По мере развития программы CMMC в 2026 году, после утверждения окончательных правил и сроков необходимой сертификации, Кибер АБ Это создает проблему, связанную с необходимостью упрощения внедрения среди подрядчиков при сохранении строгой дисциплины в отношении соблюдения требований и проведения аудитов. Вот тут-то и пригодятся исключения из правил. 

Теперь руководителям в рамках DIB приходится решать, являются ли эти исключения законными с точки зрения стратегии или же это настолько специфическая и ненадежная ситуация, что они не ожидают их получения. Понимание этого баланса имеет решающее значение для организаций, поскольку они формируют свою долгосрочную стратегию соблюдения нормативных требований и роста.

Что такое отказ от соблюдения требований CMMC?

Отказ от проведения оценки CMMC — это официальное решение руководства Министерства обороны по вопросам закупок об отмене требования о проведении формальной оценки CMMC в рамках конкретной закупки или класса закупок. Меморандум Министерства обороны США о реализации 2025 года уполномочивает руководителей, занимающихся закупкой услуг и компонентов, предоставлять такие исключения после соблюдения установленных процедур.

Однако освобождение от требований распространяется только на требование проведения оценки, а не на сами меры кибербезопасности. Подрядчики по-прежнему должны соблюдать применимые правила, такие как... ФАР 52.204-21 и ДФАРС 252.204-7012.

Это может показаться запутанным: выполнение требований контроля без оценки. На практике же освобождение от требований означает:

• Для выполнения конкретного контракта получение сертификации может и не потребоваться.
• Вам по-прежнему необходимо внедрять требуемые меры безопасности.
• Несоблюдение этих правил все еще может повлиять на право на получение помощи.

Это различие имеет решающее значение для понимания целей политики. Отступления от правил обеспечивают гибкость в процессе закупок, а не позволяют обойти ограничения в сфере безопасности.

Почему концепция отказа от прав имеет значение 

Наличие исключений свидетельствует о том, что Министерство обороны признает, что инновации и новые возможности иногда появляются быстрее, чем это могут обеспечить формальные процессы соблюдения требований. Новые технологические компании, нишевые поставщики и нетрадиционные подрядчики часто работают вне типичной системы соблюдения требований, при этом предлагая критически важные услуги и технологии.

Сохраняя возможность отказа от требований сертификации, Министерство обороны фактически предотвращает непреднамеренное ограничение оперативной гибкости со стороны требований кибербезопасности. В то же время Министерство обороны не отказывается от требования защиты федеральной информации.

Отказ от прав как отражение подхода к приобретению, основанного на оценке рисков.

CMMC по своей сути является программой управления рисками, и исключения из этого правила демонстрируют, как эта философия распространяется на решения о закупках. Вместо применения жесткой модели соответствия ко всем сценариям, Министерство обороны сохраняет возможность сопоставлять риски кибербезопасности с неотложностью выполнения задач, участием промышленной базы и конкурентной динамикой.

Этот подход соответствует более широким изменениям в федеральной стратегии закупок, где допустимый уровень риска все чаще зависит от контекста, а не является единообразным. Например, программа, стремящаяся получить прорывные возможности от небольшого, инновационного поставщика, может принять краткосрочный риск отказа от сертификации, при этом требуя соблюдения основных правил безопасности.

Тем не менее, похоже, что подобные отказы от ответственности встречаются реже, чем можно было бы ожидать. Отказ от ответственности не снимает договорных обязательств в области кибербезопасности и не защищает организацию от ответственности, связанной с неадекватными мерами контроля. Что еще важнее, рыночные силы в рамках DIB быстро смещаются в сторону базового ожидания демонстрируемой зрелости. 

В нынешних условиях полагаться на отказ от требований в рамках бизнес-стратегии, вероятно, маловероятно и не стоит вкладывать в это средства. 

Что говорят об отказах от требований о будущем соблюдения нормативных требований?

В более широком контексте, рамочная программа предоставления исключений позволяет получить представление о будущей траектории развития CMMC и федерального надзора за кибербезопасностью в целом.

