Вчера должен был наступить крайний срок. 10 ноября 2026 года требования CMMC Фазы II должны были вступить в силу, и малым оборонным подрядчикам, работающим с контролируемой несекретной информацией, потребовалась бы сертификация третьей стороной, чтобы сохранить право на получение новых контрактов. Вместо этого требование заморожено. Министерство обороны приостановило Фазу II ещё 13 июля 2026 года, после того как Администрация малого бизнеса оценила, что полная сертификация третьей стороной может обойтись малой фирме примерно в $593 800 против примерно $388 600 для фирм, имеющих право на путь самооценки.
Если у вас есть оборонные контракты или вы работаете субподрядчиком по ним, это не приказ об отступлении. Это повод пересмотреть бюджет. Оценка, которой вы опасались, отложена, но каждое основополагающее обязательство по безопасности по-прежнему подлежит исполнению, а деньги, которые вы уже потратили, всё равно должны попасть на правильные счета. В этой статье объясняется, что именно было приостановлено, почему Пентагон взял паузу и как распорядиться своим бюджетом на соответствие требованиям, чтобы пауза сэкономила вам деньги, а не запутала ваши книги.
Что было приостановлено, а что нет
Приостановка касается одного конкретного механизма: обязательного требования о проверке третьей стороной в рамках Фазы II. Подрядчикам, работающим с контролируемой несекретной информацией, потребовалась бы сертификация от аккредитованной организации по оценке третьей стороной — Certified Third-Party Assessment Organization, или C3PAO, — чтобы сохранить право на охваченные контракты. Этот сертификационный барьер теперь приостановлен до проведения всесторонней проверки программы, и новая дата не назначена.
Всё остальное продолжало работать. Требования самооценки Фазы 1 остаются в полной силе, а значит, вы по-прежнему оцениваете свои системы на соответствие NIST SP 800-171 редакции 2 и подаёте свои баллы через Систему оценки рисков эффективности поставщиков (Supplier Performance Risk System, SPRS). Пункт DFARS 252.204-7012 — основополагающее контрактное обязательство по защите охваченной оборонной информации — не изменён и не затронут. Если ваши контракты содержат этот пункт, ваша обязанность защищать информацию ни на миг не приостанавливалась.
Думайте об этом так: правительство приостановило внешний аудит, а не домашнее задание. Ваш план обеспечения безопасности системы (System Security Plan), ваши планы действий и контрольных точек (Plans of Action and Milestones) по не закрытым пробелам, ваша готовность к реагированию на инциденты и ваш текущий балл SPRS — всё это по-прежнему важно. Контрактный офицер всё ещё может о них спросить, а головной подрядчик, передающий вам требования по цепочке, всё ещё может потребовать доказательств. Фирмы, которые воспримут приостановку как отпуск, будут отчаяннее всех наверстывать упущенное, когда появится новый график.
Почему Пентагон взял паузу
По данным собственных публичных заявлений ведомства и отраслевых публикаций, решение определили три фактора.
Во-первых, бремя затрат. Анализ SBA оценил общие расходы на соответствие примерно в $593 800 на сертификацию для малых фирм, которым требуется оценка третьей стороной. Эта цифра объединяет устранение недостатков, документацию, инструменты и стоимость оценки, и, по сообщениям, для фирм, работающих на грани рентабельности в оборонном секторе, этого было достаточно, чтобы некоторые из них полностью покинули оборонную промышленную базу. Собственные более узкие оценки ведомства рассказывают ту же историю в меньшем масштабе: примерно $105 000 за трёхлетний цикл сертификации для оценки C3PAO уровня 2 для малого предприятия, и это покрывает только саму оценку, а не работу по обеспечению безопасности за ней. Самооценка уровня 1 стоит около $6 000 в год, а путь самооценки уровня 2 в сумме составляет примерно $37 000 за три года. При более чем 100 000 малых предприятий в зоне охвата совокупная цена выглядела как барьер для входа именно для тех поставщиков, которых Пентагон, по его словам, хочет видеть.
Во-вторых, возможности оценщиков. Числа аккредитованных C3PAO не хватало, чтобы обработать объём подрядчиков, нуждающихся в сертификации до ноябрьского крайнего срока. Жёсткая дата соответствия в сочетании со слишком малым числом оценщиков создали структурное узкое место, которое ведомство не могло устранить в рамках существующего графика. Даже подрядчики, готовые платить, не могли быть уверены, что их успеют оценить.
