Gisteren had de deadline moeten zijn. Op 10 november 2026 zouden de vereisten van CMMC Fase II van kracht worden, en kleine defensieopdrachtnemers die Controlled Unclassified Information verwerken zouden certificering door een derde partij nodig hebben gehad om in aanmerking te blijven komen voor nieuwe contractgunningen. In plaats daarvan ligt de vereiste in de ijskast. Het Department of War heeft Fase II al op 13 juli 2026 opgeschort, nadat de Small Business Administration had geraamd dat volledige certificering door een derde partij een klein bedrijf ongeveer $ 593.800 zou kosten, tegenover ongeveer $ 388.600 voor bedrijven die in aanmerking komen voor het zelfbeoordelingstraject.
Als u defensiecontracten heeft of als onderaannemer daaraan deelneemt, is dit geen bevel om te stoppen. Het is een moment om uw budget opnieuw in te richten. De beoordelingsvergoeding waar u tegenop zag, wordt uitgesteld, maar elke onderliggende beveiligingsverplichting blijft afdwingbaar, en het geld dat u al heeft uitgegeven moet nog steeds op de juiste rekeningen terechtkomen. Dit bericht legt uit wat er werkelijk is opgeschort, waarom het Pentagon de pauze heeft ingelast, en hoe u uw compliancebudget kunt beheren zodat de pauze u geld bespaart in plaats van uw boeken in de war te sturen.
Wat is opgeschort, en wat niet
De opschorting richt zich op één specifiek mechanisme: de verplichte beoordeling door een derde partij onder Fase II. Opdrachtnemers die CUI verwerken zouden certificering nodig hebben gehad van een Certified Third-Party Assessment Organization, bekend als een C3PAO, om in aanmerking te blijven komen voor gedekte contracten. Deze certificeringspoort is nu opgeschort in afwachting van een uitgebreide herziening van het programma, en er is geen nieuwe datum vastgesteld.
Al het andere bleef draaien. De zelfbeoordelingsvereisten van Fase 1 blijven volledig van kracht, wat betekent dat u uw eigen systemen nog steeds beoordeelt tegen NIST SP 800-171 Revision 2 en uw scores indient via het Supplier Performance Risk System. DFARS-clausule 252.204-7012, de onderliggende contractuele verplichting om gedekte defensie-informatie te beschermen, is ongewijzigd en onaangetast. Als uw contracten die clausule bevatten, is uw plicht om de informatie te beschermen nooit verflauwd.
Zie het zo: de overheid heeft de externe audit gepauzeerd, niet het huiswerk. Uw System Security Plan, uw Plans of Action and Milestones voor hiaten die u nog niet heeft gedicht, uw gereedheid voor incidentrespons en uw huidige SPRS-score blijven allemaal van belang. Een contracting officer kan er nog steeds naar vragen, en een hoofdaannemer die vereisten aan u doorgeeft kan nog steeds bewijs eisen. De bedrijven die de opschorting als vakantie beschouwen, zullen het hardst moeten rennen wanneer de nieuwe tijdlijn verschijnt.
Waarom het Pentagon de pauze heeft ingelast
Drie factoren dreven het besluit, gebaseerd op de eigen publieke verklaringen van het departement en berichtgeving uit de sector.
Ten eerste de kostenlast. Uit de analyse van de SBA kwamen totale compliancekosten van ongeveer $ 593.800 per certificering voor kleine bedrijven die beoordeling door een derde partij vereisen. Dat cijfer omvat herstelwerk, documentatie, tooling en beoordelingsvergoedingen, en naar verluidt was dat voor bedrijven die op marges in de defensiesector opereren genoeg om sommigen volledig uit de Defense Industrial Base te duwen. De eigen engere schattingen van het departement vertellen hetzelfde verhaal op kleinere schaal: ongeveer $ 105.000 over de driejarige certificeringscyclus voor een Level 2 C3PAO-beoordeling voor een kleine entiteit, en dat dekt alleen de beoordeling en niet het beveiligingswerk erachter. Zelfbeoordeling op Level 1 kost ongeveer $ 6.000 per jaar, terwijl een zelfbeoordelingstraject op Level 2 over drie jaar in totaal ongeveer $ 37.000 bedraagt. Met meer dan 100.000 kleine bedrijven binnen het toepassingsbereik leek het totale prijskaartje een toetredingsdrempel voor precies de leveranciers die het Pentagon zegt te willen.
Ten tweede de capaciteit van beoordelaars. Het aantal geaccrediteerde C3PAO's was niet voldoende om het volume aan opdrachtnemers te verwerken dat vóór de novemberdeadline certificering nodig had. Een harde compliancedatum in combinatie met te weinig beoordelaars creëerde een structureel knelpunt dat het departement binnen de bestaande tijdlijn niet kon oplossen. Zelfs opdrachtnemers die wilden betalen, konden er niet zeker van zijn op tijd te worden beoordeeld.
