CMMC fas 2 är pausad. Skyldigheterna i fas 1 kvarstår.

Kort svar

USA:s krigsdepartement (Department of War) pausade CMMC fas II från och med den 13 juli 2026 medan det genomför en 60-dagars granskning. Fas I gäller fortfarande. Upphandlande tjänstemän (contracting officers) får fortfarande kräva Level 1 Self eller Level 2 Self, och befintliga skyldigheter enligt DFARS om cybersäkerhet, bedömning, incidentrapportering och dataskydd fortsätter att gälla oberoende av pausen i fas II.

Vad som beslutades den 13 juli 2026

Den 13 juli 2026 meddelade krigsdepartementet att fas II av programmet Cybersecurity Maturity Model Certification omedelbart pausas tills vidare. Det officiella meddelandet anger att departementet använder en period på 60 dagar för att granska programmet och minska onödiga hinder, samtidigt som skyddet för Federal Contract Information (FCI) och Controlled Unclassified Information (CUI) bevaras. Den 60-dagarsperioden är en tidsplan för granskning och rapportering, inte ett utlovat slutdatum eller datum för återupptagande av pausen.

Fas II var ursprungligen planerad att inledas den 10 november 2026. Pausen ändrar vilken CMMC-status en upphandlande tjänsteman får ange under granskningen; den upphäver inte CMMC-reglerna och raderar inte avtalsklausuler som redan gäller. Det officiella genomförandememorandumet instruerar upphandlingsteamen om hur den skillnaden ska tillämpas.

Vad som pausades

Under pausen får nya eller ändrade upphandlingsunderlag och avtal endast ange:

• CMMC Level 1 Self
• CMMC Level 2 Self

Genomförandememorandumet instruerar upphandlande tjänstemän att ta bort eller ändra angivelser av:

• CMMC Level 2 C3PAO, den certifieringsbedömning som utförs av en auktoriserad tredjepartsbedömningsorganisation
• CMMC Level 3 DIBCAC, den statligt ledda bedömningen för den högsta CMMC-nivån

Detta är en paus i angivelserna av bedömningar i fas II. Det är ingen allmän paus i all CMMC-verksamhet, det gör inte i sig ett befintligt C3PAO-certifikat ogiltigt och det förbjuder inte frivilliga förberedelser. Befintliga upphandlingsunderlag och avtal ändras genom formella ändringar eller tillägg. Leverantörer bör följa det gällande avtalet och den upphandlande tjänstemannens instruktioner tills en sådan ändring utfärdas.

Vad som fortfarande gäller

Angivelser av självbedömningar i fas I är fortfarande tillgängliga. Den uppdaterade officiella översikten över CMMC beskriver fortsatt det stegvisa programmet och de bedömningskrav som hör till varje nivå.

Separata avtalsenliga skyldigheter är också fortfarande relevanta:

• DFARS 252.204-7012 reglerar fortfarande skydd av covered defense information, rapportering av cyberincidenter, inlämning av skadlig kod, bevarande, åtkomst och relevant vidareföring till underleverantörer när klausulen är tillämplig.
• DFARS 252.204-7020 reglerar fortfarande kraven på DoD-bedömningar enligt NIST SP 800-171, åtkomst för bedömningar och vidareföring när det är tillämpligt.
• Departementet kan fortsätta med vissa statliga bedömningar utanför den pausade vägen för angivelser av Level 2 C3PAO och Level 3.

Den praktiska regeln är enkel: fastställ skyldigheterna utifrån det aktuella upphandlingsunderlaget, tilldelningen, klausulerna, de data som hanteras, de system som omfattas och vidareföringarna, inte utifrån en rubrik om fas II.

Vad detta innebär för nivå 1

Level 1 Self är fortfarande tillgänglig under pausen. Den gäller när leverantörens informationssystem behandlar, lagrar eller överför FCI och kräver en årlig självbedömning mot de 15 skyddskraven i FAR 52.204-21, följd av en årlig bekräftelse.

Nivå 1 tillåter inte handlingsplaner med milstolpar (POA&M). Varje tillämpligt krav måste vara uppfyllt för den krävda statusen på nivå 1. Organisationer bör hålla bedömningens omfattning, resultat, bekräftelse och stödjande underlag i linje med de system som faktiskt hanterar FCI.

Vad detta innebär för nivå 2

Level 2 Self kan fortfarande anges. Den bygger på de 110 säkerhetskraven i NIST SP 800-171 Revision 2, med ny bedömning vart tredje år och en årlig bekräftelse.

Begränsade POA&M är tillåtna endast enligt villkoren i CMMC-reglerna. Punkter som placeras i en tillåten POA&M måste stängas inom 180 dagar och får inte omfatta krav som är undantagna från användning i POA&M. En angivelse av Level 2 Self förblir därför ett omfattande arbete med underlag, inte ett registreringssteg.

Det är angivelserna av Level 2 C3PAO som har pausats. Leverantörer bör inte anta att tidigare förberedelser är bortkastade: samma CUI-gräns, införande av NIST SP 800-171, kvalitet i underlagen, leverantörskontroller och incidentprocesser ligger till grund för den nuvarande avtalsenliga efterlevnaden och för en eventuell senare bedömning.

En särskild guide om kraven för CMMC nivå 2 med en strukturerad genomgång av varje säkerhetsåtgärd planeras.

