Пентагон призупинив нові правила кібербезпеки через занепокоєння щодо вартості у $7 мільярдів

Міністерство оборони США (DOD) оголосило про зміни у своїй стратегії кібербезпеки, призупинивши другий етап програми Cybersecurity Maturity Model Certification (CMMC). Це рішення було прийнято через занепокоєння щодо значних витрат та бюрократичних перешкод, пов'язаних з її впровадженням.

Причини призупинення

DOD заявило, що призупинення другого етапу CMMC пов'язане з витратами для малого бізнесу. Цей етап мав набути чинності у листопаді цього року. Програма CMMC була створена у 2019 році для забезпечення безпечного зберігання та передачі даних Пентагону сторонніми підрядниками, але вона виявилася суперечливою серед них, які скаржилися на її громіздкість та дорожнечу.

Міністерство оборони зазначило, що план створював "заборонені витрати на відповідність та бюрократичні тягарі". За словами головного інформаційного директора DOD Кірстен Девіс, понад 100 000 оборонних фірм все ще потребували сторонньої оцінки кібербезпеки для відповідності вимогам, тоді як доступно було лише трохи більше 100 оцінювачів.

Фінансовий вплив та підтримка малого бізнесу

Опитування, проведене Управлінням малого бізнесу (SBA), показало, що малі підприємства зіткнулися б зі значними бюрократичними витратами. За оцінками SBA, впровадження програми коштувало б понад 7 мільярдів доларів на рік для малих та середніх підприємств. Адміністратор SBA Келлі Лоффлер привітала цю новину, наголосивши, що кібербезпека не повинна створювати бюрократію, яка витісняє компанії, від яких залежать військові.

Заступник міністра оборони з питань закупівель та забезпечення Даффі додав, що рішення забезпечує підтримку суворої базової безпеки, одночасно усуваючи паралізуючі витрати та сприяючи зростанню інноваторів та конкуренції в оборонному ланцюжку поставок.

Подальші кроки

Перший етап програми CMMC, який розпочався у листопаді 2025 року і вимагає від підрядників підтвердження адекватності їхніх кіберзахистів, залишається чинним. Якби другий етап набув чинності, третій етап мав би розпочатися у листопаді 2027 року.

DOD проведе перегляд своїх програм сертифікації та протягом 60 днів порекомендує нові заходи. Тимчасово відповідність вимогам кібербезпеки буде забезпечуватися за допомогою самооцінок та оцінок, проведених урядом.

Що це означає для розробників

Це рішення означає, що сторонні підрядники та оборонні фірми, які раніше готувалися до проходження сторонніх оцінок кібербезпеки за програмою CMMC Phase Two, тепер не зобов'язані цього робити. Натомість, їм доведеться дотримуватися вимог через самооцінки та урядові оцінки, що може змінити їхні внутрішні процеси та витрати на відповідність.

Ключові факти

• Міністерство оборони США (DOD) призупинило другий етап програми Cybersecurity Maturity Model Certification (CMMC).

• Причиною призупинення є занепокоєння щодо високих витрат та бюрократичних перешкод, особливо для малого бізнесу.

• Другий етап CMMC мав набути чинності у листопаді 2026 року.

• Програма CMMC була створена у 2019 році для забезпечення безпеки даних Пентагону сторонніми підрядниками.

• За оцінками SBA, впровадження програми коштувало б понад $7 мільярдів на рік для малих та середніх підприємств.

Джерела

• Defense Department Suspends New Cybersecurity Rules After $7 Billion Cost Concerns