Certyfikacja CMMC, oceny poziomu 1 i poziomu 2 – Lazarus Alliance jest autoryzowanym C3PAO. Numer Telefonu +1 (888) 896-7580 dzisiaj!

Spis treści

Departament Obrony USA (DoD) utworzył Certyfikacja modelu dojrzałości cyberbezpieczeństwa (CMMC 2.0) Aby chronić Federalne Informacje o Umowach (FCI) i Kontrolowane Informacje Niejawne (CUI) w całej Bazie Przemysłu Obronnego (DIB). Począwszy od końca 2025 r. Zgodność z CMMC jest obowiązkowa dla każdego głównego wykonawcy lub podwykonawcy składającego ofertę lub realizującego kontrakty DoD, które obejmują dane wrażliwe.

Lazarus Alliance jest autoryzowaną organizacją CMMC Third-Party Assessment Organization (C3PAO) Autoryzowane przez Cyber AB. Prowadzimy wykonawców Departamentu Obrony (DoD) przez cały proces CMMC – od określenia wymaganego poziomu certyfikacji (poziom 1, poziom 2 lub poziom 3) do uzyskania pełnej certyfikacji.

Oto jak wygląda współpraca z Lazarus Alliance:

A bezpłatna rozmowa wstępna (+ 1 888-896-7580) aby potwierdzić, czy potrzebujesz Poziomu 1 (samoocena), Poziomu 2 (certyfikacja zewnętrzna dla CUI) lub Poziomu 3 (nadzorowana przez rząd w przypadku programów wysokiego ryzyka).
Spersonalizowana mapa drogowa gotowości i analiza luk w odniesieniu do dokładnych kontroli NIST SP 800-171 (poziom 2) lub NIST 800-172 (poziom 3), które musisz spełnić.
Pełna koordynacja oceny C3PAO przez nasze doświadczone zespoły Cybervisor™.
Certyfikat przyznawany jest w momencie wykazania się wymaganą dojrzałością, a wyniki są bezpośrednio publikowane w systemie SPRS (Supplier Performance Risk System) Departamentu Obrony.

Niezależnie od tego, czy przygotowujesz się do stopniowego wdrażania w latach 2025–2028, czy też potrzebujesz certyfikacji już teraz na potrzeby nadchodzącego przetargu, Lazarus Alliance zapewnia szybkie, zgodne z przepisami i bezstresowe oceny CMMC, dzięki którym możesz zdobywaj i utrzymuj kontrakty Departamentu Obrony bez opóźnień w przestrzeganiu przepisów.

Certyfikacja modelu dojrzałości cyberbezpieczeństwa (CMMC)

CMMC nadal dąży do weryfikacji, czy wykonawcy i podwykonawcy Departamentu Obrony (DoD) wdrażają i utrzymują praktyki cyberbezpieczeństwa w celu ochrony wrażliwych danych w Bazie Przemysłu Obronnego (DIB). Opiera się ona na standardach takich jak NIST SP 800-171 (wersja 2) i FAR 52.204-21, przechodząc od samopoświadczeń do weryfikowalnych ocen. Od października 2025 r. wymagania zaczynają pojawiać się w przetargach Departamentu Obrony, a pełne wdrożenie jest rozłożone na trzy lata (do 2028 r.).

Trzy poziomy CMMC

Poziomy są podzielone na poziomy w zależności od rodzaju i wrażliwości przetwarzanych danych (FCI dla niewrażliwych informacji o umowach; CUI dla wrażliwych, ale niesklasyfikowanych informacji). Każdy poziom określa wymagania bezpieczeństwa, metody oceny i częstotliwość:

