Yhdysvaltain sotaministeriö keskeyttää kyberturvallisuusohjelman vaiheen toimeenpanon

Yhdysvaltain sotaministeriö on ilmoittanut keskeyttävänsä Cybersecurity Maturity Model Certification (CMMC) -ohjelman toisen vaiheen vaatimukset välittömästi. Ohjelman oli tarkoitus tulla voimaan marraskuussa 2026. Tiedotteen mukaan ensimmäisen vaiheen itsearviointivaatimukset pysyvät edelleen voimassa.

Ministeriö perustelee päätöstä pyrkimyksellä vähentää hallinnollista taakkaa ja kustannuksia, jotka kohdistuvat erityisesti pieniin ja keskisuuriin yrityksiin. Sotaministeriön mukaan nykyiset vaatimukset ovat luoneet esteitä, jotka ovat karsineet teknologisia innovaatioita puolustusteollisuudesta. Keskeytyksen aikana viranomaiset arvioivat ohjelman uudelleen vastaamaan ministeri Pete Hegsethin uutta hankintastrategiaa.

Hankinnoista vastaava alivaltiosihteeri Michael Duffey toteaa tiedotteessa, että päätöksellä halutaan säilyttää tiukka tietoturvan perustaso mutta poistaa yritystoimintaa lamaannuttavat hallinnolliset kustannukset. Ministeriön tavoitteena on nopeuttaa uusien valmiuksien saamista asevoimien käyttöön ja varmistaa kaupallisen sektorin kilpailukyky puolustusalan hankintaketjuissa.

Uudistusta varten ministeriö perustaa erillisen työryhmän, joka suorittaa 60 päivän kestävän selvityksen ohjelman tulevaisuudesta. Työryhmän tehtävänä on analysoida teollisuudelta saatua palautetta ja suositella malleja, jotka korvaavat raskaan byrokratian skaalautuvilla ja joustavammilla tietoturvatoimilla.

Välikauden aikana ministeriö valvoo tietoturvavaatimusten noudattamista NIST SP 800-171 Rev 2 -standardin pohjalta tehtävillä itsearvioinneilla. Ministeriö muistuttaa, ettei muutos poista puolustusalan alihankkijoiden sopimusperusteista velvollisuutta suojata arkaluonteista tietoa voimassa olevien säädösten mukaisesti.