USA:s försvarsdepartements cybersäkerhetskrav pausas

Försvarsentreprenörer måste fortsätta förbättra cybersäkerheten trots paus

Pittsburgh, PA – 16 juli 2026 – Magna5 har uppmanat USA:s försvarsentreprenörer att fortsätta stärka sina cybersäkerhetsberedskap, även om Department of Defense (DoD):s nyligen meddelade paus av CMMC Phase 2 ger en temporär respit. Företaget betonar att den tillfälliga uppehållet inte avskaffar entreprenörernas primära skyldighet att skydda federal data. Grundläggande krav, inklusive efterlevnad av NIST SP 800-171 och korrekt SPRS-rapportering, kvarstår under aktiv tillsyn.

Försvarsdepartementets beslut att pausa implementeringen av CMMC Phase 2, ursprungligen planerad att träda i kraft i november 2026, har skapat förvirring i branschen. Beslutet fattades under en 60-dagars granskning av en ny CMMC Reform Task Force. Pausen påverkar obligatoriska tredjepartsbedömningar och implementeringen av Phase 3. Magna5 uppmanar företag inom försvarsindustrin att använda denna period för att stärka sin beredskap, täppa till kritiska brister i regelefterlevnaden och bygga robusta och anpassningsbara cybersäkerhetsprogram.

"Den största utmaningen har inte varit kostnaden för en bedömning, utan beredskapen", säger Bill Osborne, Vice President of Defense Sector Services på Magna5. "Många entreprenörer har underskattat den tid, dokumentation, processmognad och operativa disciplin som krävs för att faktiskt uppfylla NIST SP 800-171. Själva bedömningen kan kosta tiotusentals dollar, men att bygga ett säkerhetsprogram som kan passera kostar mer."

Osborne påpekar att även om bristen på bedömare har fått mest uppmärksamhet, ligger det djupare problemet i att många entreprenörer inte är redo för en bedömning. CMMC Level 2 kräver ett moget säkerhetsprogram, vilket inkluderar en väldefinierad CUI-miljö, korrekt dokumentation av systemets säkerhetsplan, bevisbara policyer och procedurer samt bevis på implementering av kontroller. Dessa krav försvinner inte på grund av pausen.

Magna5 påminner om att angripare inte pausas sina aktiviteter, och därmed inte heller federala tillsynskalendrar. Entreprenörer som fortsätter att driva kraven framåt kommer att vara i en bättre position när CMMC återupptas, när större företag börjar kräva regelefterlevnad, eller när bredare federala cybersäkerhetsregler träder i kraft.