Вчера трябваше да е крайният срок. На 10 ноември 2026 г. изискванията по CMMC Фаза II трябваше да влязат в сила и малките изпълнители в отбраната, които работят с контролирана некласифицирана информация, щяха да се нуждаят от сертификация от трета страна, за да останат допустими за нови договори. Вместо това изискването е замразено. Министерството на войната спря Фаза II още на 13 юли 2026 г., след като Администрацията за малък бизнес изчисли, че пълната сертификация от трета страна може да струва на малка фирма приблизително 593 800 долара, срещу около 388 600 долара за фирми, допустими за пътя на самооценка.
Ако имате договори в отбраната или подизпълнителски ангажименти по тях, това не е заповед за отстъпление. Това е събитие за пребюджетиране. Таксата за оценка, от която се страхувахте, е отложена, но всяко основно задължение за сигурност все още подлежи на изпълнение и парите, които вече сте похарчили, все още трябва да попаднат в правилните сметки. Тази публикация обяснява какво точно е спряно, защо Пентагонът натисна паузата и как да управлявате бюджета си за съответствие, така че паузата да ви спести пари, вместо да разбърка счетоводството ви.
Какво беше спряно и какво не
Спирането засяга един конкретен механизъм: задължителното изискване за оценка от трета страна по Фаза II. Изпълнителите, работещи с контролирана некласифицирана информация (CUI), щяха да се нуждаят от сертификация от сертифицирана организация за оценка от трета страна, известна като C3PAO, за да останат допустими за обхванатите договори. Този сертификационен праг сега е на пауза в очакване на цялостен преглед на програмата и не е определена нова дата.
Всичко останало продължи да работи. Изискванията за самооценка по Фаза 1 остават напълно в сила, което означава, че все още оценявате собствените си системи спрямо NIST SP 800-171 Ревизия 2 и подавате оценките си чрез Системата за оценка на риска на доставчиците (SPRS). Клаузата DFARS 252.204-7012 — основното договорно задължение за защита на обхваната информация в отбраната — е непроменена и незасегната. Ако договорите ви съдържат тази клауза, задължението ви да защитавате информацията никога не е премигвало.
Мислете за това така: правителството спря външния одит, но не и домашното. Вашият план за сигурност на системата, вашите планове за действие и етапи (POA&M) за пропуските, които не сте затворили, готовността ви за реакция при инциденти и текущата ви оценка в SPRS — всичко това все още има значение. Служител по договарянето все още може да пита за тях, а главен изпълнител, който прехвърля изисквания към вас, все още може да изисква доказателства. Фирмите, които приемат спирането като ваканция, ще бъдат тези, които ще се борят най-усилено, когато се появи новата времева рамка.
Защо Пентагонът натисна паузата
Три фактора продиктуваха решението, въз основа на собствените публични изявления на министерството и отрасловите доклади.
Първо, тежестта на разходите. Анализът на SBA изчисли общи разходи за съответствие от приблизително 593 800 долара за сертификация за малки фирми, изискващи оценка от трета страна. Тази цифра обединява отстраняване на пропуски, документация, инструменти и такси за оценка и за фирми, работещи с маржове в сектора на отбраната, се твърди, че е била достатъчна да изтласка някои изцяло извън Индустриалната база за отбрана. Собствените по-тесни оценки на министерството разказват същата история в по-малък мащаб: приблизително 105 000 долара за тригодишния цикъл на сертификация за оценка C3PAO от ниво 2 за малък субект, и това покрива само оценката, а не работата по сигурността зад нея. Самооценката от ниво 1 струва около 6000 долара годишно, докато пътят на самооценка от ниво 2 възлиза на приблизително 37 000 долара за три години. С повече от 100 000 малки бизнеса в обхвата, общата цена изглеждаше като бариера за навлизане именно за доставчиците, които Пентагонът казва, че иска.
Второ, капацитетът на оценителите. Броят на акредитираните C3PAO не беше достатъчен, за да обработи обема на изпълнителите, нуждаещи се от сертификация преди ноемврийския краен срок. Твърд краен срок за съответствие, съчетан с твърде малко оценители, създаде структурно затруднение, което министерството не можеше да разреши в рамките на съществуващата времева рамка. Дори изпълнителите, готови да платят, не можеха да бъдат сигурни, че ще бъдат оценени навреме.
