Вчора мав бути кінцевий термін. 10 листопада 2026 року мали набути чинності вимоги CMMC Фази II, і малі оборонні підрядники, які працюють з контрольованою некласифікованою інформацією (CUI), потребували б сторонньої сертифікації, щоб зберегти право на нові контрактні нагороди. Натомість вимогу заморожено. Департамент війни призупинив Фазу II ще 13 липня 2026 року, після того як Управління з питань малого бізнесу (SBA) оцінило, що повна стороння сертифікація може коштувати малій фірмі приблизно $593 800, порівняно з приблизно $388 600 для фірм, які мають право на шлях самооцінки.
Якщо ви маєте оборонні контракти або виступаєте субпідрядником за ними, це не наказ скласти зброю. Це привід переглянути бюджет. Комісія за оцінювання, якої ви остерігалися, відкладена, але кожне базове зобов'язання щодо безпеки досі підлягає виконанню, і гроші, які ви вже витратили, все одно мають потрапити на правильні рахунки. Цей пост пояснює, що саме було призупинено, чому Пентагон взяв паузу, і як поводитися з бюджетом на відповідність, щоб пауза заощадила вам гроші, а не заплутала ваші книги.
Що призупинили, а що ні
Призупинення стосується одного конкретного механізму: обов'язкової вимоги стороннього оцінювання за Фазою II. Підрядники, які працюють з CUI, потребували б сертифікації від Сертифікованої організації стороннього оцінювання (C3PAO), щоб зберегти право на охоплені контракти. Цей сертифікаційний бар'єр тепер на паузі до завершення комплексного перегляду програми, і нової дати не встановлено.
Все інше продовжувало працювати. Вимоги самооцінки Фази 1 залишаються чинними повною мірою, що означає, що ви все ще оцінюєте власні системи відповідно до NIST SP 800-171 Редакції 2 і подаєте свої оцінки через Систему оцінки ризиків ефективності постачальників (SPRS). Пункт DFARS 252.204-7012, базове контрактне зобов'язання щодо захисту охопленої оборонної інформації, не змінено і не порушено. Якщо ваші контракти містять цей пункт, ваш обов'язок захищати інформацію ніколи не призупинявся.
Подумайте про це так: уряд призупинив зовнішній аудит, а не домашнє завдання. Ваш план забезпечення безпеки системи (SSP), ваші плани дій і віх (POA&M) щодо прогалин, які ви не закрили, ваша готовність до реагування на інциденти та ваш поточний бал SPRS — усе це досі має значення. Офіцер з контрактів досі може про них запитати, а генеральний підрядник, що передає вам вимоги, досі може вимагати доказів. Фірми, які сприймуть призупинення як відпустку, будуть тими, хто найбільше гарячково метатиметься, коли з'явиться новий графік.
Чому Пентагон взяв паузу
Три чинники зумовили рішення, виходячи з власних публічних заяв департаменту та галузевих звітів.
По-перше, витратне навантаження. Аналіз SBA оцінив загальні витрати на відповідність приблизно у $593 800 за сертифікацію для малих фірм, які потребують стороннього оцінювання. Ця цифра об'єднує виправлення недоліків, документацію, інструменти та комісії за оцінювання, і для фірм, що працюють на оборонних маржах, ї, за повідомленнями, було достатньо, щоб витіснити деяких з Оборонно-промислової бази повністю. Власні вужчі оцінки департаменту розповідають ту саму історію в меншому масштабі: приблизно $105 000 за трирічний цикл сертифікації для оцінювання C3PAO рівня 2 малої організації, і це покриває лише саме оцінювання, а не роботу з безпеки за ним. Самооцінка рівня 1 коштує близько $6 000 на рік, тоді як шлях самооцінки рівня 2 становить приблизно $37 000 за три роки. З понад 100 000 малих підприємств у сфері охоплення сукупна ціна виглядала як бар'єр для входу саме для тих постачальників, яких Пентагон, за його словами, хоче залучити.
По-друге, спроможність оцінювачів. Кількості акредитованих C3PAO було недостатньо, щоб опрацювати обсяг підрядників, які потребували сертифікації до листопадового терміну. Жорстка дата відповідності у поєднанні з надто малою кількістю оцінювачів створили структурне вузьке місце, яке департамент не міг вирішити в межах наявного графіка. Навіть підрядники, готові платити, не могли бути впевнені, що їх оцінять вчасно.
