Ieri doveva essere la scadenza. Il 10 novembre 2026 i requisiti della Fase II del CMMC sarebbero dovuti entrare in vigore, e i piccoli appaltatori della difesa che trattano Informazioni Non Classificate Controllate avrebbero dovuto ottenere una certificazione di terza parte per restare idonei all'aggiudicazione di nuovi contratti. Invece, il requisito è in stand-by. Il Dipartimento della Guerra ha sospeso la Fase II già il 13 luglio 2026, dopo che la Small Business Administration ha stimato che la certificazione completa di terza parte potrebbe costare a una piccola impresa circa 593.800 dollari, contro circa 388.600 dollari per le imprese idonee al percorso di autovalutazione.
Se hai contratti della difesa o subappalti su di essi, questo non è un ordine di smobilitazione. È un evento di ridefinizione del budget. La tariffa di valutazione che temevi è rinviata, ma ogni obbligo di sicurezza sottostante resta applicabile, e il denaro che hai già speso deve comunque finire nei conti giusti. Questo articolo spiega cosa è stato effettivamente sospeso, perché il Pentagono ha premuto pausa e come gestire il tuo budget di conformità affinché la pausa ti faccia risparmiare denaro invece di scombussolare i tuoi libri contabili.
Cosa è stato sospeso e cosa no
La sospensione riguarda un meccanismo specifico: l'obbligo di valutazione obbligatoria di terza parte previsto dalla Fase II. Gli appaltatori che trattano CUI avrebbero dovuto ottenere la certificazione da un'Organizzazione di Valutazione di Terza Parte Certificata, nota come C3PAO, per restare idonei ai contratti coperti. Quel cancello di certificazione è ora sospeso in attesa di una revisione complessiva del programma, e non è stata fissata alcuna nuova data.
Tutto il resto ha continuato a funzionare. I requisiti di autovalutazione della Fase 1 restano pienamente in vigore, il che significa che devi ancora valutare i tuoi sistemi rispetto al NIST SP 800-171 Revisione 2 e inviare i tuoi punteggi tramite il Supplier Performance Risk System. La clausola DFARS 252.204-7012, l'obbligo contrattuale sottostante di salvaguardare le informazioni della difesa coperte, è invariata e non interessata. Se i tuoi contratti contengono quella clausola, il tuo dovere di proteggere le informazioni non è mai venuto meno.
Pensala così: il governo ha sospeso l'audit esterno, non i compiti a casa. Il tuo System Security Plan, i tuoi Piani d'Azione e Milestone per le lacune che non hai ancora colmato, la tua preparazione alla risposta agli incidenti e il tuo punteggio SPRS attuale contano ancora tutti. Un funzionario contrattuale può ancora chiederne conto, e un appaltatore principale che trasmette i requisiti a te può ancora esigere prove. Le imprese che trattano la sospensione come una vacanza saranno quelle che si affanneranno di più quando arriverà la nuova tempistica.
Perché il Pentagono ha premuto pausa
Tre fattori hanno guidato la decisione, sulla base delle dichiarazioni pubbliche del dipartimento stesso e delle cronache di settore.
Primo, il peso dei costi. L'analisi della SBA ha stimato i costi totali di conformità in circa 593.800 dollari per certificazione per le piccole imprese che richiedono valutazione di terza parte. Quella cifra raggruppa bonifica, documentazione, strumenti e tariffe di valutazione, e per le imprese che operano con margini del settore difesa è stato riferito che era sufficiente a spingere alcune fuori dalla Base Industriale della Difesa del tutto. Le stime più ristrette del dipartimento stesso raccontano la stessa storia su scala minore: circa 105.000 dollari nel ciclo di certificazione triennale per una valutazione C3PAO di Livello 2 per piccola entità, e questo copre solo la valutazione, non il lavoro di sicurezza sottostante. L'autovalutazione di Livello 1 costa circa 6.000 dollari all'anno, mentre un percorso di autovalutazione di Livello 2 totalizza circa 37.000 dollari in tre anni. Con oltre 100.000 piccole imprese nel perimetro, il conto aggregato appariva come una barriera all'ingresso proprio per i fornitori che il Pentagono dice di volere.
Secondo, la capacità dei valutatori. Il numero di C3PAO accreditate non era sufficiente a gestire il volume di appaltatori che necessitavano di certificazione prima della scadenza di novembre. Una data di conformità rigida abbinata a troppi pochi valutatori creava un collo di bottiglia strutturale che il dipartimento non poteva risolvere entro la tempistica esistente. Persino gli appaltatori disposti a pagare non potevano essere certi di essere valutati in tempo.
