Včera mal byť ten deň. Od 10. novembra 2026 mali nadobudnúť účinnosť požiadavky CMMC fázy II a malí obranní dodávatelia, ktorí pracujú s kontrolovanými nezaradenými informáciami (CUI), by potrebovali certifikáciu treťou stranou, aby zostali spôsobilí uchádzať sa o nové zmluvy. Namiesto toho je požiadavka na ľade. Ministerstvo vojny pozastavilo fázu II už 13. júla 2026 potom, čo Správa pre malé podnikanie odhadla, že úplná certifikácia treťou stranou by mohla malú firmu stáť približne 593 800 dolárov, oproti približne 388 600 dolárom pre firmy spôsobilé pre cestu sebahodnotenia.
Ak držíte obranné zmluvy alebo na nich pôsobíte ako subdodávateľ, toto nie je príkaz na ukončenie činnosti. Je to udalosť prerokovania rozpočtu. Poplatok za hodnotenie, ktorého ste sa obávali, je odložený, ale každá základná bezpečnostná povinnosť je stále vymáhateľná a peniaze, ktoré ste už minuli, musia stále skončiť na správnych účtoch. Tento príspevok vysvetľuje, čo bolo skutočne pozastavené, prečo Pentagon stlačil pauzu a ako narábať s vaším rozpočtom na súlad tak, aby vám pauza ušetrila peniaze namiesto toho, aby rozhádzala vaše knihy.
Čo bolo pozastavené a čo nie
Pozastavenie sa zameriava na jeden konkrétny mechanizmus: povinnú požiadavku hodnotenia treťou stranou podľa fázy II. Dodávatelia pracujúci s CUI by potrebovali certifikáciu od certifikovanej organizácie hodnotenia treťou stranou, známej ako C3PAO, aby zostali spôsobilí pre kryté zmluvy. Táto certifikačná brána je teraz pozastavená do ukončenia komplexného preskúmania programu a nový dátum nebol stanovený.
Všetko ostatné bežalo ďalej. Požiadavky sebahodnotenia fázy 1 zostávajú plne v platnosti, čo znamená, že stále hodnotíte svoje vlastné systémy podľa NIST SP 800-171 Revízia 2 a odovzdávate svoje skóre prostredníctvom systému Supplier Performance Risk System. Klauzula DFARS 252.204-7012, základná zmluvná povinnosť chrániť kryté obranné informácie, je nezmenená a nedotknutá. Ak vaše zmluvy obsahujú túto klauzulu, vaša povinnosť chrániť informácie nikdy nezaváhala.
Predstavte si to takto: vláda pozastavila externý audit, nie domácu úlohu. Váš plán bezpečnosti systému (System Security Plan), vaše plány opatrení a míľnikov (POA&M) pre medzery, ktoré ste neuzavreli, vaša pripravenosť na reakciu na incidenty a vaše aktuálne skóre SPRS sú stále dôležité. Zodpovedný zmluvný úradník sa na ne stále môže opýtať a hlavný dodávateľ, ktorý na vás prenáša požiadavky, môže stále požadovať dôkazy. Firmy, ktoré budú pauzu považovať za dovolenku, budú tie, ktoré budú najviac zápasiť, keď príde nový časový plán.
Prečo Pentagon stlačil pauzu
Rozhodnutie podnietili tri faktory, vychádzajúc z vlastných verejných vyhlásení ministerstva a zo správ z odvetvia.
Po prvé, nákladové zaťaženie. Analýza SBA odhadla celkové náklady na súlad na približne 593 800 dolárov na certifikáciu pre malé firmy vyžadujúce hodnotenie treťou stranou. Táto suma zahŕňa nápravu, dokumentáciu, nástroje a poplatky za hodnotenie a pre firmy fungujúce na maržiach obranného sektora to údajne stačilo na to, aby niektoré vytlačilo z obrannej priemyselnej základne úplne. Vlastné užšie odhady ministerstva rozprávajú ten istý príbeh v menšom meradle: približne 105 000 dolárov za trojročný certifikačný cyklus pre hodnotenie C3PAO Level 2 malého subjektu, a to pokrýva iba samotné hodnotenie, nie bezpečnostnú prácu za ním. Sebahodnotenie Level 1 stojí približne 6 000 dolárov ročne, zatiaľ čo cesta sebahodnotenia Level 2 predstavuje približne 37 000 dolárov za tri roky. S viac ako 100 000 malými podnikmi v rozsahu vyzerala súhrnná cenovka ako prekážka vstupu presne pre tých dodávateľov, ktorých Pentagon podľa vlastných slov chce.
Po druhé, kapacita hodnotiteľov. Počet akreditovaných C3PAO nebol dostatočný na spracovanie objemu dodávateľov potrebujúcich certifikáciu pred novembrovým termínom. Pevný termín súladu spojený s príliš malým počtom hodnotiteľov vytvoril štrukturálne úzke hrdlo, ktoré ministerstvo nedokázalo vyriešiť v rámci existujúceho časového plánu. Dokonca ani dodávatelia ochotní zaplatiť si nemohli byť istí, že budú včas ohodnotení.
