. Uradno obvestilo navaja, da ministrstvo 60-dnevno obdobje uporablja za pregled programa in zmanjšanje nepotrebnih ovir, ob tem pa ohranja zaščito zveznih pogodbenih informacij (Federal Contract Information, FCI) in nadzorovanih nerazvrščenih informacij (Controlled Unclassified Information, CUI). To 60-dnevno obdobje je časovnica za pregled in poročanje, ne obljubljen datum konca ali ponovnega začetka ustavitve.

Faza II naj bi se prvotno začela 10. novembra 2026. Začasna ustavitev spremeni, kateri status CMMC lahko pogodbeni uradnik med pregledom določi; pravil CMMC ne razveljavi in ne izbriše pogodbenih določb, ki že veljajo. Uradni izvedbeni memorandum nabavnim ekipam določa, kako to razlikovanje izvesti.

Kaj je bilo začasno ustavljeno

Med začasno ustavitvijo lahko novi ali spremenjeni razpisi in pogodbe določijo le:

• CMMC Level 1 Self
• CMMC Level 2 Self

Izvedbeni memorandum pogodbenim uradnikom nalaga, da odstranijo ali spremenijo določitve za:

• CMMC Level 2 C3PAO, certifikacijsko ocenjevanje, ki ga izvede pooblaščena zunanja ocenjevalna organizacija
• CMMC Level 3 DIBCAC, ocenjevanje pod vodstvom vlade za najvišjo raven CMMC

Gre za prekinitev določitev ocenjevanja faze II. To ni splošna ustavitev vseh dejavnosti CMMC, samo po sebi ne razveljavi obstoječega certifikata C3PAO in ne prepoveduje prostovoljne priprave. Obstoječi razpisi in pogodbe se spremenijo s formalnimi spremembami ali dopolnitvami. Izvajalci naj do izdaje takšne spremembe sledijo veljavni pogodbi in navodilom pogodbenega uradnika.

Kaj še vedno velja

Določitve samoocen faze I ostajajo na voljo. Posodobljeni uradni pregled CMMC še naprej opisuje postopni program in zahteve ocenjevanja, povezane z vsako ravnjo.

Relevantne ostajajo tudi ločene pogodbene dolžnosti:

• DFARS 252.204-7012 še vedno ureja varovanje zajetih obrambnih informacij, poročanje o kibernetskih incidentih, predložitev zlonamerne programske opreme, ohranjanje, dostop in relevanten prenos na podizvajalce, kadar se določba uporablja.
• DFARS 252.204-7020 še vedno ureja zahteve za ocenjevanje NIST SP 800-171 DoD, dostop za ocenjevanja in prenos na podizvajalce, kadar se uporablja.
• Ministrstvo lahko nadaljuje izbrana vladna ocenjevanja zunaj ustavljene poti določitev Level 2 C3PAO in Level 3.

Praktično pravilo je preprosto: obveznosti določite na podlagi trenutnega razpisa, dodelitve, določb, obdelovanih podatkov, sistemov v obsegu in prenosov na podizvajalce, ne zgolj na podlagi naslova novice o fazi II.

Kaj to pomeni za raven 1

Level 1 Self ostaja na voljo med začasno ustavitvijo. Uporablja se, kadar informacijski sistemi izvajalca obdelujejo, hranijo ali prenašajo FCI, in zahteva letno samooceno glede na 15 zahtev za varovanje iz FAR 52.204-21, ki ji sledi letna potrditev.

Raven 1 ne dovoljuje načrtov ukrepov in mejnikov (POA&M). Za zahtevani status ravni 1 mora biti izpolnjena vsaka uporabna zahteva. Organizacije naj obseg ocenjevanja, rezultate, potrditev in podporna dokazila uskladijo s sistemi, ki dejansko obdelujejo FCI.

Kaj to pomeni za raven 2

Level 2 Self je še vedno mogoče določiti. Temelji na 110 varnostnih zahtevah iz NIST SP 800-171, revizija 2, s ponovnim ocenjevanjem vsaka tri leta in letno potrditvijo.

Omejeni načrti POA&M so dovoljeni le pod pogoji pravil CMMC. Postavke na dovoljenem načrtu POA&M morajo biti zaprte v 180 dneh in ne smejo vključevati zahtev, ki so izključene iz uporabe POA&M. Določitev Level 2 Self zato ostaja vsebinska naloga z dokazili, ne korak registracije.

Določitve Level 2 C3PAO so tisti del, ki je začasno ustavljen. Izvajalci ne bi smeli domnevati, da je bila dosedanja priprava zaman: ista meja CUI, izvedba NIST SP 800-171, kakovost dokazil, kontrole dobaviteljev in procesi za incidente so temelj trenutne pogodbene skladnosti in morebitnega poznejšega ocenjevanja.

Načrtovan je poseben vodnik po zahtevah za CMMC Level 2 s strukturiranim pregledom po posameznih kontrolah.

Kaj to pomeni za nemške in evropske dobavitelje

Obseg CMMC sledi pogodbenim določbam ameriške vlade, obdelovanim informacijam, sistemom, ki te informacije obdelujejo, hranijo ali prenašajo, in prenosom na podizvajalce, ne državi dobavitelja. Nemško ali evropsko podjetje je zato lahko v obsegu, kadar glavna pogodba ali podizvajalska pogodba zahteva CMMC in njegovi lastni sistemi obdelujejo FCI ali CUI.