Terzo, l'allineamento politico. La dirigenza degli acquisti del dipartimento ha dato priorità alla rapidità di accesso alle capacità e a barriere all'ingresso più basse per appaltatori piccoli e non tradizionali. Un ciclo di certificazione pluriennale e ad alto costo è stato valutato come incompatibile con quella direttiva, così la sospensione è arrivata insieme a una revisione complessiva condotta da una Task Force per la Riforma del CMMC di nuova costituzione. Il messaggio pubblico era che la cybersicurezza in sé non viene ridotta, solo la burocrazia intorno alla sua dimostrazione.
Nessuna di queste ragioni suggerisce che il requisito scompaia. La pressione sui costi spinge verso un percorso più economico, la carenza di valutatori verso una tempistica più lunga, la riforma degli acquisti verso meccanismi più semplici. Ognuno di questi esiti termina comunque con te che dimostri la conformità. Regola il budget di conseguenza.
Cosa significa questo per il tuo budget di conformità adesso
Inizia dividendo il tuo budget di conformità in tre secchi, perché la sospensione tratta ciascuno in modo diverso.
Il primo secchio sono i controlli che già devi. Rilevamento gestito, conservazione dei log, autenticazione a più fattori, cadenza delle patch, test di backup, formazione sulla consapevolezza della sicurezza e la documentazione che prova tutto ciò: niente di questo è stato sospeso. La DFARS 252.204-7012 lo richiede ancora, l'autovalutazione di Fase 1 lo valuta ancora e il tuo punteggio SPRS lo pubblicizza ancora. Continua a finanziare questo secchio a pieno regime. I tagli qui non fanno risparmiare denaro; fabbricano rilievi per la valutazione futura e indeboliscono la tua posizione in ogni offerta che chiede del tuo assetto di sicurezza.
Il secondo secchio è la tariffa di certificazione rinviata. Se avevi programmato un acconto per una valutazione C3PAO o pianificato una valutazione di preparazione per l'autunno, quella spesa si sposta, non svanisce. Non riassorbirla nei fondi generali sperando che la data riprogrammata porti con sé il proprio budget. Accantonala in modo visibile come importo riservato, così la valutazione futura non arriverà come una sorpresa. Se hai già pagato un acconto, quel pagamento è un'attività prepagata, non un costo, e i tuoi libri devono dirlo finché la valutazione non avverrà davvero.
Il terzo secchio è l'igiene delle prove, che si accumula in ogni caso. La bonifica delle lacune rispetto al NIST SP 800-171, la manutenzione dei POA&M, le routine di raccolta delle prove e il monitoraggio della trasmissione ai subappaltatori costano meno quanto prima li costruisci e di più quanto più a lungo li rinvii. Questo è il posto con il rendimento più alto dove reindirizzare qualsiasi denaro liberato dalle valutazioni. Un appaltatore con prove pulite può muoversi in fretta quando appare la nuova tempistica; un appaltatore con un System Security Plan obsoleto paga tariffe d'urgenza per lo stesso lavoro.
Un altro fatto sul budget a tuo favore: i costi di conformità sono generalmente considerati ammissibili nei contratti della difesa. Il dipartimento ha dichiarato che i costi di conformità alla DFARS 252.204-7012 sono probabilmente ammissibili e addebitabili ai pool di costi indiretti, e i costi di certificazione sono stati descritti come un costo ammissibile e rimborsabile. Ammissibile non significa automatico, e non significa redditizio, ma significa che un monitoraggio disciplinato converte la spesa di conformità da puro costo generale in un costo contrattuale documentato. Questo funziona solo se i tuoi libri possono mostrare esattamente cosa hai speso, per quale requisito e quando.
Registra la pausa correttamente: mantieni visibile il denaro per la valutazione
L'errore contabile che la sospensione invita a fare è confondere questi secchi tra loro. Un acconto pagato per una valutazione ora rinviata viene spesato come se la valutazione fosse avvenuta. Gli abbonamenti agli strumenti vengono registrati su voci IT generiche invece che sullo sforzo di conformità che supportano. Le fatture dei fornitori di bonifica si accumulano in un unico conto senza alcun legame con le famiglie di controlli che hanno affrontato. Sei mesi dopo, nessuno può ricostruire quanto è costato il programma o quali dollari appartengono a un pool indiretto.