Po tretie, zladenie politík. Vedenie obstarávania ministerstva uprednostnilo rýchlosť ku schopnostiam a nižšie prekážky vstupu pre malých a netradičných dodávateľov. Viacročný, vysokonákladový certifikačný cyklus bol vyhodnotený ako nezlučiteľný s touto smernicou, a tak pozastavenie prišlo spolu s komplexným preskúmaním, ktoré vedie novovytvorená pracovná skupina CMMC Reform Task Force. Verejný odkaz bol, že samotná kybernetická bezpečnosť sa neznižuje, iba byrokracia okolo jej preukazovania.
Žiadny z týchto dôvodov nenaznačuje, že požiadavka zmizne. Tlak na náklady hovorí za lacnejšiu cestu, nedostatok hodnotiteľov za dlhší časový plán a reforma obstarávania za jednoduchšiu mechaniku. Každý z týchto výsledkov stále končí tým, že preukazujete súlad. Rozpočítajte podľa toho.
Čo to znamená pre váš rozpočet na súlad práve teraz
Začnite rozdelením rozpočtu na súlad do troch košov, pretože pozastavenie zaobchádza s každým inak.
Kôš jedna sú kontroly, ktoré už dlhujete. Manažované odhaľovanie, uchovávanie záznamov, viacfaktorová autentifikácia, cyklus záplatovania, testovanie záloh, školenia o bezpečnostnom povedomí a dokumentácia preukazujúca to všetko: nič z toho nebolo pozastavené. DFARS 252.204-7012 to stále vyžaduje, sebahodnotenie fázy 1 to stále hodnotí a vaše skóre SPRS to stále zverejňuje. Financujte tento kôš v plnej sile. Škrtanie tu nešetrí peniaze; vyrába zistenia pre prípadné hodnotenie a oslabuje vašu pozíciu v každej ponuke, ktorá sa pýta na váš bezpečnostný profil.
Kôš dva je odložený certifikačný poplatok. Ak ste mali naplánovaný zálohový vklad na hodnotenie C3PAO alebo na jeseň naplánované hodnotenie pripravenosti, tieto výdavky sa presúvajú, nezmiznú. Nepohltite ich späť do všeobecných fondov a nedúfajte, že preložený termín prinesie vlastný rozpočet. Odložte ich viditeľne ako rezervovanú sumu, aby budúce hodnotenie neprišlo ako prekvapenie. Ak ste už zaplatili zálohu, táto platba je predplatené aktívum, nie výdavok, a vaše knihy by to mali hovoriť, kým sa hodnotenie skutočne neuskutoční.
Kôš tri je hygiena dôkazov, ktorá sa kumuluje tak či tak. Náprava medzier podľa NIST SP 800-171, údržba POA&M, rutiny zberu dôkazov a sledovanie prenosu požiadaviek na subdodávateľov sú lacnejšie, čím skôr ich vybudujete, a drahšie, čím dlhšie ich odkladáte. Toto je miesto s najvyššou návratnosťou na presmerovanie akýchkoľvek uvoľnených prostriedkov z hodnotenia. Dodávateľ s čistými dôkazmi sa dokáže pohnúť rýchlo, keď sa objaví nový časový plán; dodávateľ so zastaraným plánom bezpečnosti systému platí zrýchlené sadzby za tú istú prácu.
Ešte jeden rozpočtový fakt vo váš prospech: náklady na súlad sa vo všeobecnosti považujú za prípustné pri obranných zmluvách. Ministerstvo uviedlo, že náklady na dodržiavanie DFARS 252.204-7012 sú pravdepodobne prípustné a účtovateľné do nepriamych nákladových fondov a náklady na certifikáciu boli opísané ako prípustný, preplácateľný náklad. Prípustné neznamená automatické a neznamená ziskové, ale znamená, že disciplinované sledovanie mení výdavky na súlad z čistej réžie na zdokumentovaný zmluvný náklad. To funguje iba vtedy, ak vaše knihy dokážu ukázať presne, čo ste minuli, na ktorú požiadavku a kedy.
Zaúčtujte pauzu správne: Udržujte peniaze na hodnotenie viditeľné
Účtovná chyba, ku ktorej pauza zvádza, je rozmazanie týchto košov dohromady. Záloha zaplatená na teraz odložené hodnotenie sa zaúčtuje ako výdavok, akoby sa hodnotenie uskutočnilo. Predplatné nástrojov sa zaúčtuje do všeobecného IT namiesto úsilia o súlad, ktoré podporuje. Faktúry od dodávateľov nápravy sa hromadia na jednom účte bez spojenia s rodinami kontrol, ktoré riešili. O šesť mesiacov neskôr nikto nedokáže zrekonštruovať, čo program stál alebo ktoré doláre patria do nepriameho fondu.
