دیروز قرار بود آخرین مهلت باشد. در ۱۰ نوامبر ۲۰۲۶، الزامات فاز دوم CMMC قرار بود اجرایی شوند، و پیمانکاران کوچک دفاعی که اطلاعات طبقه‌بندی‌نشده کنترل‌شده را مدیریت می‌کنند، برای حفظ واجدشرایط بودن در اعطای قراردادهای جدید به گواهینامه شخص ثالث نیاز داشتند. در عوض، این الزام به حالت تعلیق درآمده است. وزارت جنگ در ۱۳ ژوئیه ۲۰۲۶ فاز دوم را به حال تعلیق درآورد، پس از آنکه اداره کسب‌وکارهای کوچک برآورد کرد که صدور گواهینامه کامل شخص ثالث می‌تواند برای یک شرکت کوچک حدود ۵۹۳,۸۰۰ دلار هزینه داشته باشد، در مقابل حدود ۳۸۸,۶۰۰ دلار برای شرکت‌های واجدشرایط مسیر خودارزیابی.
اگر قراردادهای دفاعی دارید یا به عنوان پیمانکار فرعی در آن‌ها فعالیت می‌کنید، این دستور توقف نیست. این یک رویداد بازنگری بودجه است. هزینه ارزیابی که از آن می‌ترسیدید به تعویق افتاده است، اما هر تعهد امنیتی زیربنایی همچنان قابل اجراست، و پولی که قبلاً خرج کرده‌اید هنوز باید در حساب‌های درست ثبت شود. این مقاله توضیح می‌دهد که واقعاً چه چیزی تعلیق شد، چرا پنتاگون توقف را اعمال کرد، و چگونه بودجه انطباق خود را مدیریت کنید تا این تعلیق برای شما صرفه‌جویی به همراه داشته باشد نه آنکه دفاترتان را به هم بریزد.
چه چیزی تعلیق شد و چه چیزی نشد
این تعلیق یک مکانیسم مشخص را هدف قرار می‌دهد: الزام ارزیابی اجباری شخص ثالث تحت فاز دوم. پیمانکارانی که اطلاعات طبقه‌بندی‌نشده کنترل‌شده را مدیریت می‌کردند، برای حفظ واجدشرایط بودن در قراردادهای مشمول، به گواهینامه‌ای از یک سازمان ارزیابی شخص ثالث معتبر، معروف به C3PAO، نیاز داشتند. این دروازه صدور گواهینامه اکنون تا انجام یک بازنگری جامع برنامه متوقف شده و هیچ تاریخ جدیدی تعیین نشده است.
همه چیزهای دیگر همچنان در جریان بود. الزامات خودارزیابی فاز اول کاملاً به قوت خود باقی است، یعنی شما همچنان سیستم‌های خود را در برابر NIST SP 800-171 ویرایش ۲ ارزیابی می‌کنید و امتیازات خود را از طریق سیستم ریسک عملکرد تأمین‌کننده (SPRS) ارسال می‌کنید. بند DFARS 252.204-7012، تعهد قراردادی زیربنایی برای حفاظت از اطلاعات دفاعی مشمول، بدون تغییر و بدون تأثیر است. اگر قراردادهای شما این بند را دارند، وظیفه شما برای حفاظت از اطلاعات هرگز از بین نرفت.
این‌طور فکر کنید: دولت ممیزی بیرونی را متوقف کرد، نه تکالیف را. طرح امنیت سیستم شما، برنامه‌های اقدام و نقاط عطف شما برای شکاف‌هایی که هنوز پر نکرده‌اید، آمادگی پاسخ به حادثه و امتیاز فعلی SPRS شما همگی همچنان اهمیت دارند. یک افسر قرارداد هنوز می‌تواند درباره آن‌ها سؤال کند، و یک پیمانکار اصلی که الزامات را به شما منتقل می‌کند هنوز می‌تواند شواهد بخواهد. شرکت‌هایی که این تعلیق را به عنوان تعطیلات تلقی کنند، همان‌هایی خواهند بود که وقتی جدول زمانی جدید اعلام شود، بیشترین دستپاچگی را خواهند داشت.