В-третьих, согласованность политики. Руководство ведомства по закупкам отдало приоритет скорости получения возможностей и снижению барьеров для входа для малых и нетрадиционных подрядчиков. Многолетний дорогостоящий цикл сертификации был оценён как несовместимый с этой директивой, поэтому приостановка сопровождалась всесторонней проверкой, проводимой недавно созданной Целевой группой по реформированию CMMC. Публичный посыл был таков: сама кибербезопасность не снижается, снижается лишь бюрократия вокруг подтверждения её соблюдения.
Ни одна из этих причин не предполагает, что требование исчезнет. Давление затрат говорит в пользу более дешёвого пути, нехватка оценщиков — в пользу более длительного графика, а реформа закупок — в пользу более простых механизмов. Каждый из этих исходов всё равно заканчивается тем, что вы демонстрируете соответствие. Планируйте бюджет соответственно.
Что это означает для вашего бюджета на соответствие требованиям прямо сейчас
Начните с разделения бюджета на соответствие требованиям на три корзины, потому что приостановка относится к каждой из них по-разному.
Корзина первая — меры контроля, которые вы уже обязаны применять. Управляемое обнаружение, хранение журналов, многофакторная аутентификация, регулярность установки патчей, тестирование резервных копий, обучение осведомлённости о безопасности и документация, подтверждающая всё это: ничто из этого не было приостановлено. DFARS 252.204-7012 по-прежнему этого требует, самооценка Фазы 1 по-прежнему это оценивает, а ваш балл SPRS по-прежнему это отражает. Продолжайте финансировать эту корзину в полном объёме. Сокращения здесь не экономят деньги; они создают замечания для будущей оценки и ослабляют вашу позицию в каждой заявке, где спрашивают о вашей системе безопасности.
Корзина вторая — отложенная стоимость сертификации. Если у вас был запланирован депозит за оценку C3PAO или оценка готовности, намеченная на осень, эти расходы переносятся, а не исчезают. Не возвращайте их в общие фонды в надежде, что перенесённая дата принесёт свой собственный бюджет. Отложите их на виду как зарезервированную сумму, чтобы будущая оценка не стала неожиданностью. Если вы уже внесли депозит, этот платёж является предоплаченным активом, а не расходом, и ваши книги должны это отражать, пока оценка фактически не состоится.
Корзина третья — гигиена доказательств, которая накапливается в любом случае. Устранение пробелов по NIST SP 800-171, ведение POA&M, процедуры сбора доказательств и отслеживание передачи требований субподрядчикам — всё это обходится дешевле, чем раньше вы их выстроите, и дороже, чем дольше вы их откладываете. Это место с наибольшей отдачей для перенаправления любой высвободившейся суммы на оценку. Подрядчик с чистыми доказательствами может действовать быстро, когда появится новый график; подрядчик с устаревшим планом обеспечения безопасности платит по срочным ставкам за ту же работу.
Ещё один факт о бюджете в вашу пользу: расходы на соответствие требованиям, как правило, считаются допустимыми по оборонным контрактам. Ведомство заявило, что расходы на соблюдение DFARS 252.204-7012, вероятно, допустимы и относятся на пулы косвенных затрат, а расходы на сертификацию описывались как допустимые и подлежащие возмещению. «Допустимый» не означает «автоматический» и не означает «прибыльный», но означает, что дисциплинированный учёт превращает расходы на соответствие требованиям из чистых накладных расходов в документально подтверждённую стоимость контракта. Это работает только в том случае, если ваши книги могут показать, что именно вы потратили, на какое требование и когда.
Отражайте паузу правильно: держите деньги на оценку на виду
Бухгалтерская ошибка, к которой подталкивает приостановка, — это смешение этих корзин. Депозит, внесённый за ныне отложенную оценку, списывается в расходы так, будто оценка состоялась. Подписки на инструменты записываются на общие ИТ-счета вместо усилий по обеспечению соответствия, которые они поддерживают. Счета подрядчиков по устранению недостатков сваливаются в один счёт без привязки к семействам мер контроля, которые они затрагивали. Через полгода никто не может восстановить, во что обошлась программа или какие доллары относятся к пулу косвенных затрат.