По-третє, узгодженість політики. Керівництво департаменту із закупівель надало пріоритет швидкості досягнення спроможності та нижчим бар'єрам для входу для малих і нетрадиційних підрядників. Багаторічний цикл сертифікації з високою вартістю було оцінено як несумісний із цією директивою, тому призупинення відбулося разом із комплексним переглядом, який проводить новостворена Робоча група з реформування CMMC. Публічне повідомлення було таким: кібербезпека сама по собі не зменшується, лише бюрократична тяганина навколо її підтвердження.
Жодна з цих причин не припускає, що вимога зникає. Тиск витрат свідчить на користь дешевшого шляху, брак оцінювачів — на користь довшого графіка, а реформа закупівель — на користь простіших механізмів. Кожен із цих результатів усе одно закінчується тим, що ви демонструєте відповідність. Плануйте бюджет відповідно.
Що це означає для вашого бюджету на відповідність прямо зараз
Почніть із розподілу бюджету на відповідність на три кошики, бо призупинення ставиться до кожного з них по-різному.
Кошик перший — контроли, які ви вже зобов'язані мати. Кероване виявлення, зберігання журналів, багатофакторна автентифікація, періодичність виправлень, тестування резервних копій, навчання з обізнаності про безпеку та документація, що підтверджує все це: нічого з цього не призупинено. DFARS 252.204-7012 досі цього вимагає, самооцінка Фази 1 досі це оцінює, а ваш бал SPRS досі це демонструє. Продовжуйте фінансувати цей кошик на повну силу. Скорочення тут не заощаджують гроші; вони створюють зауваження для майбутнього оцінювання і послаблюють вашу позицію в кожній пропозиції, де запитують про ваш стан безпеки.
Кошик другий — відкладена комісія за сертифікацію. Якщо у вас був запланований депозит за оцінювання C3PAO або оцінювання готовності на осінь, ці витрати переміщуються, а не зникають. Не повертайте їх у загальні фонди й не сподівайтеся, що перенесена дата принесе власний бюджет. Відкладіть їх помітно як зарезервовану суму, щоб майбутнє оцінювання не прийшло несподіванкою. Якщо ви вже сплатили депозит, цей платіж є передплаченим активом, а не витратою, і ваші книги мають це відображати, доки оцінювання фактично не відбудеться.
Кошик третій — гігієна доказів, яка накопичується в будь-якому разі. Виправлення прогалин відповідно до NIST SP 800-171, ведення POA&M, процедури збору доказів і відстеження передачі вимог субпідрядникам — усе це дешевшає, чим раніше ви це збудуєте, і дорожчає, чим довше ви це відкладаєте. Це місце з найвищою віддачею, куди можна перенаправити звільнені гроші на оцінювання. Підрядник із чистими доказами може швидко рухатися, коли з'явиться новий графік; підрядник із застарілим планом забезпечення безпеки системи платить за прискореними тарифами за ту саму роботу.
Ще один факт про бюджет на вашу користь: витрати на відповідність зазвичай вважаються допустимими за оборонними контрактами. Департамент заявив, що витрати на дотримання DFARS 252.204-7012, ймовірно, є допустимими і можуть відноситися на пули непрямих витрат, а витрати на сертифікацію описувалися як допустимі та відшкодовувані. Допустимий не означає автоматичний, і це не означає прибутковий, але це означає, що дисциплінований облік перетворює витрати на відповідність із чистих накладних витрат на задокументовану витрату за контрактом. Це працює лише тоді, коли ваші книги можуть показати точно, що ви витратили, на яку вимогу і коли.
Занотуйте паузу правильно: тримайте гроші на оцінювання на видноті
Бухгалтерська помилка, до якої спонукає призупинення, — це розмивання цих кошиків разом. Депозит, сплачений за тепер відкладене оцінювання, списується як витрата, наче оцінювання відбулося. Підписки на інструменти записуються на загальні ІТ, а не на зусилля з відповідності, які вони підтримують. Рахунки підрядника з виправлення недоліків накопичуються в одному рахунку без зв'язку із сімействами контролів, які вони стосувалися. Через шість місяців ніхто не може відтворити, скільки коштувала програма або які долари належать до пулу непрямих витрат.