Ten derde de beleidsafstemming. De acquisitieleiding van het departement heeft prioriteit gegeven aan snelheid naar capaciteit en lagere toetredingsdrempels voor kleine en niet-traditionele opdrachtnemers. Een meerjarige, kostbare certificeringscyclus werd beoordeeld als onverenigbaar met die richtlijn, dus kwam de opschorting samen met een uitgebreide herziening door een nieuw gevormde CMMC Reform Task Force. De publieke boodschap was dat cybersecurity zelf niet wordt verminderd, alleen de bureaucratie rond het bewijzen ervan.
Geen van deze redenen suggereert dat de vereiste verdwijnt. Kostendruk pleit voor een goedkoper traject, tekorten aan beoordelaars pleiten voor een langere tijdlijn, en acquisitiehervorming pleit voor eenvoudiger mechanismen. Elk van die uitkomsten eindigt nog steeds met dat u compliance aantoont. Begroot daar naar.
Wat dit nu betekent voor uw compliancebudget
Begin met uw compliancebudget in drie emmers te splitsen, want de opschorting behandelt elk ervan anders.
Emmers één zijn maatregelen die u al verschuldigd bent. Managed detection, logretentie, multi-factor authenticatie, patchcadans, back-uptests, securitybewustzijnstraining en de documentatie die dat allemaal bewijst: niets daarvan is opgeschort. DFARS 252.204-7012 vereist het nog steeds, zelfbeoordeling in Fase 1 scoort het nog steeds, en uw SPRS-score maakt het nog steeds bekend. Blijf deze emmer op volle sterkte financieren. Bezuinigingen hier besparen geen geld; ze produceren bevindingen voor de uiteindelijke beoordeling en verzwakken uw positie bij elke aanbesteding die naar uw beveiligingshouding vraagt.
Emmers twee is de uitgestelde certificeringsvergoeding. Als u een aanbetaling voor een C3PAO-beoordeling had gepland of een gereedheidsbeoordeling voor het najaar had afgebakend, dan verschuift die uitgave, ze verdwijnt niet. Absorbeer ze niet in de algemene middelen en hoop dat de nieuwe datum haar eigen budget meebrengt. Reserveer ze zichtbaar als een gereserveerd bedrag, zodat de toekomstige beoordeling niet als verrassing komt. Als u al een aanbetaling heeft gedaan, is die betaling een vooruitbetaald actief, geen kosten, en uw boeken moeten dat zo weergeven totdat de beoordeling daadwerkelijk plaatsvindt.
Emmers drie is bewijshygiëne die zich hoe dan ook opstapelt. Herstel van hiaten tegen NIST SP 800-171, onderhoud van POA&M's, routines voor het verzamelen van bewijs en het volgen van doorgegeven vereisten aan onderaannemers worden allemaal goedkoper naarmate u ze eerder opbouwt en duurder naarmate u ze langer uitstelt. Dit is de plek met het hoogste rendement om eventueel vrijgekomen beoordelingsgeld naartoe te leiden. Een opdrachtnemer met schoon bewijs kan snel schakelen wanneer de nieuwe tijdlijn verschijnt; een opdrachtnemer met een verouderd System Security Plan betaalt spoedtarieven voor hetzelfde werk.
Nog een budgetfeit in uw voordeel: compliancekosten worden over het algemeen als toelaatbaar behandeld bij defensiecontracten. Het departement heeft verklaard dat de kosten van naleving van DFARS 252.204-7012 waarschijnlijk toelaatbaar zijn en ten laste kunnen worden gebracht van indirecte kostenpools, en certificeringskosten zijn beschreven als een toelaatbare, vergoedbare kostenpost. Toelaatbaar betekent niet automatisch, en het betekent niet winstgevend, maar het betekent wel dat gedisciplineerde registratie compliance-uitgaven omzet van pure overhead in een gedocumenteerde contractkostenpost. Dat werkt alleen als uw boeken precies kunnen laten zien wat u heeft uitgegeven, voor welke vereiste, en wanneer.
Boek de pauze correct: houd beoordelingsgeld zichtbaar
De boekhoudkundige fout waar de opschorting toe uitnodigt, is het vervagen van deze emmers. Een aanbetaling voor een nu uitgestelde beoordeling wordt als kosten geboekt alsof de beoordeling heeft plaatsgevonden. Toolingabonnementen worden geboekt op algemene IT in plaats van op de compliance-inspanning die ze ondersteunen. Facturen van herstelonderaannemers stapelen zich op in één rekening zonder koppeling naar de control families die ze aanpakten. Zes maanden later kan niemand meer reconstrueren wat het programma heeft gekost of welke dollars in een indirecte pool thuishoren.