Poziom 1: Podstawowy (Podstawowa higiena cybernetyczna dla FCI)
- Skupiać:Chroni FCI przed podstawowymi zagrożeniami.
- wymagania:17 podstawowych kontroli bezpieczeństwa z FAR 52.204-21 (np. ograniczenie dostępu do systemu, korzystanie z oprogramowania antywirusowego, sprawdzanie użytkowników).
- Ocena:Roczna samoocena, której wyniki są publikowane w Systemie Zarządzania Ryzykiem Dostawców (SPRS). Bez udziału osób trzecich.
- Możliwość zastosowania: Dotyczy umów obejmujących wyłącznie FCI (bez CUI). Wyjątki dotyczą towarów dostępnych od ręki (COTS).
- Oś czasu:Można egzekwować w przypadku wezwań do składania ofert od końca 2025 r.
Poziom 2: Zaawansowany (Ochrona pośrednia dla CUI)
- Skupiać:Chroni CUI przed typowymi zagrożeniami cybernetycznymi, ściśle współpracując ze 110 mechanizmami kontroli określonymi w normie NIST SP 800-171.
- wymagania:Wszystkie 110 praktyk NIST 800-171 (np. uwierzytelnianie wieloskładnikowe, planowanie reagowania na incydenty, ochrona nośników).
- Ocena: Przede wszystkim certyfikacja stron trzecich przez CMMC Organizacja Oceny Zewnętrznej (C3PAO) co trzy lata, z corocznymi potwierdzeniami. Samoocena jest dozwolona w przypadku niektórych kontraktów o niższym ryzyku w ramach Planu Działań i Kamieni Milowych (POA&M) w przypadku drobnych luk (musi zostać zamknięta w ciągu 180 dni).
- Możliwość zastosowania: Dla większości kontraktów obsługujących CUI. Jest to najczęstszy poziom w organizacjach DIB.
- Oś czasu:Oceny przeprowadzane przez strony trzecie rozpoczną się w październiku 2026 r. w przypadku umów o podwyższonym ryzyku; samooceny rozpoczną się w 2025 r.
Poziom 3: Ekspert (Proaktywna obrona przed CUI wysokiego ryzyka)
- Skupiać:Chroni przed zaawansowanymi, trwałymi zagrożeniami (APT) dzięki ulepszonym kontrolom wykraczającym poza NIST 800-171.
- wymagania: Wszystkie elementy sterujące poziomu 2 plus 24 dodatkowe NIST 800-172 praktyki (np. zaawansowane wykrywanie zagrożeń, zarządzanie ryzykiem w łańcuchu dostaw, techniki oszukiwania).
- Ocena:Ocena prowadzona przez rząd przez Centrum Oceny Cyberbezpieczeństwa Bazy Przemysłowo-Obronnej (DIBCAC), oparta na wcześniejszej certyfikacji C3PAO Poziomu 2. Co trzy lata, z corocznymi potwierdzeniami.
- Możliwość zastosowania:Dotyczy niewielkiej grupy kontraktów obejmujących bardzo wrażliwe informacje CUI mające kluczowe znaczenie dla bezpieczeństwa narodowego.
- Oś czasu:Wdrażane etapami od 2026–2027 r., przede wszystkim w odniesieniu do wybranych programów o najwyższym priorytecie.

Kluczowe komponenty

Dziedziny i praktyki: Podzielone na 14 domen (np. Kontrola dostępu, Ocena ryzyka) z możliwościami i określonymi praktykami. Poziomy narastają kumulacyjnie – Poziom 3 obejmuje wszystko z Poziomów 1 i 2.
Punktacja i POA&M:W przypadku poziomów 2 i 3 wymagane jest wdrożenie wyników oceny (100% wymagane do uzyskania pełnej certyfikacji; wyniki częściowe są tymczasowo dozwolone za pośrednictwem POA&M). Poziom 1 wymaga pełnego spełnienia wszystkich wymogów kontrolnych.
Afirmacje:Wysocy rangą urzędnicy muszą co roku potwierdzać zgodność z systemem SPRS przez cały cykl życia umowy.

Wdrożenie i harmonogram (stan na październik 2025 r.)

