Amanhã seria o prazo. Em 10 de novembro de 2026, os requisitos da Fase II do CMMC deveriam entrar em vigor, e os pequenos contratados de defesa que lidam com Informações Não Classificadas Controladas (CUI) precisariam de certificação de terceiros para permanecer elegíveis para novos contratos. Em vez disso, o requisito está em espera. O Departamento de Guerra suspendeu a Fase II em 13 de julho de 2026, após a Pequena Empresa (Small Business Administration) estimar que a certificação completa por terceiros poderia custar aproximadamente US$ 593.800 para uma pequena empresa, contra cerca de US$ 388.600 para empresas elegíveis para o caminho de autoavaliação.
Se você possui contratos de defesa ou os subcontrata, isso não é uma ordem para parar. É um evento de reorçamentação. A taxa de avaliação que você tem tem evitado é adiada, mas todas as obrigações de segurança subjacentes ainda são exigíveis, e o dinheiro que você já gastou ainda deve entrar nas contas corretas. Este post explica o que foi realmente suspenso, por que o Pentágono deu uma pausa e como lidar com seu orçamento de conformidade para que a pausa economize dinheiro em vez de bagunçar seus livros.
O Que Foi Suspenso e O Que Não Foi
A suspensão visa um mecanismo específico: o requisito de avaliação obrigatória de terceiros sob a Fase II. Os contratados que lidam com CUI precisariam de certificação de uma Organização de Avaliação de Terceiros Certificada (C3PAO) para permanecerem elegíveis para contratos cobertos. Esse portão de certificação agora está em pausa, aguardando uma revisão abrangente do programa, e nenhuma nova data foi definida.
Tudo mais permaneceu em operação. Os requisitos de autoavaliação da Fase 1 continuam integralmente em vigor, o que significa que você ainda avalia seus próprios sistemas em conformidade com o NIST SP 800-171 Revisão 2 e envia suas pontuações através do Sistema de Risco de Desempenho de Fornecedores (SPRS). A cláusula DFARS 252.204-7012, a obrigação contratual subjacente de salvaguardar informações de defesa cobertas, permanece inalterada e inafetada. Se seus contratos carregam essa cláusula, seu dever de proteger a informação nunca vacilou.
Pense assim: o governo suspendeu a auditoria externa, não o dever de casa. Seu Plano de Segurança do Sistema (System Security Plan), seus Planos de Ação e Marcos (POA&M) para lacunas que você ainda não fechou, sua prontidão de resposta a incidentes e sua pontuação atual do SPRS ainda importam. Um oficial de contratos ainda pode perguntar sobre eles, e um contratado principal que repassa requisitos para você ainda pode exigir evidências. As empresas que tratarem a suspensão como férias serão as que mais se desdobrarão quando o novo cronograma chegar.
Por Que o Pentágono deu uma Pausa
Três fatores impulsionaram a decisão, com base nas próprias declarações públicas do departamento e em relatórios da indústria.
Primeiro, o fardo de custo. A análise da SBA colocou os custos totais de conformidade em aproximadamente US$ 593.800 por certificação para pequenas empresas que requerem avaliação de terceiros. Esse valor agrupa remediação, documentação, ferramentas e taxas de avaliação, e para as empresas operando com margens do setor de defesa, foi relatado que era suficiente para afastar algumas delas da Base Industrial de Defesa inteiramente. As estimativas mais restritas do próprio departamento contam a mesma história em escala menor: aproximadamente US$ 105.000 ao longo do ciclo de certificação de três anos para uma avaliação C3PAO Nível 2 de pequena entidade, e isso cobre apenas a avaliação, e não o trabalho de segurança por trás dela. A autoavaliação de Nível 1 custa cerca de US$ 6.000 por ano, enquanto um caminho de autoavaliação de Nível 2 totaliza aproximadamente US$ 37.000 ao longo de três anos. Com mais de 100.000 pequenas empresas no escopo, o preço agregado parecia uma barreira de entrada exatamente para os fornecedores que o Pentágono diz que quer.
Segundo, a capacidade dos avaliadores. O número de C3PAOs credenciados não era suficiente para processar o volume de contratados que precisavam de certificação antes do prazo de novembro. Uma data de conformidade rígida, combinada com poucos avaliadores, criou um gargalo estrutural que o departamento não conseguia resolver dentro do cronograma existente. Mesmo os contratados dispostos a pagar não podiam ter certeza de serem avaliados a tempo.
