ما الذي حدث فعلًا
في 13 يوليو 2026، علّقت وزارة الدفاع الأمريكية المرحلة الثانية من CMMC، التي كان من المقرر أن تدخل حيز التنفيذ في 10 نوفمبر 2026. وكانت المرحلة الثانية هي الخطوة التي كانت ستجعل التقييم من طرف ثالث في المستوى 2 من CMMC شرطًا لترسية العقود على الأعمال التي تتضمن معلومات غير مصنفة خاضعة للرقابة (CUI).
وقد رافقت التعليقَ مراجعةٌ للبرنامج مدتها 60 يومًا، ما يضع صدور التوجيهات المحدّثة في حدود منتصف سبتمبر 2026. أما ما لم يتغير، فالمرحلة الأولى لا تزال سارية: فمنذ 10 نوفمبر 2025، تشترط معظم العقود الجديدة عند ترسيتها إجراء تقييم ذاتي في المستوى 1 أو المستوى 2 على الأقل.
وبالنسبة إلى الموردين الأوروبيين في سلسلة التوريد الدفاعية الأمريكية، فإن هذا المزيج - اشتراط تقييم ذاتي سارٍ وتاريخ غير مؤكد للتقييم من طرف ثالث - يمثّل مشكلة تخطيط محددة ويمكن التحكم فيها.
الخطأ الذي يجب تجنّبه
عقب أي توقف تنظيمي، تكون الغريزة الأولى هي إعادة توزيع الميزانية. لكن هذه الغريزة خاطئة هنا لسبب هيكلي: لا شيء في التعليق يغيّر ماهية معلومات CUI، ولا مكان وجودها في بيئتك، ولا التزامك بحمايتها بموجب شروط العقود القائمة. فما عُلِّق هو آلية التقييم، لا متطلب الأمن الأساسي.
والموردون الذين يتوقفون تمامًا سيعاودون الانطلاق من موقع أقل استعدادًا عندما يعود التاريخ، ومن المرجح أن يعود بمهلة إشعار أقصر مما منحه الجدول الزمني الأصلي. أما الموردون الذين يواصلون التحضير للتقييم بكامل طاقتهم فسينفقون أموالًا على دورة اعتماد قد تتغير معاييرها.
والطريق الوسط هو مواصلة العمل على جوانب الجاهزية التي تحتفظ بقيمتها بصرف النظر عن كيفية إعادة هيكلة البرنامج.
عمل يؤتي ثماره أيًّا كانت نتيجة المرحلة الثانية
- تحديد نطاق معلومات CUI: إن معرفة الأنظمة ومواقع التخزين وتدفقات البيانات المشمولة بالنطاق بدقة هي المُدخل الأساسي لأي نسخة من CMMC ولالتزاماتك التعاقدية القائمة
- سجل تقييم ذاتي يمكن الدفاع عنه: فالتقييم الذاتي الحالي لديك في المستوى 1 أو المستوى 2 إقرارٌ مقدَّم إلى الحكومة، وينبغي أن تصمد الأدلة التي يستند إليها أمام التدقيق حتى من دون C3PAO
- أدلة مستمرة على الممارسات التي أعلنت تطبيقها، بدلًا من لقطات شاشة لحظية جُمعت في الأسبوع الذي قُدِّمت فيه الدرجة
- سجلات تمرير المتطلبات إلى الموردين (flow-down): ما الذي اشترطته على مقاولي الباطن لديك، ومتى، وما الذي أكدوه
- سجل الوصول والتغييرات لأنظمة CUI، يُحتفظ به طوال مدة العقد كاملة بدلًا من نافذة تشغيلية متجددة
لماذا تُعدّ أدلة التقييم الذاتي الأصل الذي لا يُقدَّر حق قدره
درجة التقييم الذاتي المقدَّمة في نظام الحكومة هي ادعاء بشأن وضع قائم في تاريخ معين. ولا أحد يتحقق منها وقت تقديمها. لكن ذلك لا يجعلها منخفضة المخاطر - بل يجعلها ادعاءً يمكن فحصه لاحقًا، في سياق لا تختاره، وربما بعد سنوات من مغادرة الشخص الذي قدّمه.
والسؤال المهم ليس ما إذا كنت قد قيّمت نفسك بأمانة، بل ما إذا كان بإمكانك أن تُثبت، في أي تاريخ لاحق، كيف كانت البيئة عندما أجريت التقييم. ولقطات الشاشة في محرك أقراص مشترك لا تجيب عن ذلك، أما سجل مؤرَّخ وقابل للتحقق بشكل مستقل لحالة الإعدادات والضوابط فيجيب عنه.
وهذه هي الحجة نفسها التي تنطبق على الأنظمة الأوروبية القائمة على آليات الإعلان الذاتي، ولهذا كثيرًا ما يجد الموردون الخاضعون لالتزامات مزدوجة في الاتحاد الأوروبي والولايات المتحدة أن العمل على الأدلة يتكامل بسلاسة. ويمكنك الاطلاع على تحليلنا السابق للبرنامج، الذي كُتب قبل التعليق، في المرحلة الثانية من CMMC 2.0 قادمة: ما يحتاج الموردون الأوروبيون لعقود الدفاع الأمريكية إلى معرفته.
فرصة التوحيد
يخضع الموردون الأوروبيون في سلسلة التوريد الدفاعية الأمريكية دائمًا تقريبًا لـ NIS2 أيضًا، وكثيرًا ما يخضعون فوق ذلك لمتطلبات قطاعية محددة. وتطرح هذه الأنظمة أسئلة مختلفة، لكنها تستند إلى أدلة متداخلة: من وصل إلى ماذا، ومتى تغيّرت الإعدادات، وأي الموردين كانوا في السلسلة، وما الذي حدث خلال حادث ما وبأي سرعة.
إن بناء قاعدة الأدلة هذه مرة واحدة والاستعلام منها بثلاث طرق أقل تكلفة بشكل ملموس من تشغيل ثلاثة برامج. وقد طرحنا الحجة نفسها بالنسبة إلى الكيانات المالية التي تواجه كلًّا من DORA وNIS2 في بناء طبقة أدلة واحدة للكيانات الخاضعة لتنظيم مزدوج، وهذه البنية قابلة للنقل مباشرة.
- لا توقف العمل على تحديد نطاق معلومات CUI - فهو المُدخل الأساسي لكل شيء
- تعامل مع تقييمك الذاتي الحالي على أنه مدعوم بالأدلة، لا مجرد تقييم مُقدَّم
- تابع توجيهات وزارة الدفاع (DoD) المتوقعة في منتصف سبتمبر، وأعد التخطيط على أساسها بدلًا من موعد نوفمبر القديم
- وحّد جمع الأدلة الخاصة بالولايات المتحدة والاتحاد الأوروبي الآن، ما دام في الجدول الزمني متّسع
إذا أردت أن ترى كيف تبدو الأدلة المستمرة والقابلة للتحقق بشكل مستقل في بيئة CUI الخاصة بك، يمكنك البدء بحدود نظام واحد. ويغطي عرض Enterprise من ROOTKey عمليات النشر التي يتعين فيها أن تُرضي الأدلة أكثر من جهة تنظيمية في الوقت نفسه.