Vad detta innebär för tyska och europeiska leverantörer

CMMC:s tillämpningsområde följer den amerikanska statens avtalsklausuler, den information som hanteras, de system som behandlar, lagrar eller överför informationen och vidareföringar i underleverantörsavtal, inte leverantörens hemland. Ett tyskt eller europeiskt företag kan därför omfattas när ett huvudavtal eller underleverantörsavtal kräver CMMC och företagets egna system hanterar FCI eller CUI.

Omvänt förklarar den slutliga DFARS-regeln från 2025 att en underleverantör som enbart arbetar i huvudleverantörens system, utan att behandla, lagra eller överföra FCI eller CUI i sina egna system, inte skulle behöva en separat CMMC-bedömning för dessa system. Den faktiska arkitekturen och avtalstexten måste stödja den slutsatsen.

Europeiska leverantörer bör kartlägga den amerikanska avtalsgränsen separat från GDPR, NIS2, ISO 27001 eller nationella säkerhetskrav. Dessa regelverk kan överlappa operativt, men inget av dem ersätter automatiskt en krävd CMMC-status eller DFARS-skyldighet. En särskild översikt över CMMC och ett kontrollverktyg för att strukturera en första bedömning av tillämpligheten planeras.

Konkreta nästa steg

• Läs om varje aktivt upphandlingsunderlag, tilldelning, ändring och relevant underleverantörsavtal. Dokumentera den aktuella CMMC-nivån och bedömningstypen exakt som de är angivna.
• Be den upphandlande tjänstemannen eller huvudleverantören att bekräfta ändringar där en angivelse av Level 2 C3PAO eller Level 3 DIBCAC förekommer.
• Stoppa inte arbetet i fas I. Förvalta underlag för Level 1 Self eller Level 2 Self, datum för nya bedömningar och årliga bekräftelser där det krävs.
• Validera systemgränsen för FCI/CUI, inklusive molntjänster, fjärradministration, gemensamma tjänster inom företaget och leverantörsanslutningar.
• Stäm av SPRS-uppgifter och tillämpliga resultat av DoD-bedömningar enligt NIST SP 800-171 mot den juridiska personen och de informationssystem som omfattas.
• Håll rutinerna för incidentrapportering och bevarande av bevis enligt DFARS 252.204-7012 i drift.
• Granska vidareföringar i underleverantörsavtal och dokumentera om varje leverantör hanterar FCI eller CUI i sina egna system.
• Följ officiella uppdateringar via sidan med CMMC-resurser och dokumentation.

Den här artikeln ger allmän information, inte juridisk rådgivning. Avtalsspecifika frågor bör lösas med den upphandlande tjänstemannen, huvudleverantören och kvalificerade jurister.

Tidslinje

• 16 december 2024: Programregeln för CMMC i 32 CFR trädde i kraft.
• 10 november 2025: Upphandlingsregeln för CMMC i DFARS och fas I trädde i kraft.
• 13 juli 2026: Departementet meddelade den omedelbara pausen av fas II och en 60-dagars granskning.
• 10 november 2026: Fas II hade planerats att inledas detta datum före pausen.
• 28 juli 2026: Denna artikel och statussammanfattning uppdaterades senast.

Officiella källor

• Departementets meddelande: paus av fas II, 13 juli 2026
• Memorandum från DoD CIO: Implementing the Suspension of CMMC Phase II
• DoD CIO: Om CMMC
• DoD CIO: CMMC-resurser och dokumentation
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 Revision 2
• Slutlig DFARS-regel från 2025

Vanliga frågor

Är CMMC avskaffat?

Nej. Departementet pausade fas II, inte CMMC-programmet. Angivelser av självbedömningar i fas I är fortfarande tillgängliga, och underliggande skyldigheter enligt FAR och DFARS fortsätter att gälla där de ingår i avtalet.

Kan en upphandlande tjänsteman fortfarande kräva en C3PAO-bedömning?

Genomförandememorandumet instruerar upphandlande tjänstemän att ta bort eller ändra angivelser av CMMC Level 2 C3PAO under pausen i fas II. Bekräfta den gällande texten i upphandlingsunderlaget eller avtalet med den ansvariga upphandlande myndigheten.

Spelar en Level 2 Self-bedömning fortfarande någon roll?

Ja. Level 2 Self kan fortfarande anges under pausen. Den kräver bedömning mot alla 110 krav i NIST SP 800-171 Revision 2, med förbehåll endast för de begränsade POA&M-bestämmelserna i CMMC-reglerna, samt ny bedömning vart tredje år och en årlig bekräftelse.

Tar pausen bort skyldigheterna enligt DFARS 252.204-7012?

Nej. Skyldigheterna om skydd, rapportering av cyberincidenter, bevarande, åtkomst och vidareföring enligt DFARS 252.204-7012 fortsätter att gälla när klausulen är tillämplig.

Är leverantörer utanför USA undantagna?

Inget geografiskt undantag bör antas. Tillämpligheten beror på avtalet och vidareföringarna, den berörda informationen och om leverantörens system behandlar, lagrar eller överför FCI eller CUI.

Bör leverantörer sluta förbereda sig för certifiering på nivå 2?

Departementet har inte gett någon grund för att förutsäga resultatet av granskningen. Organisationer bör fatta ett riskbaserat beslut och samtidigt fortsätta att uppfylla nuvarande avtalskrav och skydda FCI och CUI.