Cosa comporta per gli MSP la sospensione di CMMC Phase II

Il 13 luglio 2026, il Department of War (DoW – Dipartimento della Guerra) ha pubblicato un comunicato, intitolato “Forging the Arsenal of Freedom” (Costruire l’arsenale della libertà), in cui annunciava la sospensione immediata dei requisiti del CMMC (Cybersecurity Maturity Model Certification) Phase II. Se assisti clienti che operano nel settore della difesa (DIB), ovvero la rete di aziende che rifornisce il Dipartimento della Difesa, probabilmente ti è stata posta una variante di questa domanda per tutta la settimana: «Questo significa che la conformità è finita?»

No.

Una task force incaricata della riforma del CMMC ha ora 60 giorni di tempo per presentare una relazione, avvalendosi dei riscontri raccolti tramite una richiesta pubblica di informazioni (RFI), la procedura formale adottata dal governo per raccogliere i pareri del settore prima di modificare una norma. Tuttavia, revisioni come questa tendono a protrarsi nel tempo, per questo una data esatta non è garantita.

Perché il Dipartimento ha sospeso il CMMC Phase II

La motivazione addotta dal Dipartimento, secondo il comunicato, è la direttiva del Segretario Pete Hegseth relativa ad “Acquisition Transformation System” (ATS), che privilegia la rapidità nell’acquisizione delle capacità e la riduzione dei costi di conformità per le piccole e medie imprese e per quelle non tradizionali. Il comunicato cita i dati della Small Business Administration (SBA), secondo cui i costi di conformità stavano spingendo le aziende ad abbandonare il DIB. Kirsten A. Davies, Chief Information Officer (CIO) di DoW, è stata citata direttamente mentre sosteneva questa tesi.

Dietro a tutto questo si nasconde anche un problema di matematica più semplice. Secondo la maggior parte delle stime diffuse dopo l’annuncio, ben oltre 100.000 aziende necessitavano di una valutazione da parte di soggetti terzi, a fronte di circa 100 valutatori accreditati, rendendo praticamente impossibile rispettare la tempistica originaria.

Cosa comportano le modifiche alle sospensioni

La fase II è sospesa. Questo è il requisito per le valutazioni certificate da parte di terzi effettuate tramite un C3PAO (un’organizzazione terza che si occupa della valutazione CMMC, ovvero un ente esterno accreditato) o per una revisione da parte del DIBCAC (Defense Industrial Base Cybersecurity Assessment Center, l’organo di valutazione interno al Dipartimento). Anche tutte le tappe fondamentali del CMMC in corso o future sono state sospese.

Nel frattempo, il Dipartimento continuerà a garantire il rispetto delle norme attraverso le autovalutazioni previste dalla norma NIST SP 800-171 Rev 2 (lo standard federale che elenca i 110 controlli di sicurezza necessari per proteggere i dati sensibili in ambito della difesa) e quelle che il comunicato definisce “valutazioni selezionate condotte dal governo”. Probabilmente questi finiranno per lo più a livello di appaltatore principale, a un livello più alto nella catena di fornitura rispetto alla maggior parte dei clienti MSP. Sembra più un promemoria del fatto che il Dipartimento della Guerra ha ancora l’autorità di andare a fondo della questione, piuttosto che un nuovo programma di revisione contabile.

I requisiti ancora in vigore

I requisiti di autovalutazione della Phase I sono ancora pienamente in vigore: FAR (Federal Acquisition Regulation) 52.204-21, che disciplina le misure di protezione di base delle informazioni relative ai contratti federali (FCI), e il DFARS (Defense Federal Acquisition Regulation Supplement) 252.204-7012, che richiede la protezione delle informazioni non classificate soggette a controllo (CUI), la segnalazione degli incidenti informatici e l’attuazione di tutti i 110 controlli previsti dalla norma NIST SP 800-171. Il comunicato afferma chiaramente che la sospensione “non esonera le aziende dall’obbligo di proteggere i dati federali”.