Nasprotno končno pravilo DFARS iz leta 2025 pojasnjuje, da podizvajalec, ki dela le znotraj sistemov glavnega izvajalca, ne da bi FCI ali CUI obdeloval, hranil ali prenašal v lastnih sistemih, za te sisteme ne bi potreboval ločenega ocenjevanja CMMC. Ta sklep morata podpirati dejanska arhitektura in besedilo pogodbe.

Evropski dobavitelji naj ameriško pogodbeno mejo opredelijo ločeno od GDPR, NIS2, ISO 27001 ali nacionalnih varnostnih zahtev. Ti režimi se lahko operativno prekrivajo, vendar nobeden samodejno ne nadomesti zahtevanega statusa CMMC ali obveznosti po DFARS. Načrtovana sta poseben pregled CMMC in orodje za preverjanje, ki bosta pomagala strukturirati začetni pregled uporabnosti.

Konkretni naslednji koraki

• Ponovno preberite vsak aktiven razpis, dodelitev, spremembo in relevantno podizvajalsko pogodbo. Trenutno raven CMMC in vrsto ocenjevanja zapišite natanko tako, kot sta navedeni.
• Kjer se pojavi določitev Level 2 C3PAO ali Level 3 DIBCAC, prosite pogodbenega uradnika ali glavnega izvajalca za potrditev sprememb.
• Dela v fazi I ne ustavite. Kjer je zahtevano, vzdržujte dokazila za Level 1 Self ali Level 2 Self, datume ponovnega ocenjevanja in letne potrditve.
• Preverite mejo sistemov za FCI/CUI, vključno s storitvami v oblaku, administracijo na daljavo, skupnimi storitvami podjetja in povezavami z dobavitelji.
• Uskladite zapise v SPRS in veljavne rezultate ocenjevanja NIST SP 800-171 DoD s pravnim subjektom in zajetimi informacijskimi sistemi.
• Ohranite delovanje postopkov za poročanje o incidentih in ohranjanje dokazov po DFARS 252.204-7012.
• Preglejte prenose obveznosti na podizvajalce in dokumentirajte, ali posamezni dobavitelj obdeluje FCI ali CUI v lastnih sistemih.
• Uradne posodobitve spremljajte na strani z viri in dokumentacijo CMMC.

Ta članek daje splošne informacije, ne pravnega nasveta. Vprašanja, vezana na posamezno pogodbo, je treba razrešiti s pogodbenim uradnikom, glavnim izvajalcem in usposobljenim pravnim svetovalcem.

Časovnica

• 16. december 2024: Začelo je veljati programsko pravilo CMMC v 32 CFR.
• 10. november 2025: Začela sta veljati nabavno pravilo CMMC v DFARS in faza I.
• 13. julij 2026: Ministrstvo je napovedalo takojšnjo začasno ustavitev faze II in 60-dnevni pregled.
• 10. november 2026: Na ta datum naj bi se pred začasno ustavitvijo začela faza II.
• 28. julij 2026: Zadnja posodobitev tega članka in povzetka stanja.

Uradni viri

• Obvestilo ministrstva: začasna ustavitev faze II, 13. julij 2026
• Memorandum DoD CIO: Implementing the Suspension of CMMC Phase II
• DoD CIO: About CMMC
• DoD CIO: viri in dokumentacija CMMC
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171, revizija 2
• Končno pravilo DFARS iz leta 2025

Pogosta vprašanja

Ali je CMMC preklican?

Ne. Ministrstvo je začasno ustavilo fazo II, ne programa CMMC. Določitve samoocen faze I ostajajo na voljo, osnovne obveznosti po FAR in DFARS pa veljajo naprej, kadar so vključene v pogodbo.

Ali lahko pogodbeni uradnik še vedno zahteva ocenjevanje C3PAO?

Izvedbeni memorandum pogodbenim uradnikom nalaga, da med začasno ustavitvijo faze II odstranijo ali spremenijo določitve CMMC Level 2 C3PAO. Veljavno besedilo razpisa ali pogodbe preverite pri pristojnem pogodbenem organu.

Ali je samoocena Level 2 Self še vedno pomembna?

Da. Level 2 Self je med začasno ustavitvijo še vedno mogoče določiti. Zahteva ocenjevanje glede na vseh 110 zahtev iz NIST SP 800-171, revizija 2, ob upoštevanju zgolj omejenih določb pravil CMMC o POA&M, ter ponovno ocenjevanje vsaka tri leta in letno potrditev.

Ali začasna ustavitev odpravi dolžnosti po DFARS 252.204-7012?

Ne. Dolžnosti varovanja, poročanja o kibernetskih incidentih, ohranjanja, dostopa in prenosa na podizvajalce po DFARS 252.204-7012 veljajo naprej, kadar se ta določba uporablja.

Ali so dobavitelji zunaj Združenih držav izvzeti?

Geografske izjeme ne gre domnevati. Uporabnost je odvisna od pogodbe in prenosov na podizvajalce, zadevnih informacij in tega, ali sistemi dobavitelja obdelujejo, hranijo ali prenašajo FCI ali CUI.

Ali naj izvajalci prenehajo s pripravami na certifikacijo ravni 2?

Ministrstvo ni dalo podlage za napovedovanje izida pregleda. Organizacije naj sprejmejo odločitev na podlagi tveganj, hkrati pa še naprej izpolnjujejo trenutne pogodbene zahteve in ščitijo FCI in CUI.