Ahir havia de ser la data límit. L'10 de novembre de 2026, els requisits de la Fase II del CMMC havien d'entrar en vigor, i els petits contractistes de defensa que gestionen Informació No Classificada Controlada haurien necessitat certificació per part de tercers per seguir sent elegibles per a l'adjudicació de nous contractes. En lloc d'això, el requisit està congelat. El Departament de Guerra va suspendre la Fase II el 13 de juliol de 2026, després que l'Administració de Petites Empreses estimés que la certificació completa per tercers podria costar a una petita empresa aproximadament 593.800 dòlars, enfront d'uns 388.600 dòlars per a les empreses elegibles per a la via d'autoavaluació.
Si tens contractes de defensa o subcontractes en ells, això no és una ordre de retirada. És un esdeveniment de repressupostació. La taxa d'avaluació que temies queda ajornada, però cada obligació de seguretat subjacent encara és exigible, i els diners que ja has gastat encara han d'anar a parar als comptes correctes. Aquest article explica què s'ha suspès realment, per què el Pentàgon va fer la pausa i com gestionar el teu pressupost de compliment perquè la pausa t'estalviï diners en lloc d'esgavellar els teus llibres.
Què s'ha suspès i què no
La suspensió apunta a un mecanisme específic: el requisit obligatori d'avaluació per tercers de la Fase II. Els contractistes que gestionen CUI haurien necessitat certificació d'una Organització Certificada d'Avaluació per Tercers, coneguda com a C3PAO, per seguir sent elegibles per als contractes coberts. Aquesta porta de certificació ara està en pausa a l'espera d'una revisió integral del programa, i no s'ha fixat cap data nova.
Tota la resta ha continuat funcionant. Els requisits d'autoavaluació de la Fase 1 segueixen plenament en vigor, cosa que significa que encara avalues els teus propis sistemes segons la NIST SP 800-171 Revisió 2 i envies les teves puntuacions a través del Sistema de Risc de Rendiment de Proveïdors. La clàusula DFARS 252.204-7012, l'obligació contractual subjacent de salvaguardar la informació de defensa coberta, no ha canviat ni s'ha vist afectada. Si els teus contractes inclouen aquesta clàusula, el teu deure de protegir la informació mai no ha parpellejat.
Pensa-ho així: el govern va posar en pausa l'auditoria externa, no els deures. El teu Pla de Seguretat del Sistema, els teus Plans d'Acció i Fites per a les llacunes que no has tancat, la teva preparació per a la resposta a incidents i la teva puntuació actual de l'SPRS continuen important. Un oficial de contractació encara pot preguntar per ells, i un contractista principal que et traslladi requisits encara pot exigir proves. Les empreses que tractin la suspensió com unes vacances seran les que més s'afanyaran quan arribi el nou calendari.
Per què el Pentàgon va fer la pausa
Tres factors van impulsar la decisió, segons les pròpies declaracions públiques del departament i la informació del sector.
Primer, la càrrega de costos. L'anàlisi de l'SBA va situar els costos totals de compliment en aproximadament 593.800 dòlars per certificació per a les empreses que requereixen avaluació per tercers. Aquesta xifra agrupa la remediació, la documentació, les eines i les taxes d'avaluació, i per a les empreses que operen amb marges del sector de defensa, segons sembla, era suficient per fer sortir algunes del sector industrial de defensa del tot. Les estimacions més estretes del propi departament expliquen la mateixa història a menor escala: aproximadament 105.000 dòlars durant el cicle de certificació de tres anys per a una avaluació C3PAO de nivell 2 per a una entitat petita, i això només cobreix l'avaluació, no la feina de seguretat que hi ha al darrere. L'autoavaluació de nivell 1 costa uns 6.000 dòlars l'any, mentre que la via d'autoavaluació de nivell 2 suma aproximadament 37.000 dòlars en tres anys. Amb més de 100.000 petites empreses dins l'abast, el preu agregat semblava una barrera d'entrada precisament per als proveïdors que el Pentàgon diu que vol.
Segon, la capacitat dels avaluadors. El nombre de C3PAO acreditades no era suficient per processar el volum de contractistes que necessitaven certificació abans de la data límit de novembre. Una data de compliment ferma aparellada amb massa pocs avaluadors va crear un coll d'ampolla estructural que el departament no podia resoldre dins del calendari existent. Fins i tot els contractistes disposats a pagar no podien estar segurs de ser avaluats a temps.