Wdrażanie etapowe:
- Faza 1 (2025):Klauzule CMMC w ok. 5–15% zapytań ofertowych; nacisk na samoocenę w przypadku Poziomów 1 i niektórych Poziomów 2.
- Faza 2 (2026): ~20–50% umów; wzrasta liczba ocen przeprowadzanych przez strony trzecie na poziomie 2.
- Faza 3 (2027+): Wszystkie obowiązujące umowy; pełna integracja poziomu 3.
Proces certyfikacji:Oceny przeprowadzane przez akredytowane jednostki C3PAO lub DIBCAC; wyniki ważne przez trzy lata.
Możliwość zastosowania:Wszyscy główni wykonawcy i podwykonawcy zajmujący się FCI/CUI; wynika to z klauzul umownych.

Harmonogram audytu CMMC poziomu 2: Czego można się spodziewać po Lazarus Alliance

Audyt CMMC Poziom 2 (Zaawansowany/Średniozaawansowany) w ramach certyfikacji modelu dojrzałości cyberbezpieczeństwa (CMMC) jest przeznaczony dla organizacji w bazie przemysłu obronnego (DIB) zajmujących się Kontrolowane Informacje Niejawne (CUI)— wrażliwe, ale nieujawnione dane w kontraktach Departamentu Obrony. Koncentruje się na ochronie przed typowymi zagrożeniami cybernetycznymi poprzez współpracę ze wszystkimi 110 NIST SP 800-171 Rev. 2 praktyki (np. uwierzytelnianie wieloskładnikowe, planowanie reagowania na incydenty, ochrona mediów).

W przeciwieństwie do poziomu 1 (samoocena) poziom 2 zazwyczaj wymaga certyfikacja zewnętrzna przez C3PAO jak Sojusz Lazarus każdy 3 rokuZ coroczne afirmacjeSamooceny są dozwolone w przypadku kontraktów o niższym ryzyku, ale w większości przypadków standardem są audyty przeprowadzane przez strony trzecie. Plany działań i kamienie milowe (POA&M) zezwalaj na niewielkie przerwy (muszą się zamknąć w 180 dni), tymczasowo zezwalając na częściowe punktowanie.

Sojusz Lazarus, jako certyfikowany C3PAO, koordynuje cały proces, korzystając z naszego Zespoły Cybervisor™ (doświadczeni w tysiącach ocen). Określają Twoje dokładne potrzeby, przeprowadzają ewaluacje i przyznają certyfikaty po udowodnieniu dojrzałości w Domeny 14 (np. kontrola dostępu, ocena ryzyka). Całkowity harmonogram to 3 – 6 miesięcy od przygotowania do certyfikacji, w zależności od luk. Certyfikaty są ważne przez 3 roku, ale coroczne potwierdzenia SPRS są obowiązkowe.

Kluczowy przegląd

wymagania:Pełne wdrożenie 110 kontroli NIST; do uzyskania certyfikatu wymagany jest wynik 100% (POA&M w przypadku drobnych problemów).
Rodzaj oceny:Strona trzecia (C3PAO) co 3 lata; potwierdzenia roczne w System ryzyka wydajności dostawcy (SPRS).
Wpływ wdrożenia DoD:Wymuszone uruchomienie 2025 (samooceny dla niektórych); audyty przeprowadzane przez strony trzecie stają się coraz częstsze Październik 2026 w przypadku kontraktów o wyższym ryzyku (fazy 2–3 do 2028 r.). Nieprzestrzeganie tych wymogów wyklucza Cię z udziału w przetargach związanych z CUI.
Koszt i wiedza specjalistyczna z Lazarusem:20–60 tys. dolarów+ za pełny audyt (cena różni się w zależności od zakresu; wsparcie przygotowawcze ~10–20 tys. dolarów). Zespoły Cybervisor™ zapewniają wydajność zgodną z wytycznymi Departamentu Obrony.

Harmonogram krok po kroku: czego się spodziewać

Oto etapowy proces z Lazarus Alliance. Harmonogramy są szacunkowe i oparte na wytycznych CMMC oraz ich skoordynowanym podejściu.