Terceiro, alinhamento de políticas. A liderança de aquisição do departamento priorizou a velocidade de capacidade e as barreiras de entrada mais baixas para contratados pequenos e não tradicionais. Um ciclo de certificação de vários anos e alto custo foi avaliado como incompatível com essa diretriz, então a suspensão chegou junto com uma revisão abrangente conduzida por uma Força Tarefa de Reforma CMMC recém-formada. A mensagem pública foi que a própria cibersegurança não está sendo reduzida, apenas a burocracia para prová-la.
Nenhum desses motivos sugere que o requisito desapareça. A pressão de custos argumenta a favor um caminho mais barato, a escassez de avaliadores argumenta por um cronograma mais longo, e a reforma de aquisição argumenta por mecânicas mais simples. Cada um desses resultados ainda termina com você demonstrando conformidade. Orce de acordo.
O Que Isso Significa para o Seu Orçamento de Conformidade Agora
Comece dividindo seu orçamento de conformidade em três categorias, porque a suspensão trata cada uma delas de forma diferente.
A Categoria Um são os controles que você já deve. Detecção gerenciada, retenção de logs, autenticação multifator, cadência de correção, testes de backup, treinamento de conscientização de segurança e a documentação que prova tudo isso: nada disso foi suspenso. O DFARS 252.204-7012 ainda exige, a autoavaliação da Fase 1 ainda pontua e sua pontuação do SPRS ainda a divulga. Mantenha esse orçamento com força total. Cortar aqui não economiza dinheiro; fabrica achados para a eventual avaliação e enfraquece sua posição em cada licitação que pergunte sobre sua postura de segurança.
A Categoria Dois é a taxa de certificação adiada. Se você tinha um depósito de avaliação C3PAO programado ou uma avaliação de prontidão agendada para o outono, esse gasto se move, não desaparece. Não o reabsorva nos fundos gerais e espere que a data reagendada traga seu próprio orçamento. Guarde-o visivelmente como um valor reservado para que a futura avaliação não chegue como uma surpresa. Se você já pagou um depósito, esse pagamento é um ativo pago antecipadamente, não uma despesa, e seus registros devem dizer isso até que a avaliação realmente ocorra.
A Categoria Três é a higiene de evidências que se acumula de qualquer forma. Remediação de lacunas contra o NIST SP 800-171, manutenção de POA&M, rotinas de coleta de evidências e rastreamento do repasse para subcontratados se tornam mais baratos quanto mais cedo você os constrói e mais caros quanto mais tempo você os adia. Este é o lugar de maior retorno para redirecionar qualquer dinheiro de avaliação liberado. Um contratado com evidências limpas pode se mover rapidamente quando o novo cronograma aparecer; um contratado com um Plano de Segurança do Sistema obsoleto paga taxas de urgência pelo mesmo trabalho.
Mais um fato orçamentário a seu favor: os custos de conformidade são geralmente tratados como permitidos em contratos de defesa. O departamento afirmou que os custos de conformidade com o DFARS 252.204-7012 são provavelmente permitidos e atribuíveis a pools de custo indireto, e os custos de certificação foram descritos como um custo permitido e reembolsável. Permitido não significa automático, e não significa lucrativo, mas significa que o rastreamento disciplinado converte o gasto de conformidade de despesa pura em um custo contratual documentado. Isso só funciona se seus registros puderem mostrar exatamente no que você gastou, em qual requisito e quando.
Registre a Pausa Corretamente: Mantenha o Dinheiro da Avaliação Visível
O erro contábil que a suspensão convida é borrar essas categorias. Um depósito pago para uma avaliação agora adiada é registrado como despesa como se a avaliação tivesse ocorrido. Assinaturas de ferramentas são lançadas em TI genérica em vez do esforço de conformidade que apoiam. Faturas de prestadores de serviços de remediação se acumulam em uma conta sem conexão com as famílias de controle que endereçaram. Seis meses depois, ninguém consegue reconstruir o custo do programa ou a qual custo pertence um determinado valor.