Opravte to samostatnými účtami od začiatku: poplatky za hodnotenie, bezpečnostné nástroje a práca na náprave každé dostanú vlastný nákladový účet a akákoľvek platba za prácu, ktorá ešte nebola vykonaná, zostáva v predplatenom aktíve až do dodania. Tu je vzor pre malého dodávateľa, ktorý v júni zaplatil zálohu na pripravenosť, nechal svoje nástroje na odhaľovanie bežať počas pauzy a v júli naakumuloval nápravný šprint proti dvom rodinám kontrol NIST:
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "Readiness deposit ahead of November Phase 2 deadline"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "July managed detection and log retention"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contractor" "NIST 800-171 remediation sprint, access control and system protection families"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contractor" "Pay July remediation invoice"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USDVšimnite si, čo pozastavenie mení v tejto knihe: nič na nástrojoch ani na náprave, ktoré boli vždy požadované, a nič na zálohe, ktorá zostáva presne tam, kde je. Tých 15 000 dolárov zostáva predplateným aktívom, pretože hodnotenie, ktoré platí, je odložené, nie zrušené. Zaúčtovanie do výdavkov teraz by nadhodnotilo tohtoročné náklady na súlad a potom podhodnotilo náklady roka hodnotenia, keď faktúra príde proti už zabudnutej platbe. Ak vediete knihy v čistom texte, vzory sledovania nákladov v dokumentácii sa prirodzene rozširujú na takéto rozdelenie súladu podľa požiadaviek.
Pomenujte požiadavku v každom popise. Keď sa budúce hodnotenie, vyšetrovanie DCAA alebo váš vlastný proces uzávierky pýtať, na čo bol poplatok, popis je odpoveď. „Nápravný šprint, rodiny kontroly prístupu a ochrany systému" prežije kontrolu; „poradenstvo" nie.
Štyri chyby, ktoré menia pauzu na pokutu
Pozastavenie je veľkorysé, ale trestá štyri konkrétne správania.
Po prvé, stíchnutie o SPRS. Vaše skóre sebahodnotenia je stále váš verejný bezpečnostný profil a hlavní dodávatelia ho stále kontrolujú pred zadávaním subdodávok. Skóre, ktoré sa zhoršuje, pretože ste ho prestali aktualizovať, vyzerá horšie ako skromné skóre, ktoré aktívne udržiavate. Udržujte hodnotenie aktuálne a uzatvárajte POA&M podľa plánu.
Po druhé, zmrazenie nápravy v polovici. Napoly migrované záznamy, čiastočne zavedený nástroj privilehovaného prístupu, dokumentácia popisujúca starú architektúru: pozastavené projekty chátrajú rýchlejšie ako stabilné operácie. Buď kontrolu dokončite, alebo ju formálne prehodnoťte; nenechávajte ju napoly postavenú, kým nový termín nevynúti reštart za zrýchlené sadzby.
Po tretie, miešanie nákladov na súlad so všeobecným IT. Vyššie uvedené zaobchádzanie s prípustnosťou závisí od identifikácie. Ak vaša platforma na odhaľovanie, váš vklad u hodnotiteľa a vaše kancelárske notebooky prúdia cez jeden IT účet, nemôžete preukázať, ktoré doláre podporili zmluvnú požiadavku. Samostatné účty nestoja nič na údržbu a sú rozdielom medzi zdokumentovaným nepriamym nákladom a argumentom.
Po štvrté, povolenie zlyhania prenosu požiadaviek na subdodávateľov. Ak ste hlavný dodávateľ, vaši subdodávatelia pracujúci s federálnymi zmluvnými informáciami alebo CUI stále dedia povinnosti prostredníctvom vašich zmlúv bez ohľadu na pauzu fázy II. Ak ste subdodávateľ, požiadavky vášho hlavného dodávateľa neboli pozastavené oznámením na úrovni ministerstva. Preskúmajte klauzuly o prenose teraz, kým nikto neaudituje, namiesto objavenia medzery počas plnenia.
Čo sledovať ďalej
Tri signály vám povedia, ako sa príbeh skončí. Odporúčania pracovnej skupiny Reform Task Force sa očakávali na jeseň 2026 a načrtnú mechaniku náhrady: možnú reciprocitu s inými rámcami, vrstvené cesty hodnotenia alebo dlhšiu postupnú cestu pre malé firmy. Sledujte nový dátum účinnosti fázy II, ktorý v deň oznámenia resetuje každý plánovací predpoklad v tomto príspevku. A sledujte svoju vlastnú schránku od hlavných dodávateľov, pretože veľkí dodávatelia často ukladajú vlastné bezpečnostné požiadavky na dodávateľov rýchlejšie, ako sa ministerstvo hýbe, s pauzou alebo bez nej.
Dovtedy je víťazná pozícia nudná: udržujte svoj dom fázy 1 v poriadku, udržujte svoje skóre SPRS čestné, udržujte nápravu financovanú a udržujte každý dolár na súlad na účte, ktorý pomenúva požiadavku, ktorej slúžil. Keď príde nový časový plán, chcete, aby jediným prekvapením bolo, akí ste už pripravení. Posledný užitočný krok je ten najmenší: otvorte tento týždeň svoje knihy a potvrďte, že vaše odložené peniaze na hodnotenie sedia v predplatenom aktíve, nie zakopané v nákladovom účte, kde ich budúcoročný rozpočet nenájde.