چرا پنتاگون توقف را اعمال کرد
بر اساس اظهارات عمومی خود وزارت و گزارش‌های صنعتی، سه عامل این تصمیم را هدایت کرد.
نخست، بار هزینه. تحلیل SBA کل هزینه‌های انطباق را برای شرکت‌های کوچکی که نیازمند ارزیابی شخص ثالث هستند، تقریباً ۵۹۳,۸۰۰ دلار به ازای هر گواهینامه برآورد کرد. این رقم شامل رفع نقص، مستندسازی، ابزارآلات و هزینه‌های ارزیابی است، و برای شرکت‌هایی که با حاشیه سود بخش دفاعی فعالیت می‌کنند، ظاهراً به اندازه‌ای بود که برخی را کاملاً از پایگاه صنعتی دفاعی بیرون کند. برآوردهای محدودتر خود وزارت هم همین داستان را در مقیاس کوچک‌تر روایت می‌کند: حدود ۱۰۵,۰۰۰ دلار در طول چرخه سه‌ساله صدور گواهینامه برای یک ارزیابی C3PAO سطح ۲ برای یک نهاد کوچک، و این فقط شامل خود ارزیابی است نه کارهای امنیتی پشت آن. خودارزیابی سطح ۱ سالانه حدود ۶,۰۰۰ دلار هزینه دارد، در حالی که مسیر خودارزیابی سطح ۲ در سه سال مجموعاً حدود ۳۷,۰۰۰ دلار است. با بیش از ۱۰۰,۰۰۰ کسبوکار کوچک در دامنه شمول، رقم کل به نظر مانعی برای ورود همان تأمین‌کنندگانی می‌آمد که پنتاگون می‌گوید آن‌ها را می‌خواهد.
دوم، ظرفیت ارزیابان. تعداد C3PAOهای معتبر برای پردازش حجم پیمانکارانی که پیش از مهلت نوامبر به گواهینامه نیاز داشتند کافی نبود. یک تاریخ انطباق سخت در کنار تعداد ناکافی ارزیاب، گلوگاهی ساختاری ایجاد کرد که وزارت نمی‌توانست در چارچوب زمانی موجود آن را حل کند. حتی پیمانکارانی که حاضر به پرداخت بودند هم نمی‌توانستند مطمئن باشند که به موقع ارزیابی می‌شوند.
سوم، همسویی سیاستی. رهبری تدارکات وزارت، سرعت دستیابی به توانمندی و کاهش موانع ورود برای پیمانکاران کوچک و غیرسنتی را در اولویت قرار داده است. یک چرخه صدور گواهینامه چندساله و پرهزینه ناسازگار با این بخشنامه ارزیابی شد، بنابراین تعلیق همراه با یک بازنگری جامع که توسط یک کارگروه تازه‌تشکیل‌شده اصلاح CMMC اجرا می‌شود، اعلام شد. پیام عمومی این بود که خود امنیت سایبری کاهش نمی‌یابد، فقط بوروکراسی پیرامون اثبات آن.
هیچ‌یک از این دلایل نشان نمی‌دهد که الزام از بین می‌رود. فشار هزینه به نفع مسیری ارزان‌تر است، کمبود ارزیاب به نفع جدول زمانی طولانی‌تر، و اصلاح تدارکات به نفع مکانیسم‌های ساده‌تر. هر یک از این نتایج همچنان به این ختم می‌شود که شما باید انطباق خود را اثبات کنید. بودجه را بر همین اساس تنظیم کنید.
این موضوع اکنون برای بودجه انطباق شما چه معنایی دارد
با تقسیم بودجه انطباق خود به سه سبد شروع کنید، زیرا تعلیق با هر یک از آن‌ها متفاوت رفتار می‌کند.