Los dit op met afzonderlijke rekeningen vanaf het begin: beoordelingsvergoedingen, beveiligingstooling en herstelarbeid krijgen elk hun eigen kostenrekening, en elke betaling voor werk dat nog niet is uitgevoerd staat als vooruitbetaald actief tot de levering. Hier is het patroon voor een kleine opdrachtnemer die in juni een gereedheidsaanbetaling deed, de detectietooling gedurende de opschorting liet doorlopen en in juli een herstelsprint opbouwde voor twee NIST control families:
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "Aanbetaling gereedheidsbeoordeling voorafgaand aan Fase 2-deadline in november"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "Managed detection en logretentie juli"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contractor" "NIST 800-171 herstelsprint, access control en system protection families"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contractor" "Herstelfactuur juli betalen"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USDMerk op wat de opschorting in dit grootboek verandert: niets aan de tooling of het herstelwerk, die altijd al vereist waren, en niets aan de aanbetaling, die precies blijft waar ze is. De $ 15.000 blijft een vooruitbetaald actief omdat de beoordeling waarvoor wordt betaald is uitgesteld, niet geannuleerd. Het nu als kosten boeken zou de compliancekosten van dit jaar te hoog voorstellen en vervolgens de kosten van het beoordelingsjaar te laag, wanneer de factuur arriveert tegen een betaling die al vergeten is. Als u uw boeken in platte tekst bijhoudt, sluiten de patronen voor kostentracking in de documentatie natuurlijk aan op een dergelijke uitsplitsing per vereiste.
Noem de vereiste in elke toelichting. Wanneer een toekomstige beoordeling, een DCAA-onderzoek of uw eigen afsluitingsproces vraagt waarvoor een boeking was, is de toelichting het antwoord. "Herstelsprint, access control en system protection families" doorstaat de toets; "consultancy" niet.
Vier fouten die een pauze in een boete veranderen
De opschorting is genereus, maar ze bestraft vier specifieke gedragingen.
Ten eerste: stil worden rond SPRS. Uw zelfbeoordelingsscore is nog steeds uw publieke beveiligingshouding, en hoofdaannemers controleren die nog steeds voordat ze onderaannemingsopdrachten gunnen. Een score die verwatert omdat u bent gestopt met bijwerken leest slechter dan een bescheiden score die u actief onderhoudt. Houd de beoordeling actueel en sluit POA&M's volgens schema.
Ten tweede: herstel halverwege bevriezen. Half gemigreerde logging, een gedeeltelijk uitgerold privileged access-tool, documentatie die de oude architectuur beschrijft: gepauzeerde projecten vervallen sneller dan lopende operaties. Rond de maatregel af of pas de scope formeel opnieuw aan; laat het niet half afgebouwd tot de nieuwe deadline een herstart tegen spoedtarieven afdwingt.
Ten derde: compliancekosten vermengen met algemene IT. De toelaatbaarheidsbehandeling hierboven hangt af van identificatie. Als uw detectieplatform, uw beoordelaarsaanbetaling en uw kantoorlaptops allemaal via één IT-rekening lopen, kunt u niet aantonen welke dollars een contractvereiste ondersteunden. Afzonderlijke rekeningen kosten niets om te onderhouden en zijn het verschil tussen een gedocumenteerde indirecte kostenpost en een discussie.
Ten vierde: het laten verwateren van de doorwerking naar onderaannemers. Als u hoofdaannemer bent, erven uw onderaannemers die federale contractinformatie of CUI verwerken nog steeds verplichtingen via uw contracten, ongeacht de pauze van Fase II. Als u onderaannemer bent, zijn de vereisten van uw hoofdaannemer niet opgeschort door een aankondiging op departementsniveau. Controleer nu de doorwerkingsclausules, terwijl niemand audit, in plaats van een hiaat te ontdekken tijdens de uitvoering.
Waar u op moet letten
Drie signalen zullen u vertellen hoe het verhaal afloopt. De aanbevelingen van de Reform Task Force werden in het najaar van 2026 verwacht en zullen de vervangende mechanismen schetsen: mogelijke wederzijdse erkenning met andere frameworks, getrapte beoordelingstrajecten, of een langer overgangspad voor kleine bedrijven. Let op een nieuwe ingangsdatum voor Fase II, die elke planningsaanname in dit bericht herziet op de dag dat ze wordt aangekondigd. En let op uw eigen inbox van hoofdaannemers, want grote opdrachtnemers leggen vaak sneller hun eigen beveiligingseisen aan leveranciers op dan het departement beweegt, opschorting of niet.
Tot dan is de winnende houding saai: houd uw Fase 1-huishouden op orde, houd uw SPRS-score eerlijk, houd herstel gefinancierd, en houd elke compliance-dollar op een rekening die de vereiste noemt waarvoor ze diende. Wanneer de nieuwe tijdlijn verschijnt, wilt u dat de enige verrassing is hoe klaar u al bent. De laatste nuttige stap is de kleinste: open deze week uw boeken en bevestig dat uw uitgestelde beoordelingsgeld op een vooruitbetaald actief staat, niet begraven in een kostenrekening waar het budget van volgend jaar het niet kan vinden.
