Normativa · 76 giorni fa
La pausa non allenta lo standard cyber; sposta in avanti la verifica indipendente e lascia più a lungo piccoli fornitori e non tradizionali sulla sola self-attestation. Per la filiera della difesa, l’accesso ai contratti resta quindi meno vincolato nel breve periodo a una prova terza della conformità a NIST SP 800-171.
Il DoD ha sospeso la Phase II del CMMC, che dal 10 novembre 2026 avrebbe imposto assessment di terza parte per i contractor di livello 2 che gestiscono CUI, e ha aperto una review di 60 giorni sull’intero programma. La sospensione riguarda il passaggio dalle autovalutazioni agli assessment indipendenti di C3PAO, mentre restano in piedi i requisiti di Phase I e gli obblighi già vigenti per il trattamento di FCI e CUI.
Il risultato è un ulteriore ciclo in cui i team procurement e supplier-risk non possono usare la Phase II come trigger imminente di assurance. Per i contractor più piccoli, la pressione di compliance si attenua; per chi compra, resta più a lungo un gating fondato sull’autodichiarazione invece che su una verifica esterna.
2 fonti che coprono questa storia
Pentagon Suspends CMMC Phase II Requirements for Defense Contractors
The US Department of Defense announced the immediate suspension of the CMMC Phase II requirements until further review
Pentagon Suspends CMMC Phase 2 as It Rethinks Contractor Cybersecurity Rules
A new CMMC review and reform task force will conduct a comprehensive review of the program.
Part of the PlainSec briefing for 2026-07-15