سبد اول کنترل‌هایی است که از قبل بدهکار آن هستید. تشخیص مدیریت‌شده، نگهداری گزارش‌ها، احراز هویت چندعاملی، آهنگ وصله‌گذاری، آزمایش پشتیبان‌گیری، آموزش آگاهی امنیتی و مستندسازی اثبات همه این‌ها: هیچ‌کدام تعلیق نشده است. DFARS 252.204-7012 همچنان آن را الزامی می‌کند، خودارزیابی فاز اول همچنان آن را امتیازدهی می‌کند، و امتیاز SPRS شما همچنان آن را اعلام می‌کند. تأمین مالی این سبد را با تمام قدرت ادامه دهید. کاهش در اینجا پول صرفه‌جویی نمی‌کند؛ بلکه یافته‌هایی برای ارزیابی آتی می‌سازد و موقعیت شما را در هر مناقصه‌ای که درباره وضعیت امنیتی شما می‌پرسد تضعیف می‌کند.
سبد دوم هزینه به تعویق افتاده صدور گواهینامه است. اگر سپرده ارزیابی C3PAO برای شما زمان‌بندی شده بود یا ارزیابی آمادگی برای پاییز تعریف شده بود، آن هزینه جابه‌جا می‌شود، از بین نمی‌رود. آن را به صندوق‌های عمومی برنگردانید و امیدوار نباشید که تاریخ زمان‌بندی‌شده مجدد بودجه خودش را به همراه بیاورد. آن را به‌صورت آشکار به عنوان مبلغی کنارگذاشته نگه دارید تا ارزیابی آتی به‌صورت غافلگیری ظاهر نشود. اگر قبلاً سپرده‌ای پرداخت کرده‌اید، آن پرداخت یک دارایی پیش‌پرداخت است نه هزینه، و دفاتر شما باید تا زمانی که ارزیابی واقعاً انجام شود همین را نشان دهند.
سبد سوم بهداشت شواهد است که در هر صورت انباشته می‌شود. رفع شکاف در برابر NIST SP 800-171، نگهداری POA&M، رویه‌های جمع‌آوری شواهد، و پیگیری انتقال الزامات به پیمانکاران فرعی، هرچه زودتر ساخته شوند ارزان‌تر و هرچه بیشتر به تعویق بیفتند گران‌تر می‌شوند. این بالاترین بازده را برای هدایت هر پول آزادشده از ارزیابی دارد. پیمانکاری با شواهد پاک می‌تواند وقتی جدول زمانی جدید ظاهر شد سریع حرکت کند؛ پیمانکاری با طرح امنیت سیستم کهنه برای همان کار نرخ‌های فوری می‌پردازد.
یک واقعیت بودجه‌ای دیگر به نفع شما: هزینه‌های انطباق عموماً در قراردادهای دفاعی قابل قبول تلقی می‌شوند. وزارت اعلام کرده است که هزینه‌های انطباق با DFARS 252.204-7012 احتمالاً قابل قبول و قابل هزینه‌کردن از استخرهای هزینه غیرمستقیم هستند، و هزینه‌های صدور گواهینامه به عنوان هزینه‌ای قابل قبول و قابل بازپرداخت توصیف شده‌اند. قابل قبول بودن به معنای خودکار بودن نیست، و به معنای سودآوری هم نیست، اما به این معناست که ردیابی منظم، هزینه انطباق را از سربار محض به هزینه مستند قرارداد تبدیل می‌کند. این تنها زمانی کار می‌کند که دفاتر شما بتوانند دقیقاً نشان دهند چه چیزی، برای کدام الزام، و چه زمانی خرج کرده‌اید.