Corrija isso com contas separadas desde o início: taxas de avaliação, ferramentas de segurança e trabalho de remediação têm sua própria conta de despesa, e qualquer pagamento por trabalho não realizado ainda está em ativos pagos antecipadamente até a entrega. Aqui está o padrão para um pequeno contratado que pagou um depósito de prontidão em junho, manteve suas ferramentas de detecção funcionando durante a suspensão e acumulou um sprint de remediação de julho contra duas famílias de controle do NIST:
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "Depósito de prontidão antes do prazo da Fase 2 de Novembro"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "Detecção gerenciada e retenção de logs em julho"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contratado" "Sprint de remediação NIST 800-171, famílias de controle de acesso e proteção de sistemas"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contratado" "Pagar fatura de remediação de julho"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USDNote o que a suspensão muda neste livro-razão: nada sobre as ferramentas ou a remediação, que eram sempre exigidas, e nada sobre o depósito,, que permanece onde está. Os US$ 15.000 continuam um ativo pago antecipadamente porque a avaliação que ele paga é adiada, não cancelada. Registrá-la como despesa agora superestimaria o custo de conformidade deste ano e depois subestimaria o custo do ano da avaliação quando a fatura chegar contra um pagamento já esquecido. Se você mantém seus livros em texto simples, os padrões de rastreamento de custos nos documentos se estendem naturalmente a uma divisão de conformidade por requisito como este.
Nomeie o requisito em cada narração. Quando uma avaliação futura, uma consulta do DCAA ou seu próprio processo de fechamento perguntar a que um encargo se refere, a narração é a resposta. "Sprint de remediação, famílias de controle de acesso e proteção de sistemas" sobrevive ao escrutínio; "consultoria" não.
Quatro Erros Que Transformam uma Pausa em uma Penalidade
A suspensão é generosa, mas pune quatro comportamentos específicos.
Primeiro, ficar em silêncio no SPRS. Sua pontuação de autoavaliação ainda é sua postura de segurança pública, e os contratados principais ainda a verificam antes de conceder subcontratos. Uma pontuação que decai porque você parou de atualizá-la é pior do que uma pontuação modesta que você mantém ativamente. Mantenha a avaliação atualizada e continue fechando os POA&Ms dentro do cronograma.
Segundo, congelar a remediação no meio do processo. Log migrado pela metade, ferramenta de acesso privilegiado parcialmente implantada, documentação que descreve a arquitetura antiga: projetos em pausa decaem mais rápido do que as operações de estado estável. Ou você termina o controle ou o reescala formalmente; não o deixe meio construído até que o novo prazo force um reinício em taxas de urgência.
Terceiro, misturar custos de conformidade com TI geral. O tratamento de permitibilidade acima depende da identificação. Se sua plataforma de detecção, seu depósito de avaliador e seus laptops de escritório fluírem por uma única conta de TI, você não pode demonstrar quais valores apoiaram um requisito contratual. Contas separadas não custam nada para manter e são a diferença entre um custo indireto documentado e uma disputa.
Quarto, deixar a responsabilidade do subcontratado expirar. Se você é um contratado principal, seus subcontratados que lidam com informações de contratos federais ou CUI ainda herdam obrigações através de seus contratos, independentemente da pausa na Fase II. Se você é um subcontratado, os requisitos do seu contratado principal não foram suspensos por um anúncio em nível de departamento. Revise as cláusulas de repasse agora, enquanto ninguém está auditando, em vez de descobrir uma lacuna durante a execução.
O Que Observar a Seguir
Três sinais lhe dirão como a história terminará. As recomendações da Força Tarefa de Reforma devem ser divulgadas no outono de 2026 e esboçarão os mecanismos substitutos: possível reciprocidade com outros quadros, caminhos de avaliação em camadas ou um caminho mais longo para pequenas empresas. Fique atento a uma nova data de vigência da Fase II, que redefine qualquer suposição de planejamento neste post no dia em que for anunciada. E fique atento à sua própria caixa de entrada dos contratados principais, porque grandes contratados frequentemente impõem seus próprios requisitos de segurança de fornecedores mais rápido do que o departamento se mova, suspensão ou não.
Até lá, a postura vencedora é tediosa: mantenha sua casa da Fase 1 em ordem, mantenha sua pontuação do SPRS honestamente, mantenha a remediação financiada e mantenha cada dólar de conformidade em uma conta que nomeie o requisito que atendeu. Quando o novo cronograma chegar, você quer que a única surpresa seja o quão preparado você já está. O último passo útil é o menor de todos: abra seus livros esta semana e confirme que seu dinheiro de avaliação adiado está em um ativo pago antecipadamente, e não enterrado em uma conta de despesa onde o orçamento do próximo ano não conseguirá encontrá-lo.