Tercer, l'alineació política. El lideratge d'adquisicions del departament ha prioritzat la rapidesa cap a la capacitat i unes barreres d'entrada més baixes per als contractistes petits i no tradicionals. Un cicle de certificació pluriennal i d'alt cost es va considerar incompatible amb aquesta directriu, de manera que la suspensió va arribar acompanyada d'una revisió integral dirigida per una Task Force de Reforma del CMMC de nova creació. El missatge públic era que la ciberseguretat en si no es redueix, només la burocràcia al voltant de demostrar-la.
Cap d'aquestes raons suggereix que el requisit desaparegui. La pressió de costos argumenta a favor d'una via més barata, l'escassetat d'avaluadors argumenta a favor d'un calendari més llarg i la reforma d'adquisicions argumenta a favor d'una mecànica més senzilla. Cadascun d'aquests resultats acaba igualment amb tu demostrant el compliment. Pressuposta en conseqüència.
Què significa això per al teu pressupost de compliment ara mateix
Comença dividint el teu pressupost de compliment en tres compartiments, perquè la suspensió tracta cadascun de manera diferent.
El compartiment u són els controls que ja deus. Detecció gestionada, retenció de registres, autenticació multifactor, cadència d'aplicació de pedaços, proves de còpies de seguretat, formació en conscienciació de seguretat i la documentació que ho demostra tot: res d'això s'ha suspès. La DFARS 252.204-7012 encara ho exigeix, l'autoavaluació de la Fase 1 encara ho puntua i la teva puntuació de l'SPRS encara ho anuncia. Mantén el finançament d'aquest compartiment a ple rendiment. Retallar aquí no estalvia diners; fabrica troballes per a l'avaluació eventual i debilita la teva posició en cada licitació que pregunti per la teva postura de seguretat.
El compartiment dos és la taxa de certificació ajornada. Si tenies programat un dipòsit per a una avaluació C3PAO o una avaluació de preparació pressupostada per a la tardor, aquesta despesa es mou, no desapareix. No la reabsorbeixis en fons generals esperant que la data reprogramada porti el seu propi pressupost. Aparca-la de manera visible com a import reservat perquè l'avaluació futura no arribi com una sorpresa. Si ja has pagat un dipòsit, aquest pagament és un actiu pagat per endavant, no una despesa, i els teus llibres ho han de reflectir així fins que l'avaluació es produeixi realment.
El compartiment tres és la higiene de les proves, que es multiplica en qualsevol cas. La remediació de llacunes segons la NIST SP 800-171, el manteniment dels POA&M, les rutines de recollida de proves i el seguiment del trasllat de requisits als subcontractistes es tornen més barats com abans els construeixis i més cars com més els ajornis. Aquest és el lloc de màxim rendiment on redirigir qualsevol diner d'avaluació alliberat. Un contractista amb proves netes pot moure's ràpid quan aparegui el nou calendari; un contractista amb un Pla de Seguretat del Sistema desactualitzat paga tarifes urgents per la mateixa feina.
Un altre fet pressupostari al teu favor: els costos de compliment generalment es tracten com a admissibles en els contractes de defensa. El departament ha declarat que els costos de complir amb la DFARS 252.204-7012 probablement són admissibles i imputables als fons de costos indirectes, i els costos de certificació s'han descrit com un cost admissible i reemborsable. Admissible no vol dir automàtic, i no vol dir rendible, però sí que vol dir que un seguiment disciplinat converteix la despesa de compliment de sobrecost pur en un cost contractual documentat. Això només funciona si els teus llibres poden mostrar exactament què has gastat, en quin requisit i quan.
Registra la pausa correctament: mantén visible els diners de l'avaluació
L'error comptable que convida la suspensió és difuminar aquests compartiments. Un dipòsit pagat per a una avaluació ara ajornada es comptabilitza com a despesa com si l'avaluació hagués passat. Les subscripcions d'eines es registren en IT genèric en lloc de l'esforç de compliment que donen suport. Les factures dels contractistes de remediació s'acumulen en un sol compte sense cap vincle amb les famílies de controls que han abordat. Sis mesos després, ningú no pot reconstruir què va costar el programa ni quins dòlars pertanyen a un fons indirecte.