Виправте це, завівши окремі рахунки з самого початку: комісії за оцінювання, інструменти безпеки та праця з виправлення недоліків отримують кожен власний рахунок витрат, а будь-який платіж за ще не виконану роботу перебуває в передплаченому активі до постачання. Ось шаблон для малого підрядника, який сплатив депозит за готовність у червні, підтримував роботу інструментів виявлення протягом призупинення і нарахував липневий спринт з виправлення недоліків щодо двох сімейств контролів NIST:
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "Депозит за готовність напередодні листопадового терміну Фази 2"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "Липневе кероване виявлення та зберігання журналів"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contractor" "Спринт з виправлення недоліків NIST 800-171, сімейства контролю доступу та захисту систем"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contractor" "Сплатити липневий рахунок за виправлення недоліків"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USDЗверніть увагу, що призупинення змінює в цьому реєстрі: нічого щодо інструментів або виправлення недоліків, які завжди були потрібні, і нічого щодо депозиту, який залишається саме там, де він є. $15 000 залишаються передплаченим активом, бо оцінювання, яке він оплачує, відкладено, а не скасовано. Списання його зараз завищило б витрати на відповідність цього року і потім занизило б витрати року оцінювання, коли рахунок надійде проти вже забутого платежу. Якщо ви ведете книги в простому текстовому форматі, шаблони відстеження витрат у документації природно поширюються на такий розподіл відповідності за кожною вимогою.
Називайте вимогу в кожному описі. Коли майбутнє оцінювання, запит DCAA або ваш власний процес закриття запитає, за що була витрата, опис і є відповіддю. "Спринт з виправлення недоліків, сімейства контролю доступу та захисту систем" витримує перевірку; "консалтинг" — ні.
Чотири помилки, які перетворюють паузу на штраф
Призупинення щедре, але воно карає чотири конкретні моделі поведінки.
По-перше, затихання щодо SPRS. Ваш бал самооцінки досі є вашим публічним станом безпеки, і генеральні підрядники досі його перевіряють перед наданням субпідрядів. Бал, що погіршується, бо ви перестали його оновлювати, читається гірше за скромний бал, який ви активно підтримуєте. Тримайте оцінку актуальною і закривайте POA&M за графіком.
По-друге, заморожування виправлення недоліків на півшляху. Напівперенесене журналювання, частково розгорнутий інструмент привілейованого доступу, документація, що описує стару архітектуру: призупинені проєкти занепадають швидше за стабільні операції. Або завершіть контроль, або формально перегляньте його межі; не залишайте його напівзбудованим, доки новий термін не змусить почати заново за прискореними тарифами.
По-третє, змішування витрат на відповідність із загальними ІТ. Режим допустимості, описаний вище, залежить від ідентифікації. Якщо ваша платформа виявлення, ваш депозит оцінювачу та ваші офісні ноутбуки проходять через один ІТ-рахунок, ви не можете продемонструвати, які долари підтримували контрактну вимогу. Окремі рахунки нічого не коштують у веденні й становлять різницю між задокументованою непрямою витратою та суперечкою.
По-четверте, занедбання передачі вимог субпідрядникам. Якщо ви генеральний підрядник, ваші субпідрядники, які працюють з федеральною контрактною інформацією або CUI, досі успадковують зобов'язання через ваші контракти, незалежно від паузи Фази II. Якщо ви субпідрядник, вимоги вашого генерального підрядника не були призупинені оголошенням на рівні департаменту. Перегляньте пункти про передачу вимог зараз, поки ніхто не проводить аудит, а не виявляйте прогалину під час виконання.
За чим стежити далі
Три сигнали скажуть вам, чим закінчиться історія. Рекомендації Робочої групи з реформування очікувалися восени 2026 року і окреслять механізми заміни: можлива взаємність з іншими рамками, багаторівневі шляхи оцінювання або довший плавний перехід для малих фірм. Стежте за новою датою набуття чинності Фази II, яка скидає кожне планувальне припущення в цьому пості того дня, коли її оголосять. І стежте за власною поштовою скринькою від генеральних підрядників, бо великі підрядники часто запроваджують власні вимоги безпеки до постачальників швидше, ніж рухається департамент, незалежно від призупинення.
До того часу виграшна позиція нудна: тримайте свій дім Фази 1 у порядку, тримайте свій бал SPRS чесним, тримайте виправлення недоліків профінансованим і тримайте кожен долар на відповідність у рахунку, який називає вимогу, якій він служив. Коли з'явиться новий графік, ви хочете, щоб єдиною несподіванкою було те, наскільки ви вже готові. Останній корисний крок — найменший: відкрийте свої книги цього тижня і переконайтеся, що ваші відкладені гроші на оцінювання лежать у передплаченому активі, а не поховані в рахунку витрат, де бюджет наступного року їх не знайде.