Faza	Czas trwania:	Czego można się spodziewać	Rola Sojuszu Łazarza
1. Przygotowanie i analiza luk	4-8 tygodni	- Ocena aktualnej postawy w kontekście 110 kontroli NIST. - Zbieranie dowodów (zasad, konfiguracji, logów) w 14 domenach. - Potwierdzenie stosowalności poziomu 2 (obsługa CUI; brak wyjątków dla COTS). - Opracowywanie projektów POA&M w celu usunięcia luk; wdrażanie szybkich rozwiązań (np. szyfrowanie, audyt).	- Bezpłatna konsultacja (+1-888-896-7580 lub formularz) w celu określenia potrzeb. - Zespół Cybervisor™ przeprowadza przegląd gotowości, dostarcza plan działania/szablony. - Określa, czy właściwa jest ocena samodzielna, czy przeprowadzona przez osobę trzecią.
2. Wdrożenie i rozwój POA&M	4-8 tygodni	- Wdrażanie kontroli (np. zarządzanie dostępem, szkolenia podnoszące świadomość). - Opracowywanie/śledzenie POA&M dla pozycji niezgodnych z wymogami (wymagane zamknięcie w ciągu 180 dni). - Testowanie wewnętrzne w celu symulacji audytu.	- Wskazówki doradcze: przegląd dokumentów, ustalenie priorytetów poprawek. - Eksperci Cybervisor™ konsultują kwestie zgodności z NIST; zgłaszają ryzyko eskalacji do poziomu 3.
3. Realizacja oceny przez stronę trzecią	2-4 tygodni	- Audyt na miejscu/zdalny: zespół Lazarus ocenia dowody, przeprowadza wywiady z pracownikami, testuje systemy. - Praktyki oceniające (częściowa akceptacja za pośrednictwem POA&M); obejmuje wszystkie domeny. - Brak większych zakłóceń — etapami w ciągu dni/tygodni.	- Zaplanuj i przeprowadź pełny audyt C3PAO z asesorami Cybervisor™. - Informacje zwrotne w czasie rzeczywistym; rozwiąż wszelkie pilne problemy.
4. Wyniki, certyfikacja i publikacja w SPRS	1-2 tygodni	- Otrzymaj końcowy raport/wynik; zamknij wszelkie ostateczne POA&M. - Wyślij do SPRS; potwierdzi starszy urzędnik. - Certyfikat przyznany, jeśli ≥100% (po POA&M).	- Wydawanie certyfikatów ważnych przez 3 lata. - Pomoc w przesyłaniu/potwierdzaniu SPRS; potwierdzenie widoczności DoD.
5. Bieżąca konserwacja i ponowna ocena	Rocznie + co 3 lata	- Roczne potwierdzenia w systemie SPRS. - Monitorowanie zmian (np. nowych umów CUI). - Ponowny audyt co 3 lata.	- Roczne kontrole Cybervisor™ w celu utrzymania zgodności. - Alerty dotyczące aktualizacji DoD; bezproblemowe wsparcie ponownej certyfikacji.

Szerszy kontekst wdrażania DoD (ma wpływ na egzekwowanie przepisów poziomu 2)

2025 (Faza 1):Samoocena dla pewnego Poziomu 2 w 5–15% zapytań.
2026 (Faza 2):Audyty przeprowadzane przez strony trzecie są obowiązkowe w przypadku umów CUI obarczonych wyższym ryzykiem (pokrycie 20–50%).
2027+ (Faza 3):Uniwersalny dla wszystkich kontraktów obsługujących CUI.