• Это подтверждает предположение о том, что соблюдение нормативных требований будет и впредь развиваться в направлении многоуровневой, контекстно-зависимой модели. Не каждый контракт сопряжен с одинаковым уровнем риска, и Министерство обороны сигнализирует о своей готовности соответствующим образом корректировать требования.
• Это подчеркивает растущую важность непрерывного управления рисками.Вместо того чтобы рассматривать сертификацию как контрольную точку, руководители отделов закупок получают возможность принимать решения, основываясь на потребностях миссии, угрозах и возможностях поставщиков.
• Это говорит о том, что гибкость останется частью экосистемы соблюдения нормативных требований… но всегда в рамках жестко контролируемых границ. Цель состоит не в том, чтобы ослабить стандарты, а в том, чтобы обеспечить их практическую осуществимость.

О чём должны думать руководители сейчас?

Вместо того чтобы рассматривать исключения как запасной план, руководителям следует использовать этот момент для проверки своей готовности, системы управления и долгосрочной позиции на рынке оборонной продукции. Следующие действия помогут преобразовать понимание политики в практические шаги.

• Разработайте план действий на случай непредвиденных обстоятельств, который не будет зависеть от получения разрешений: Исходите из того, что потребуется сертификация, и планируйте сроки, бюджеты и ресурсы соответствующим образом. Рассматривайте отказ от сертификации как внешнюю переменную, а не как предположение при планировании.
• Проверьте свои предположения о потенциальном раскрытии данных: Проведите повторный анализ фактического расположения FCI и CUI в вашей среде. Многие организации обнаруживают расширение масштабов проекта, которое меняет требуемый уровень CMMC и приоритеты инвестиций.
• Согласуйте инвестиции в кибербезопасность со стратегией бизнеса: Убедитесь, что ваш план действий КММК, НИСТ СП 800-171 или 800-172 Это напрямую связано с целями роста, такими как участие в новых программах, поддержка основных подрядчиков или расширение деятельности в сфере повышенной ответственности. Зрелость системы безопасности должна способствовать получению дохода, а не функционировать как изолированная система обеспечения соответствия требованиям.
• Проверьте свою способность продемонстрировать надежность на стресс-тесте: Помимо внедрения мер контроля, оцените, насколько быстро вы можете предоставлять подтверждающие документы (политики, журналы, планы обеспечения безопасности) клиентам или партнерам. В случае отказа от требований, ваша способность продемонстрировать зрелость в неформальной обстановке все еще может повлиять на решения о присуждении контракта.
• Налаживайте контакт с генеральными подрядчиками на ранних этапах: Если вы работаете в качестве субподрядчика, заблаговременно обсудите с основными подрядчиками их ожидания относительно сроков сертификации и приемлемого уровня риска. Требования к цепочке поставок часто превышают минимальные нормативные пороги.
• Укрепить систему управления и исполнительный надзор: Необходимо обеспечить регулярный анализ рисков кибербезопасности на уровне руководства или совета директоров, с четкой ответственностью за прогресс в обеспечении соответствия требованиям. Это свидетельствует о зрелости организации как для государственных заказчиков, так и для партнеров.
• Отслеживайте сигналы, связанные с политикой и закупками: Отслеживайте обновления правил DFARS, этапы внедрения CMMC и рекомендации по закупкам. Изменения в моделях использования исключений или требованиях к оценке могут дать представление о том, куда движется рынок.

Встречайте CMMC лицом к лицу с Lazarus Alliance.

Отступления от требований CMMC занимают небольшое, но значимое место в более широкой сфере соблюдения нормативных требований. Это механизмы, разработанные для сохранения гибкости выполнения задач без ущерба для ожидаемых высоких стандартов кибербезопасности. Это не означает, что они не вызывают путаницы. Поэтому получите ясность от Lazarus Alliance. 

Чтобы узнать больше о том, как Lazarus Alliance может помочь, Свяжитесь с нами. 

• FedRAMP
• GovRAMP
• НИСТ 800-53
• DFARS NIST 800-171
• КММК
• СОЦ 1 и СОЦ 2
• ENS
• C5
• HIPAA, HITECH и осмысленное использование
• PCI DSS RoC и SAQ
• Налоговое управление США 1075 и 4812
• ЦЖИС
• Лос-Анджелес ДМФ
• ISO 27001, ISO 27002, ISO 27005, ISO 27017, ISO 27018, ISO 27701, ISO 22301, ISO 17020, ISO 17021, ISO 17025, ISO 17065, ISO 9001 и ISO 90003.
• Общие критерии NIAP – Лаборатории Lazarus Alliance
• И еще десятки!