Risolvilo con conti separati fin dall'inizio: tariffe di valutazione, strumenti di sicurezza e manodopera di bonifica ottengono ciascuno il proprio conto di costo, e qualsiasi pagamento per lavoro non ancora svolto resta in un'attività prepagata fino alla consegna. Ecco lo schema per un piccolo appaltatore che ha pagato un acconto per la preparazione a giugno, ha mantenuto i suoi strumenti di rilevamento attivi durante la sospensione e ha maturato a luglio uno sprint di bonifica contro due famiglie di controlli NIST:
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "Readiness deposit ahead of November Phase 2 deadline"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "July managed detection and log retention"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contractor" "NIST 800-171 remediation sprint, access control and system protection families"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contractor" "Pay July remediation invoice"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USDNota cosa cambia la sospensione in questo libro mastro: niente riguardo agli strumenti o alla bonifica, che erano sempre richiesti, e niente riguardo all'acconto, che resta esattamente dov'è. I 15.000 dollari restano un'attività prepagata perché la valutazione che pagano è rinviata, non annullata. Spesarla ora sovrastimerebbe il costo di conformità di quest'anno e poi sottostimerebbe il costo dell'anno della valutazione quando arriverà la fattura contro un pagamento già dimenticato. Se tieni i tuoi libri in testo semplice, i modelli di tracciamento dei costi nella documentazione si estendono naturalmente a una suddivisione della conformità per requisito come questa.
Nomina il requisito in ogni descrizione. Quando una valutazione futura, un'indagine DCAA o il tuo stesso processo di chiusura chiederanno a cosa serviva un addebito, la descrizione è la risposta. "Sprint di bonifica, famiglie di controllo accessi e protezione del sistema" supera l'esame; "consulenza" no.
Quattro errori che trasformano una pausa in una penalità
La sospensione è generosa, ma punisce quattro comportamenti specifici.
Primo, tacere sullo SPRS. Il tuo punteggio di autovalutazione è ancora il tuo assetto di sicurezza pubblico, e le imprese prime lo controllano ancora prima di aggiudicare subappalti. Un punteggio che si deteriora perché hai smesso di aggiornarlo appare peggio di un punteggio modesto che mantieni attivamente. Mantieni la valutazione aggiornata e continua a chiudere i POA&M secondo programma.
Secondo, congelare la bonifica a metà. Logging a metà migrato, uno strumento di accesso privilegiato parzialmente implementato, documentazione che descrive la vecchia architettura: i progetti in pausa si degradano più in fretta delle operazioni a regime. O finisci il controllo o lo ridefinisci formalmente nel perimetro; non lasciarlo a metà finché la nuova scadenza non ti costringe a ripartire a tariffe d'urgenza.
Terzo, mescolare i costi di conformità con l'IT generale. Il trattamento di ammissibilità di cui sopra dipende dall'identificazione. Se la tua piattaforma di rilevamento, il tuo acconto per il valutatore e i tuoi portatili da ufficio passano tutti attraverso un unico conto IT, non puoi dimostrare quali dollari hanno supportato un requisito contrattuale. I conti separati non costano nulla da mantenere e sono la differenza tra un costo indiretto documentato e una discussione.
Quarto, lasciar decadere la trasmissione ai subappaltatori. Se sei un'impresa prime, i tuoi sub che trattano informazioni contrattuali federali o CUI ereditano comunque obblighi attraverso i tuoi contratti, indipendentemente dalla pausa della Fase II. Se sei un sub, i requisiti della tua impresa prime non sono stati sospesi da un annuncio a livello di dipartimento. Esamina ora le clausole di trasmissione, finché nessuno sta facendo audit, invece di scoprire una lacuna durante l'esecuzione.
Cosa tenere d'occhio adesso
Tre segnali ti diranno come finisce la storia. Le raccomandazioni della Task Force per la Riforma erano attese per l'autunno 2026 e delineeranno i meccanismi sostitutivi: possibile reciprocità con altri framework, percorsi di valutazione a più livelli o un percorso di avvicinamento più lungo per le piccole imprese. Tieni d'occhio una nuova data di entrata in vigore della Fase II, che azzera ogni ipotesi di pianificazione di questo articolo il giorno in cui viene annunciata. E tieni d'occhio la tua casella di posta dalle imprese prime, perché i grandi appaltatori spesso impongono i propri requisiti di sicurezza dei fornitori più in fretta di quanto si muova il dipartimento, sospensione o no.
Fino ad allora, la posizione vincente è noiosa: tieni in ordine la tua casa della Fase 1, mantieni onesto il tuo punteggio SPRS, continua a finanziare la bonifica e tieni ogni dollaro di conformità in un conto che nomina il requisito a cui ha servito. Quando arriverà la nuova tempistica, vuoi che l'unica sorpresa sia quanto sei già pronto. L'ultimo passo utile è il più piccolo: apri i tuoi libri questa settimana e conferma che il denaro accantonato per la valutazione rinviata si trova in un'attività prepagata, non sepolto in un conto di costo dove il budget del prossimo anno non può trovarlo.