Potencjalne wyzwania i wskazówki

Pospolite pułapki:Opóźnienia w POA&M lub niekompletne dowody — wykorzystanie FedRAMP autoryzował Continuum GRC ITAM SaaS A.ITAM, A.ITAMBot, Szablony pomóc temu zapobiec.
Ulepszanie poziomów:Łatwe przejście na Poziom 3 (dodaje NIST 800-172), jeśli zajdzie taka potrzeba.
Odwołania: Plik w 14 dni raportu (np. w przypadku błędów oceniającego); Lazarus dokonuje ponownej oceny w 21 dni za pośrednictwem eMASS, zgodnie z normą ISO/IEC 17020 — bez represji. Zgłoś sprawę do Cyber AB 10 dni robocze Jeśli potrzebne.

Aby uzyskać spersonalizowany harmonogram, skontaktuj się z Lazarus Alliance pod numerem +1 (888) 896-7580. Firma oferuje bezpłatne konsultacje, które pomogą dostosować się do wdrożenia w 2025 r. i zabezpieczyć możliwości Departamentu Obrony.

Najczęściej zadawane pytania

Czym jest Certyfikacja Modelu Dojrzałości Cyberbezpieczeństwa (CMMC)?

CMMC to struktura stworzona przez Departament Obrony Stanów Zjednoczonych (DoD) w celu oceny i wzmocnienia praktyk cyberbezpieczeństwa organizacji z Bazy Przemysłu Obronnego (DIB), w tym wykonawców i podwykonawców. Zapewnia ona ochronę wrażliwych informacji niejawnych, takich jak: Informacje o kontraktach federalnych (FCI) i kontrolowane informacje niejawne (CUI)W przeciwieństwie do poprzednich metod samopoświadczania, CMMC wymaga weryfikacji przez stronę trzecią w celu potwierdzenia zgodności ze standardami, takimi jak NISTSP 800-171.

Jak długo trwa niezależna ocena CMMC poziomu 2 w Lazarus Alliance?

Typowy harmonogram: 3–6 miesięcy od rozpoczęcia do certyfikacji. Analiza luk (4–8 tygodni) + działania naprawcze + etap końcowy C3PAO ocena (2–4 tygodnie). Lazarus Alliance ukończył certyfikację poziomu 2 w zaledwie 10 tygodni dla dobrze przygotowanych klientów.

Czy potrzebuję certyfikatu CMMC poziomu 1, poziomu 2 czy poziomu 3?

Poziom 1: Tylko Federal Contract Information (FCI) → roczna samoocena
Poziom 2: Kontrolowane informacje niejawne (CUI) → osoby trzecie C3PAO certyfikacja (najczęściej spotykana)
Poziom 3: Programy CUI wysokiego ryzyka → prowadzone przez rząd (DIBCAC) Lazarus Alliance przeprowadza bezpłatną rozmowę kwalifikacyjną w celu potwierdzenia dokładnego poziomu.

W jaki sposób Lazarus Alliance pomaga w ocenie CMMC?

Jako certyfikowana organizacja CMMC Third-Party Assessment Organization (C3PAO)Lazarus Alliance koordynuje oceny, określa wymagany poziom certyfikacji w oparciu o potrzeby biznesowe i przeprowadza ewaluacje z udziałem doświadczonych zespołów Cybervisor™. Po pomyślnym wykazaniu dojrzałości w zakresie kompetencji i procesów cyberbezpieczeństwa, przyznajemy certyfikat ważny przez trzy lata, z corocznymi potwierdzeniami.

Jaki jest proces uzyskania certyfikatu CMMC?

Proces obejmuje: (1) Określenie swojego poziomu na podstawie przetworzonych danych; (2) Wdrożenie wymaganych kontroli (z planami działania i kamieniami milowymi dla drobnych luk na poziomach 2/3); (3) Poddanie się ocenie przez C3PAO (jak Sojusz Lazarus) dla poziomów 1-2 lub DIBCAC dla poziomu 3; (4) Publikowanie wyników i potwierdzeń w Systemie Zarządzania Ryzykiem Dostawców (SPRS); oraz (5) Coroczne utrzymywanie zgodności. Certyfikacje są ważne przez trzy lata, a pełne wdrożenie ma nastąpić do 2028 r.