تعلیق را درست ثبت کنید: پول ارزیابی را قابل مشاهده نگه دارید
اشتباه حسابداری که تعلیق دعوت به آن می‌کند، درهم‌آمیختن این سبدهاست. سپرده پرداخت‌شده برای ارزیابی‌ای که اکنون به تعویق افتاده، به‌عنوان هزینه ثبت می‌شود انگار که ارزیابی انجام شده است. اشتراک‌های ابزار در دسته IT عمومی ثبت می‌شوند نه تلاش انطباقی که پشتیبانی می‌کنند. فاکتورهای پیمانکار رفع نقص در یک حساب انباشته می‌شوند بدون هیچ پیوندی به خانواده‌های کنترل که به آن‌ها پرداخته‌اند. شش ماه بعد، هیچ‌کس نمی‌تواند بازسازی کند که برنامه چقدر هزینه داشته یا کدام دلارها به استخر غیرمستقیم تعلق دارند.
این را از همان ابتدا با حساب‌های جداگانه اصلاح کنید: هزینه‌های ارزیابی، ابزار امنیتی، و نیروی کار رفع نقص هر یک حساب هزینه خودشان را داشته باشند، و هر پرداختی برای کاری که هنوز انجام نشده در یک دارایی پیش‌پرداخت باقی می‌ماند تا زمان تحویل. الگوی زیر برای یک پیمانکار کوچک است که در ژوئن سپرده آمادگی پرداخت کرده، ابزار تشخیص خود را در طول تعلیق فعال نگه داشته، و یک دوره فشرده رفع نقص در ژوئیه علیه دو خانواده کنترل NIST تعهد کرده است:
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "Readiness deposit ahead of November Phase 2 deadline"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "July managed detection and log retention"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contractor" "NIST 800-171 remediation sprint, access control and system protection families"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contractor" "Pay July remediation invoice"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USDتوجه کنید که تعلیق در این دفتر چه چیزی را تغییر می‌دهد: هیچ چیز درباره ابزار یا رفع نقص که همیشه الزامی بودند، و هیچ چیز درباره سپرده که دقیقاً همان‌جا می‌ماند. ۱۵,۰۰۰ دلار یک دارایی پیش‌پرداخت باقی می‌ماند زیرا ارزیابی‌ای که برای آن پرداخت می‌شود به تعویق افتاده، نه لغو شده است. ثبت آن به عنوان هزینه اکنون، هزینه انطباق امسال را بیش از واقع نشان می‌دهد و سپس هزینه سال ارزیابی را کمتر از واقع نشان می‌دهد، وقتی فاکتور در برابر پرداختی که فراموش شده ارائه شود. اگر دفاتر خود را در متن ساده نگه می‌دارید، الگوهای ردیابی هزینه در مستندات به‌طور طبیعی به تفکیک انطباق به ازای هر الزام مانند این گسترش می‌یابند.
در هر شرح، الزام را نام ببرید. وقتی ارزیابی آتی، یک استعلام DCAA، یا فرآیند بستن حساب‌های خودتان می‌پرسد که یک هزینه برای چه بوده، شرح پاسخ است. «دوره فشرده رفع نقص، خانواده‌های کنترل دسترسی و حفاظت از سیستم» از بررسی جان سالم به در می‌برد؛ «مشاوره» نه.
چهار اشتباهی که تعلیق را به جریمه تبدیل می‌کند
تعلیق سخاوتمندانه است، اما چهار رفتار خاص را تنبیه می‌کند.
نخست، سکوت درباره SPRS. امتیاز خودارزیابی شما همچنان وضعیت امنیتی عمومی شماست، و پیمانکاران اصلی همچنان پیش از اعطای قراردادهای فرعی آن را بررسی می‌کنند. امتیازی که به دلیل توقف به‌روزرسانی رو به کاهش می‌رود، بدتر از امتیاز متوسطی خوانده می‌شود که فعالانه آن را حفظ می‌کنید. ارزیابی را به‌روز نگه دارید و بستن POA&Mها را طبق برنامه ادامه دهید.