Трето, съгласуваност на политиката. Ръководството по обществени поръчки на министерството даде приоритет на бързината до способности и по-ниските бариери за навлизане за малки и нетрадиционни изпълнители. Многогодишен цикъл на сертификация с висока цена беше оценен като несъвместим с тази директива, така че спирането дойде заедно с цялостен преглед, провеждан от новосформирана Работна група за реформа на CMMC. Публичното послание беше, че самата киберсигурност не се намалява, а само бюрокрацията около доказването ѝ.
Нито една от тези причини не подсказва, че изискването изчезва. Натискът върху разходите предполага по-евтин път, недостигът на оценители предполага по-дълга времева рамка, а реформата в обществените поръчки предполага по-прости механизми. Всеки от тези резултати все още завършва с това вие да доказвате съответствие. Бюджетирайте съответно.
Какво означава това за вашия бюджет за съответствие точно сега
Започнете, като разделите бюджета си за съответствие на три кофи, защото спирането третира всяка от тях различно.
Кофа едно са контролите, които вече дължите. Управлявано откриване, съхранение на журнали, многофакторно удостоверяване, честота на кръпки, тестване на резервни копия, обучение за осведоменост по сигурността и документацията, доказваща всичко това: нищо от това не беше спряно. DFARS 252.204-7012 все още го изисква, самооценката по Фаза 1 все още го оценява, а оценката ви в SPRS все още го оповестява. Продължете да финансирате тази кофа с пълна сила. Съкращенията тук не спестяват пари; те създават констатации за евентуалната оценка и отслабват позицията ви във всяка оферта, която пита за вашата позиция по сигурността.
Кофа две е отложената такса за сертификация. Ако сте имали насрочен депозит за оценка от C3PAO или оценка за готовност, планирана за есента, този разход се мести, не изчезва. Не го връщайте в общите средства и не се надявайте, че пренасрочената дата ще донесе собствен бюджет. Запазете го видимо като резервирана сума, за да не дойде бъдещата оценка като изненада. Ако вече сте платили депозит, това плащане е предплатен актив, а не разход, и счетоводството ви трябва да го отразява като такъв, докато оценката действително не се случи.
Кофа три е хигиената на доказателствата, която се натрупва в полза и в двата случая. Отстраняването на пропуски спрямо NIST SP 800-171, поддържането на POA&M, рутините за събиране на доказателства и проследяването на прехвърлянето на изисквания към подизпълнители — всичко това става по-евтино, колкото по-рано го изградите, и по-скъпо, колкото по-дълго го отлагате. Това е мястото с най-висока възвръщаемост, където да пренасочите освободените пари за оценка. Изпълнител с чисти доказателства може да действа бързо, когато се появи новата времева рамка; изпълнител с остарял план за сигурност на системата плаща бързи ставки за същата работа.
Още един бюджетен факт във ваша полза: разходите за съответствие обикновено се третират като допустими по договорите в отбраната. Министерството е заявило, че разходите за спазване на DFARS 252.204-7012 вероятно са допустими и могат да се начисляват към косвени разходни пулове, а разходите за сертификация са били описани като допустим, възстановим разход. Допустим не означава автоматичен и не означава печеливш, но означава, че дисциплинираното проследяване превръща разходите за съответствие от чисти режийни разходи в документиран договорен разход. Това работи само ако счетоводството ви може да покаже точно какво сте похарчили, по кое изискване и кога.
Отчетете паузата правилно: запазете парите за оценка видими
Счетоводната грешка, към която спирането подтиква, е да се размият тези кофи. Депозит, платен за сега отложена оценка, се отчита като разход, сякаш оценката се е случила. Абонаментите за инструменти се записват към общи ИТ разходи вместо към усилията за съответствие, които подпомагат. Фактурите от изпълнители за отстраняване на пропуски се трупат в една сметка без връзка със семействата контроли, които са адресирали. Шест месеца по-късно никой не може да възстанови какво е струвала програмата или кои долари принадлежат на косвен пул.