Jaki jest harmonogram wdrożenia CMMC?

Wymagania CMMC zaczną pojawiać się w ofertach DoD od października 2025 r., a ich wdrażanie będzie przebiegać etapowo przez trzy lata:

2025 (Faza 1):5-15% umów, ze szczególnym uwzględnieniem samooceny dla Poziomów 1 i niektórych Poziomów 2.
2026 (Faza 2):20-50% kontraktów, zwiększając liczbę ocen zewnętrznych na poziomie 2.
2027+ (Faza 3):Pełna integracja ze wszystkimi obowiązującymi umowami, w tym na poziomie 3. Niedopełnienie wymogów uniemożliwi organizacjom składanie odpowiednich ofert.

Kto musi przestrzegać CMMC?

Wszyscy główni wykonawcy i podwykonawcy Departamentu Obrony (DoD) przetwarzający FCI lub CUI w DIB muszą spełniać odpowiednie wymogi. Dotyczy to większości firm związanych z obronnością, ale mogą obowiązywać wyjątki w przypadku towarów dostępnych od ręki (COTS). Jeśli Twoja organizacja przetwarza wrażliwe dane Departamentu Obrony (DoD), nawet pośrednio w łańcuchu dostaw, certyfikacja jest niezbędna.

Czym jest CMMC 2.0 i kiedy staje się obowiązkowe?

CMMC 2.0 to obowiązkowy program certyfikacji cyberbezpieczeństwa Departamentu Obrony USA, który chroni FCI i CUI. Wymagania zaczną pojawiać się w umowach Departamentu Obrony pod koniec 2025 roku, a pełne wdrożenie wszystkich obowiązujących umów nastąpi do 2028 roku. Nieprzestrzeganie tych wymagań spowoduje dyskwalifikację z udziału w przetargach.

Korzyści ze zgodności z CMMC

Zgodność z CMMC (Cybersecurity Maturity Model Certification) oferuje szereg korzyści organizacjom, zwłaszcza tym współpracującym z Departamentem Obrony USA (DoD) lub przetwarzającym kontrolowane informacje niejawne (CUI). Poniżej przedstawiono najważniejsze zalety:

Dostęp do kontraktów DoDZgodność z CMMC jest obowiązkowa dla organizacji ubiegających się o kontrakty z Departamentem Obrony (DoD) lub utrzymujących je. Osiągnięcie wymaganego poziomu CMMC (1-3, w zależności od kontraktu) gwarantuje możliwość współpracy z Departamentem Obrony (DoD), otwierając znaczące możliwości biznesowe w sektorze obronnym.
Wzmocniona postawa cyberbezpieczeństwaCMMC zapewnia ustrukturyzowane ramy wdrażania solidnych praktyk cyberbezpieczeństwa. Zgodność pomaga organizacjom chronić wrażliwe dane, takie jak CUI, przed cyberzagrożeniami, zmniejszając ryzyko wycieków danych, ataków ransomware i innych ataków.
Przewaga konkurencyjna:Wykazanie zgodności z CMMC klientom, partnerom i dostawcom, że Twoja organizacja priorytetowo traktuje cyberbezpieczeństwo, może pomóc Ci wyróżnić się na konkurencyjnym rynku, szczególnie w przypadku ubiegania się o kontrakty wymagające wysokich standardów bezpieczeństwa.
Ograniczenie ryzykaPrzestrzegając wymogów CMMC, organizacje zmniejszają podatności na zagrożenia i poprawiają swoją zdolność wykrywania, reagowania i odzyskiwania po incydentach cybernetycznych. Minimalizuje to ryzyko finansowe, prawne i reputacyjne związane z naruszeniami danych lub karami za nieprzestrzeganie przepisów.
Większe zaufanie i wiarygodnośćZgodność z CMMC buduje zaufanie do Departamentu Obrony (DoD), innych agencji rządowych i partnerów handlowych. Świadczy o zaangażowaniu w ochronę poufnych informacji, wzmacniając reputację Twojej organizacji jako bezpiecznego i wiarygodnego partnera.
Usprawnione procesy bezpieczeństwaCMMC promuje wdrażanie standardowych, powtarzalnych praktyk cyberbezpieczeństwa. Prowadzi to do bardziej efektywnego działania, ponieważ organizacje wdrażają spójne polityki, procedury i mechanizmy kontroli dostosowane do poziomu dojrzałości.
Dostosowanie do standardów branżowychCMMC opiera się na istniejących ramach, takich jak NIST 800-171, ISO 27001 i inne. Zgodność zapewnia zgodność z powszechnie uznanymi standardami cyberbezpieczeństwa, co może ułatwić zgodność z innymi przepisami lub certyfikatami.
Długoterminowe oszczędności kosztówChociaż osiągnięcie zgodności z CMMC wymaga początkowej inwestycji, może obniżyć koszty związane z incydentami cybernetycznymi, odpowiedzialnością prawną i utratą klientów z powodu braku zgodności. Proaktywne podejście do cyberbezpieczeństwa minimalizuje prawdopodobieństwo kosztownych zakłóceń.
Skalowalność i elastyczność:Wielopoziomowe poziomy dojrzałości CMMC pozwalają organizacjom skalować praktyki cyberbezpieczeństwa w zależności od wrażliwości przetwarzanych danych. Dzięki temu małe i średnie firmy mogą osiągnąć zgodność z przepisami bez nadmiernego zapotrzebowania na zasoby.
Bezpieczeństwo łańcucha dostawZgodność z CMMC wzmacnia ogólne bezpieczeństwo łańcucha dostaw Departamentu Obrony (DoD), zapewniając, że wszyscy wykonawcy i podwykonawcy spełniają minimalne standardy cyberbezpieczeństwa. Ten wspólny wysiłek zmniejsza ryzyko systemowe w całej bazie przemysłu obronnego.

Podsumowując, zgodność z CMMC nie tylko zapewnia dostęp do kontraktów Departamentu Obrony (DoD), ale także wzmacnia cyberbezpieczeństwo, reputację i wydajność operacyjną organizacji, zapewniając korzyści zarówno natychmiastowe, jak i długoterminowe. Aby uzyskać szczegółowe informacje na temat wdrożenia lub kosztów, organizacje mogą zapoznać się z zasobami, takimi jak strona internetowa CMMC Departamentu Obrony (DoD), lub skonsultować się z certyfikowanymi asesorami CMMC, takimi jak Lazarus Alliance.

Pytania, obawy, skargi i odwołania

Proces rozstrzygania sporów podlega przeglądowi przez kierownictwo Lazarus Alliance raz w roku lub wtedy, gdy zajdzie konieczność wprowadzenia zmian.