Rimangono inalterati anche: le voci di punteggio nel Supplier Performance Risk System (SPRS), le attestazioni annuali, i requisiti dell’International Traffic in Arms Regulations (ITAR), i piani di ripristino, i piani di sicurezza dei sistemi e i flowdown ai subcontractor. La CUI è di per sé una categoria ampia, e l’ITAR è uno dei tanti standard che ne fanno parte. Il CMMC ha cercato di raggruppare tutti questi elementi in un’unica certificazione, ed è proprio questo raggruppamento ad essere stato sospeso. I requisiti sottostanti sono tutti ancora in vigore.

Nei casi in cui sussiste un rischio di non conformità

La sospensione ha eliminato una fase di verifica, ma non ha eliminato l’obbligo sottostante. Ciò che al momento non c’è più è quella terza parte che avrebbe controllato il tuo lavoro prima che i problemi emergessero.

Un’autovalutazione inesatta o un’affermazione priva di fondamento possono comunque comportare rischi contrattuali, amministrativi e ai sensi del False Claims Act (FCA), una legge federale che ritiene un’azienda, e spesso anche la persona che ha apposto la propria firma, personalmente responsabile per aver consapevolmente frodato i programmi governativi. I contratti già trasferiscono questo requisito dai committenti ai subappaltatori, ed è probabile che tale clausola passi dal richiedere la presentazione di una verifica completata a qualcosa di più simile a: “Presenta la tua autodichiarazione; ci riserviamo il diritto di effettuare una verifica in un secondo momento”. Fornire informazioni false, soprattutto dopo aver ricevuto finanziamenti pubblici, può comportare conseguenze civili e penali. È ormai di dominio pubblico che diverse società del settore DIB siano state perseguite ai sensi del False Claims Act per dichiarazioni di conformità che non hanno retto a un esame approfondito.

Misure concrete per gli MSP

• Porta avanti i piani di bonifica; questa notizia non è un motivo per sospenderli.
• Verifica che i punteggi SPRS e le valutazioni annuali rispecchino ancora la situazione reale del tuo cliente.
• Verifica l’ambito di applicazione, ad esempio quali sistemi client entrano in contatto con CUI o FCI e quali di questi sono gestiti direttamente.
• Mantieni aggiornate le prove, inclusi i percorsi di audit, i registri di conformità delle patch e i registri di accesso, nel caso in cui dovessi rendere necessaria una verifica da parte dell’appaltatore principale.
• Spiega chiaramente ai clienti che sospeso non significa risolto.

In che modo NinjaOne supporta la conformità alle normative CMMC e FedRAMP

FedRAMP (Federal Risk and Authorization Management Program, che stabilisce quali piattaforme software siano autorizzate a trattare i dati federali) non uguale al programma CMMC, e questa sospensione non lo riguarda. Tuttavia, dimostrare a un valutatore che la tua piattaforma è già in funzione su un’infrastruttura autorizzata FedRAMP tende a semplificare il colloquio. NinjaOne è l’unica piattaforma RMM (monitoraggio e gestione remota) attualmente disponibile sul mercato ad aver ottenuto l’autorizzazione FedRAMP di livello “Moderate”.

In sostanza, NinjaOne aiuta gli MSP a implementare e dimostrare i controlli tecnici richiesti dalla norma NIST SP 800-171: automazione delle patch, controllo degli accessi basato sui ruoli (RBAC), autenticazione a più fattori (MFA) e reportistica centralizzata per tutti gli ambienti dei clienti gestiti.

Ogni azienda che fa parte della base industriale della difesa rimane legalmente tenuta a presentare, su richiesta, la propria documentazione di conformità: registri, tracciati di audit e l’autocertificazione alla base del proprio punteggio SPRS, indipendentemente dal fatto che un valutatore esterno si presenti o meno per effettuare la verifica. È proprio per questo che, in questo momento, è fondamentale disporre di una piattaforma progettata per mantenere aggiornata e pronta tale prova.