Поправете го с отделни сметки от самото начало: таксите за оценка, инструментите за сигурност и труда по отстраняване на пропуски получават всяка собствена разходна сметка, а всяко плащане за работа, която все още не е извършена, стои в предплатен актив до доставката. Ето моделът за малък изпълнител, който е платил депозит за готовност през юни, поддържал е инструментите си за откриване работещи през спирането и е натрупал юлски sprint за отстраняване на пропуски срещу две семейства контроли на NIST:
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "Readiness deposit ahead of November Phase 2 deadline"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "July managed detection and log retention"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contractor" "NIST 800-171 remediation sprint, access control and system protection families"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contractor" "Pay July remediation invoice"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USDЗабележете какво променя спирането в този регистър: нищо относно инструментите или отстраняването на пропуски, които винаги са били задължителни, и нищо относно депозита, който остава точно там, където е. 15 000 долара остават предплатен актив, защото оценката, за която плащат, е отложена, а не отменена. Отчитането им като разход сега би надценило разходите за съответствие тази година и след това би подценило разходите за годината на оценката, когато фактурата дойде срещу вече забравено плащане. Ако поддържате счетоводството си в чист текст, моделите за проследяване на разходите в документацията се разширяват естествено до такова разделяне на съответствието по изисквания.
Назовавайте изискването във всяко описание. Когато бъдеща оценка, запитване от DCAA или собственият ви процес по приключване попита за какво е било дадено плащане, описанието е отговорът. „Sprint за отстраняване на пропуски, семейства контроли за контрол на достъпа и защита на системата“ издържа проверка; „консултации“ — не.
Четири грешки, които превръщат паузата в наказание
Спирането е щедро, но наказва четири конкретни поведения.
Първо, мълчание относно SPRS. Оценката ви от самооценка все още е вашата публична позиция по сигурността и главните изпълнители все още я проверяват, преди да възложат подизпълнителски договори. Оценка, която се влошава, защото сте спрели да я актуализирате, изглежда по-зле от скромна оценка, която активно поддържате. Поддържайте оценката актуална и продължавайте да затваряте POA&M по график.
Второ, замразяване на отстраняването на пропуски по средата. Наполовина мигрирано журналиране, частично внедрен инструмент за привилегирован достъп, документация, която описва старата архитектура: спрените проекти се влошават по-бързо от операциите в стабилно състояние. Или завършете контролата, или официално я пре-обхванете; не я оставяйте наполовина изградена, докато новият краен срок не принуди рестарт на бързи ставки.
Трето, смесване на разходите за съответствие с общи ИТ разходи. Третирането на допустимостта по-горе зависи от идентификацията. Ако платформата ви за откриване, депозитът ви за оценител и офис лаптопите ви минават през една ИТ сметка, не можете да докажете кои долари са подкрепили договорно изискване. Отделните сметки не струват нищо за поддръжка и са разликата между документиран косвен разход и спор.
Четвърто, оставяне на прехвърлянето на изисквания към подизпълнители да изтече. Ако сте главен изпълнител, вашите подизпълнители, работещи с федерална договорна информация или CUI, все още наследяват задължения чрез вашите договори, независимо от паузата на Фаза II. Ако сте подизпълнител, изискванията на вашия главен изпълнител не са били спрени от обявление на ниво министерство. Прегледайте клаузите за прехвърляне сега, докато никой не одитира, вместо да откриете пропуск по време на изпълнението.
Какво да следите след това
Три сигнала ще ви кажат как завършва историята. Препоръките на Работната група за реформа се очакваха през есента на 2026 г. и ще очертаят заместващите механизми: възможна реципрочност с други рамки, многостепенни пътища за оценка или по-дълъг плавен път за малките фирми. Следете за нова дата за влизане в сила на Фаза II, която нулира всяко допускане за планиране в тази публикация в деня, в който бъде обявена. И следете входящата си поща от главни изпълнители, защото големите изпълнители често налагат собствени изисквания за сигурност на доставчиците по-бързо, отколкото министерството се движи — със или без спиране.
Дотогава печелившата позиция е скучна: поддържайте реда в къщата си по Фаза 1, поддържайте оценката си в SPRS честна, поддържайте финансирането на отстраняването на пропуски и дръжте всеки долар за съответствие в сметка, която назовава изискването, на което е служил. Когато се появи новата времева рамка, искате единствената изненада да бъде колко сте готови вече. Последната полезна стъпка е най-малката: отворете счетоводството си тази седмица и потвърдете, че отложените пари за оценка стоят в предплатен актив, а не са заровени в разходна сметка, където бюджетът за следващата година не може да ги намери.