Ogólne wymagania administracyjne

Autoryzowane i akredytowane organizacje C3PAO, takie jak Lazarus Alliance, muszą posiadać udokumentowaną procedurę przyjmowania, oceniania i podejmowania decyzji w sprawie odwołań zgodnie z niniejszymi wymogami.ISO/IEC 17020 7.5.1)
Opis wewnętrznego procesu obsługi odwołań autoryzowanego i akredytowanego C3PAO jest dostępny na żądanie każdej zainteresowanej strony. (ISO/IEC 17020 7.5.2)
Proces rozpatrywania odwołań powinien obejmować co najmniej następujące elementy i metody:
1. Opis procesu autoryzowanego lub akredytowanego C3PAO dotyczącego przyjmowania, sprawdzania i rozpatrywania odwołań oraz decydowania o działaniach, jakie należy podjąć w odpowiedzi na odwołanie;
2. Proces mający na celu zapewnienie, że odpowiednie działania autoryzowanego lub akredytowanego C3PAO zostaną podjęte w odpowiednim czasie. (ISO/IEC 17020 7.6.1)
3. Proces śledzenia i rejestrowania odwołań przez autoryzowanych lub akredytowanych operatorów C3PAO, w tym działań podejmowanych w celu rozpatrzenia odwołań, polega na wprowadzeniu danych dotyczących odwołań do usługi CMMC Enterprise Mission Assurance Support Service (eMASS)
4. Autoryzowane i akredytowane C3PAO potwierdzają otrzymanie odwołania i dostarczają osobie odwołującej się raporty o postępach i wynikach. (ISO/IEC 17020 7.6.3)
Autoryzowani i akredytowani C3PAO otrzymujący odwołanie są odpowiedzialni za zebranie i zweryfikowanie wszystkich niezbędnych informacji w celu zatwierdzenia odwołania. (ISO/IEC 17020 7.6.2)
Wszystkie odwołania składane przez OSC do autoryzowanego lub akredytowanego C3PAO muszą zostać sprawdzone i zatwierdzone przez certyfikowanego asesora lub pracownika kontroli jakości, który nie był zaangażowany w pierwotne działania kontrolne, o których mowa.
Autoryzowane lub akredytowane ponowne oceny C3PAO oraz decyzje w sprawie złożonych odwołań nie mogą skutkować żadnymi działaniami dyskryminacyjnymi wobec żadnej osoby lub OSC wnoszącego odwołanie. (ISO/IEC 17020 7.5.5)

Odwołania

Po otrzymaniu końcowego raportu z oceny od autoryzowanego lub akredytowanego C3PAO, OSC ma prawo odwołać się od wyników decyzji o certyfikacji oceny CMMC, jeśli OSC uzna, że niepowodzenie było spowodowane:
1. Złośliwość
2. Nieetyczne zachowanie
3. Błąd po stronie Autoryzowanego lub Akredytowanego C3PAO lub asesorów, którzy przeprowadzili ocenę.
Po otrzymaniu końcowego raportu z oceny CMMC, OSC ma do 14 dni kalendarzowych na złożenie odwołania, w którym żąda dalszej oceny zgodności z praktykami lub procesami, które organizacja kwestionuje na podstawie kryteriów określonych w punkcie 5.1.
Po otrzymaniu odwołania OSC autoryzowany lub akredytowany C3PAO rejestruje odwołanie w systemie CMMC eMASS i przeprowadza przegląd kwestionowanych praktyk lub procesów.
Po otrzymaniu odwołania, Autoryzowany lub Akredytowany C3PAO przeprowadzi ponowną ocenę we współpracy z OSC. Dochodzenie C3PAO może obejmować przegląd wcześniej dostarczonych dowodów OSC, które zostały zanalizowane przez OSC, oraz konsultacje z pierwotnym zespołem oceniającym i personelem OSC, w razie potrzeby.
Po otrzymaniu odwołania, Autoryzowany lub Akredytowany C3PAO będzie miał 21 dni kalendarzowych na przeprowadzenie ponownej oceny kwestionowanych praktyk i procesów oraz przekazanie decyzji o rozstrzygnięciu do OSC. Jednocześnie Autoryzowany lub Akredytowany C3PAO prześle następujące informacje do CMMC eMASS:
1. Wszelkie zmiany w pierwotnym raporcie oceny oparte na ustaleniach ponownej oceny
2. Nazwisko kierownika zespołu przeprowadzającego ponowną ocenę na poparcie odwołania
3. Wynik odwołania
4. Organ zatwierdzający C3PAO w celu ponownej oceny i wynik odwołania
Jeżeli OSC odrzuci lub sprzeciwi się decyzji o rozstrzygnięciu jego odwołania od oceny wydanej przez C3PAO, może wnieść odwołanie do Cyber AB. OSC musi wnieść odwołanie do Cyber AB w ciągu dziesięciu (10) dni roboczych od otrzymania pisemnej decyzji o rozstrzygnięciu jego odwołania od oceny wydanej przez C3PAO.

Wszystkie odwołania złożone przez Komisję ds. Etyki i Zgodności Cyber AB są ostateczne.