Il DoD rallenta il controllo terzo sui fornitori CUI
La pausa non allenta lo standard cyber; sposta in avanti la verifica indipendente e lascia più a lungo piccoli fornitori e non tradizionali sulla sola self-attestation. Per la filiera della difesa, l’accesso ai contratti resta quindi meno vincolato nel breve periodo a una prova terza della conformità a NIST SP 800-171.
Il DoD ha sospeso la Phase II del CMMC, che dal 10 novembre 2026 avrebbe imposto assessment di terza parte per i contractor di livello 2 che gestiscono CUI, e ha aperto una review di 60 giorni sull’intero programma. La sospensione riguarda il passaggio dalle autovalutazioni agli assessment indipendenti di C3PAO, mentre restano in piedi i requisiti di Phase I e gli obblighi già vigenti per il trattamento di FCI e CUI.
Il risultato è un ulteriore ciclo in cui i team procurement e supplier-risk non possono usare la Phase II come trigger imminente di assurance. Per i contractor più piccoli, la pressione di compliance si attenua; per chi compra, resta più a lungo un gating fondato sull’autodichiarazione invece che su una verifica esterna.