Исправьте это с помощью отдельных счетов с самого начала: стоимость оценок, инструменты безопасности и труд по устранению недостатков получают каждый свой счёт расходов, а любой платёж за ещё не выполненную работу находится на счёте предоплаченных активов до поставки. Вот схема для малого подрядчика, который в июне внёс депозит за оценку готовности, продолжал использовать свои инструменты обнаружения в течение приостановки и начислил расходы на июльский спринт по устранению недостатков по двум семействам мер контроля NIST:
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "Readiness deposit ahead of November Phase 2 deadline"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "July managed detection and log retention"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contractor" "NIST 800-171 remediation sprint, access control and system protection families"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contractor" "Pay July remediation invoice"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USDОбратите внимание, что приостановка меняет в этой книге: ничего в части инструментов или устранения недостатков, которые всегда требовались, и ничего в части депозита, который остаётся там, где он есть. $15 000 остаются предоплаченным активом, потому что оценка, за которую они платят, отложена, а не отменена. Списание их в расходы сейчас завысило бы стоимость соответствия за этот год и затем занизило бы стоимость года оценки, когда счёт придёт против уже забытого платежа. Если вы ведёте книги в простом тексте, шаблоны отслеживания затрат в документации естественно распространяются на такое разделение соответствия по требованиям.
Называйте требование в каждом описании операции. Когда будущая оценка, запрос DCAA или ваш собственный процесс закрытия спросит, за что был платёж, ответом будет описание. «Спринт по устранению недостатков, семейства контроля доступа и защиты системы» выдерживает проверку; «консалтинг» — нет.
Четыре ошибки, которые превращают паузу в наказание
Приостановка великодушна, но она наказывает за четыре конкретные модели поведения.
Во-первых, молчание в отношении SPRS. Ваш балл самооценки по-прежнему отражает вашу публичную систему безопасности, и головные подрядчики по-прежнему проверяют его перед заключением субподрядов. Балл, который снижается из-за того, что вы перестали его обновлять, выглядит хуже, чем скромный балл, который вы активно поддерживаете. Держите оценку актуальной и закрывайте POA&M по графику.
Во-вторых, замораживание устранения недостатков на полпути. Наполовину мигрированное ведение журналов, частично развёрнутый инструмент привилегированного доступа, документация, описывающая старую архитектуру: приостановленные проекты деградируют быстрее, чем текущие операции. Либо завершите меру контроля, либо официально пересмотрите её объём; не оставляйте её наполовину построенной, пока новый крайний срок не вынудит начать заново по срочным ставкам.
В-третьих, смешение расходов на соответствие с общими ИТ. Признание затрат допустимыми, как указано выше, зависит от идентификации. Если ваша платформа обнаружения, ваш депозит оценщику и ваши офисные ноутбуки проходят через один ИТ-счёт, вы не можете показать, какие доллары поддерживали требование контракта. Отдельные счета ничего не стоит поддерживать, и это разница между документально подтверждённой косвенной стоимостью и спором.
В-четвёртых, допущение перерыва в передаче требований субподрядчикам. Если вы головной подрядчик, ваши субподрядчики, работающие с федеральной контрактной информацией или контролируемой несекретной информацией, по-прежнему наследуют обязательства через ваши контракты независимо от паузы Фазы II. Если вы субподрядчик, требования вашего головного подрядчика не были приостановлены объявлением на уровне ведомства. Пересмотрите пункты о передаче требований сейчас, пока никто не проводит аудит, а не обнаруживайте пробел во время исполнения контракта.
За чем следить дальше
Три сигнала скажут вам, чем закончится история. Рекомендации Целевой группы по реформированию ожидались осенью 2026 года и обрисуют механизмы замены: возможную взаимность с другими фреймворками, многоуровневые пути оценки или более длительный переходный период для малых фирм. Следите за новой датой вступления в силу Фазы II, которая в день объявления обнулит все плановые допущения из этой статьи. И следите за своей почтой от головных подрядчиков, потому что крупные подрядчики часто вводят свои собственные требования к безопасности поставщиков быстрее, чем движется ведомство, независимо от приостановки.
А до тех пор выигрышная позиция скучна: держите свой дом Фазы 1 в порядке, держите балл SPRS честным, держите устранение недостатков профинансированным и держите каждый доллар на соответствие на счёте, который называет требование, которому он служил. Когда появится новый график, вы хотите, чтобы единственной неожиданностью было то, насколько вы уже готовы. Последний полезный шаг — самый маленький: откройте свои книги на этой неделе и убедитесь, что ваши отложенные деньги на оценку лежат в предоплаченном активе, а не погребены на счёте расходов, где бюджет следующего года их не найдёт.