Soluciona-ho amb comptes separats des del principi: les taxes d'avaluació, les eines de seguretat i la mà d'obra de remediació tenen cadascuna el seu propi compte de despeses, i qualsevol pagament per feina encara no realitzada queda en un actiu pagat per endavant fins al lliurament. Aquí tens el patró per a un petit contractista que va pagar un dipòsit de preparació al juny, va mantenir les seves eines de detecció funcionant durant la suspensió i va meritar un sprint de remediació al juliol contra dues famílies de controls de la NIST:
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "Readiness deposit ahead of November Phase 2 deadline"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "July managed detection and log retention"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contractor" "NIST 800-171 remediation sprint, access control and system protection families"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contractor" "Pay July remediation invoice"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USDFixa't en què canvia la suspensió en aquest llibre major: res sobre les eines ni la remediació, que sempre eren necessàries, i res sobre el dipòsit, que es queda exactament on és. Els 15.000 dòlars continuen sent un actiu pagat per endavant perquè l'avaluació que paguen està ajornada, no cancel·lada. Comptabilitzar-lo ara com a despesa sobrevaloraria el cost de compliment d'aquest any i després infravaloraria el cost de l'any de l'avaluació quan arribi la factura contra un pagament ja oblidat. Si portes els teus llibres en text pla, els patrons de seguiment de costos de la documentació s'estenen de manera natural a un desglossament de compliment per requisit com aquest.
Anomena el requisit a cada narració. Quan una avaluació futura, una consulta de la DCAA o el teu propi procés de tancament pregunti per a què era un càrrec, la narració és la resposta. "Sprint de remediació, famílies de control d'accés i protecció del sistema" supera l'escrutini; "consultoria" no.
Quatre errors que converteixen una pausa en una penalització
La suspensió és generosa, però castiga quatre comportaments concrets.
Primer, quedar-se mut sobre l'SPRS. La teva puntuació d'autoavaluació continua sent la teva postura de seguretat pública, i els contractistes principals encara la consulten abans d'adjudicar subcontractes. Una puntuació que es deteriora perquè has deixat d'actualitzar-la es llegeix pitjor que una puntuació modesta que mantens activament. Mantén l'avaluació al dia i continua tancant POA&M segons el calendari.
Segon, congelar la remediació a mig camí. Registres mig migrats, una eina d'accés privilegiat parcialment desplegada, documentació que descriu l'arquitectura antiga: els projectes en pausa es deterioren més ràpid que les operacions en estat estacionari. O acabes el control o el redefinixes formalment; no el deixis a mig construir fins que la nova data límit obligui a reiniciar-lo a tarifes urgents.
Tercer, barrejar els costos de compliment amb la IT general. El tractament d'admissibilitat anterior depèn de la identificació. Si la teva plataforma de detecció, el teu dipòsit per a l'avaluador i els portàtils de l'oficina passen tots per un sol compte d'IT, no pots demostrar quins dòlars donaven suport a un requisit contractual. Els comptes separats no costen res de mantenir i són la diferència entre un cost indirecte documentat i una discussió.
Quart, deixar caducar el trasllat de requisits als subcontractistes. Si ets contractista principal, els teus subcontractistes que gestionen informació de contractes federals o CUI hereten igualment obligacions a través dels teus contractes, independentment de la pausa de la Fase II. Si ets subcontractista, els requisits del teu contractista principal no s'han suspès per un anunci a nivell de departament. Revisa les clàusules de trasllat ara, mentre ningú no audita, en lloc de descobrir una llacuna durant l'execució.
Què cal vigilar a continuació
Tres senyals et diran com acaba la història. Les recomanacions de la Task Force de Reforma s'esperaven per a la tardor de 2026 i esbossaran la mecànica de substitució: possible reciprocitat amb altres marcs, vies d'avaluació per nivells o un camí de transició més llarg per a les petites empreses. Estigues atent a una nova data d'entrada en vigor de la Fase II, que reinicia cada supòsit de planificació d'aquest article el dia que s'anunciï. I vigila la teva pròpia safata d'entrada dels contractistes principals, perquè els grans contractistes sovint imposen els seus propis requisits de seguretat de proveïdors més ràpid que no es mou el departament, amb suspensió o sense.
Fins llavors, la postura guanyadora és avorrida: mantén la casa de la Fase 1 en ordre, mantén honesta la teva puntuació de l'SPRS, mantén finançada la remediació i mantén cada dòlar de compliment en un compte que anomeni el requisit al qual ha servit. Quan arribi el nou calendari, vols que l'única sorpresa sigui com de preparat estàs ja. L'últim pas útil és el més petit: obre els teus llibres aquesta setmana i confirma que els teus diners d'avaluació ajornats estan en un actiu pagat per endavant, no enterrats en un compte de despeses on el pressupost de l'any vinent no els pugui trobar.