دوم، توقف رفع نقص در میانه راه. گزارش‌گیری نیمه‌مهاجرت‌شده، ابزار دسترسی ممتاز که نیمه‌راه مستقر شده، مستندسازی‌ای که معماری قدیمی را توصیف می‌کند: پروژه‌های متوقف‌شده سریع‌تر از عملیات پایدار فرسوده می‌شوند. یا کنترل را تمام کنید یا رسماً دامنه آن را بازتعریف کنید؛ آن را نیمه‌ساخته رها نکنید تا مهلت جدید شما را مجبور به شروع مجدد با نرخ‌های فوری کند.
سوم، درهم‌آمیختن هزینه‌های انطباق با IT عمومی. رفتار قابل قبول بودن فوق به شناسایی بستگی دارد. اگر پلتفرم تشخیص، سپرده ارزیاب و لپ‌تاپ‌های اداری شما همگی از یک حساب IT عبور کنند، نمی‌توانید نشان دهید کدام دلارها از یک الزام قرارداد پشتیبانی کرده‌اند. حساب‌های جداگانه هزینه‌ای برای نگهداری ندارند و تفاوت بین یک هزینه غیرمستقیم مستند و یک بحث و جدل هستند.
چهارم، رها کردن انتقال الزامات به پیمانکاران فرعی. اگر پیمانکار اصلی هستید، پیمانکاران فرعی شما که اطلاعات قرارداد فدرال یا اطلاعات طبقه‌بندی‌نشده کنترل‌شده را مدیریت می‌کنند، همچنان تعهدات را از طریق قراردادهای شما به ارث می‌برند، صرف‌نظر از تعلیق فاز دوم. اگر پیمانکار فرعی هستید، الزامات پیمانکار اصلی شما با یک اعلامیه در سطح وزارت تعلیق نشده است. بندهای انتقال الزامات را اکنون بازبینی کنید، در حالی که هیچ‌کس ممیزی نمی‌کند، نه اینکه در طول اجرای قرارداد شکافی را کشف کنید.
بعد چه چیزی را زیر نظر بگیرید
سه نشانه به شما خواهد گفت داستان چگونه پایان می‌یابد. توصیه‌های کارگروه اصلاحات در پاییز ۲۰۲۶ انتظار می‌رفت و مکانیسم‌های جایگزین را ترسیم خواهد کرد: احتمالاً عمل متقابل با چارچوب‌های دیگر، مسیرهای ارزیابی لایه‌بندی‌شده، یا مسیری طولانی‌تر برای شرکت‌های کوچک. مراقب تاریخ اجرای جدید فاز دوم باشید، که روزی که اعلام شود همه فرضیات برنامه‌ریزی این مقاله را بازنشانی می‌کند. و صندوق ورودی خود را از پیمانکاران اصلی زیر نظر بگیرید، زیرا پیمانکاران بزرگ اغلب الزامات امنیتی تأمین‌کننده خودشان را سریع‌تر از وزارت اعمال می‌کنند، با یا بدون تعلیق.
تا آن زمان، موضع برنده کسل‌کننده است: خانه فاز اول خود را مرتب نگه دارید، امتیاز SPRS خود را صادق نگه دارید، رفع نقص را تأمین مالی کنید، و هر دلار انطباق را در حسابی نگه دارید که الزامی را که به آن خدمت کرده نام می‌برد. وقتی جدول زمانی جدید فرا رسد، می‌خواهید تنها غافلگیری این باشد که چقدر از قبل آماده هستید. آخرین گام مفید، کوچک‌ترین گام است: این هفته دفاتر خود را باز کنید و تأیید کنید که پول ارزیابی به تعویق افتاده شما در یک دارایی پیش‌پرداخت نشسته است، نه مدفون در یک حساب هزینه که بودجه سال آینده نمی‌تواند آن را پیدا کند.