CMMC sospeso: la governance della difesa Usa vacilla

La sospensione del 13 luglio 2026

Il 13 luglio 2026 il Department of Defense ha sospeso il passaggio alla Fase 2 del Cybersecurity Maturity Model Certification, il programma costruito in cinque anni per certificare la sicurezza informatica della base industriale della difesa. La decisione arriva tramite due memoranda amministrativi: uno firmato dal Chief Information Officer del dipartimento, l'altro dall'Under Secretary of Defense for Acquisition and Sustainment. Insieme, ordinano alle attività contrattuali di accettare esclusivamente l'auto-valutazione, impongono la rimozione dei requisiti di valutazione di livello superiore da bandi attivi e contratti esistenti, e bloccano ogni deroga durante una revisione di 60 giorni, come riporta Lawfare^[1].

Il dipartimento presenta la mossa come alleggerimento del carico burocratico per le piccole imprese fornitrici. La motivazione ha fondamento reale: la certificazione di terzo livello comporta costi elevati per aziende con margini ridotti. La modalità con cui la sospensione arriva cambia radicalmente il quadro giuridico rispetto a un semplice adeguamento normativo.

Cosa esisteva prima, cosa cambia ora

Il CMMC poggia su due regole legislative, adottate attraverso un processo pubblico di notice-and-comment. La CMMC Program Rule, entrata in vigore nel dicembre 2024, stabilisce i livelli di valutazione, l'ecosistema di assessor terzi, il regime di affermazione annuale e un'autorità di deroga caso per caso affidata a funzionari senior dell'acquisizione. La regola gemella, la acquisition rule, entrata in vigore il 10 novembre 2025, ha inserito la clausola contrattuale operativa nel Defense Federal Acquisition Regulation Supplement.

Entrambe le regole restano formalmente vigenti, prive di emendamenti e di revoche attraverso un procedimento formale. La sospensione tocca unicamente la loro applicazione pratica, imposta per via amministrativa.

Il problema giuridico: memo contro regola vincolante

La linea che separa una regola legislativa da una guida interpretativa è la spina dorsale di questa vicenda. Secondo l'Administrative Procedure Act, un'agenzia può modificare rapidamente una propria interpretazione di una regola esistente, aggirando il processo pubblico di commento. La sentenza Perez v. Mortgage Bankers Association del 2015 ha confermato questo principio, come ricorda l'analisi pubblicata su Lawfare.

Una guida interpretativa resta cosa diversa da una regola vincolante. Il CMMC Program Rule e la acquisition rule portano forza di legge, adottate tramite comment period pubblico. Sospendere il loro effetto pratico attraverso un memo amministrativo apre una domanda che i tribunali dovranno affrontare: può un documento privo di forza legislativa congelare l'applicazione di una regola che tale forza possiede?

Due sviluppi recenti nel diritto amministrativo statunitense rendono la questione particolarmente rilevante. La Corte Suprema ha ridotto la deferenza interpretativa concessa alle agenzie federali. La stessa Corte ha inasprito le condizioni sotto cui un'agenzia può cambiare rotta rispetto a una posizione regolamentare precedente, aggiungendo un secondo livello di fragilità legale alla sospensione.

La premessa fattuale sotto esame

Il dipartimento giustifica la sospensione richiamando il peso della certificazione di terzo livello sulle piccole imprese fornitrici. L'analisi pubblicata da Lawfare^[1] osserva che la premessa fattuale centrale cede al vaglio dei dati disponibili.

La riduzione del carico burocratico, quando confrontata con l'ambiente di minaccia informatica corrente, appare inferiore a quanto dichiarato nei due memoranda. Il beneficio di sicurezza sacrificato dalla sospensione, secondo la stessa analisi, supera il risparmio amministrativo ottenuto dalle imprese di dimensioni ridotte.

Questo scarto tra motivazione dichiarata e dato verificabile aggiunge un terzo livello di fragilità alla sospensione, oltre ai due profili amministrativi già segnalati: la natura del memo rispetto alla regola vincolante, e l'inasprimento giurisprudenziale sulle inversioni di rotta delle agenzie federali.

Il segnale di governance

Un framework di sicurezza informatica che dipende da regole scritte, pubblicate, sottoposte a commento pubblico, e che viene poi congelato tramite due memo interni, rivela una struttura di accountability incompleta. La domanda centrale resta aperta: quale figura, nominata per iscritto, risponde della decisione di accettare esclusivamente l'auto-valutazione durante i prossimi 60 giorni?

Il memo firmato dal CIO e quello firmato dall'Under Secretary for Acquisition and Sustainment condividono la responsabilità operativa. Il quadro decisionale che ha portato alla sospensione manca di un'esposizione pubblica equivalente a quella richiesta dal notice-and-comment. Questo scarto tra potere di sospensione immediata e trasparenza procedurale definisce il rischio che ogni General Counsel del defense industrial base deve valutare adesso, come riportato anche da Nextgov/FCW^[2], che cita dichiarazioni del funzionario John Tenaglia sul dossier.

La sospensione produce un secondo effetto, meno visibile del primo: le aziende che avevano investito in valutazioni di terzo livello si trovano con una spesa di compliance priva, per il momento, di riscontro contrattuale immediato.

Tre decisioni per il board

Per General Counsel, Chief Risk Officer e Board Audit & Risk Committee delle aziende attive nel defense industrial base, la sospensione del CMMC impone tre decisioni distinte.

1. Il General Counsel deve stabilire quale esposizione contrattuale residua qualora l'enforcement dei livelli superiori riprenda prima della fine della revisione di 60 giorni, dato che le regole sottostanti restano formalmente vigenti.
2. Il Chief Risk Officer deve aggiornare il framework di rischio informatico separando il rischio di sicurezza tecnica, rimasto invariato, dal rischio regolamentare, temporaneamente sospeso e privo di certezza sulla durata.
3. Il Board Audit & Risk Committee deve valutare quale disclosure agli investitori richiede la sospensione, specialmente per le aziende quotate con contratti federali legati alla certificazione di terzo livello.

Le tre decisioni sopra descritte condividono un tratto comune: ciascuna richiede una risposta scritta, datata, riconducibile a una persona identificabile all'interno dell'organizzazione, mai a un comitato anonimo o a una policy generica.

Il Chief Executive Officer affronta una decisione strategica distinta dalle tre sopra elencate: mantenere gli investimenti già pianificati per la certificazione di terzo livello, oppure redirigere il budget di compliance verso l'auto-valutazione richiesta nell'immediato, scommettendo sulla durata della sospensione.

Regulatory horizon

La sospensione resta in vigore dal 13 luglio 2026, con revisione fissata a 60 giorni. Il CMMC Program Rule, dicembre 2024, e la acquisition rule, 10 novembre 2025, restano entrambe formalmente applicabili, prive di modifiche testuali. Il quadro giurisdizionale interessa esclusivamente i contratti del Department of Defense statunitense, privo di estensione automatica ad altri settori regolamentati.

Le aziende del defense industrial base che avevano già completato valutazioni di terzo livello mantengono, per adesso, un vantaggio documentale rispetto a chi ha attivato unicamente l'auto-valutazione: qualora l'enforcement riprenda a fine revisione, la distanza temporale per raggiungere conformità piena resta minore per chi ha già investito nell'audit trail completo.

La domanda di quale figura risponda formalmente, per iscritto, della decisione di sospensione, rimane priva di risposta ufficiale. Una seconda domanda si apre di conseguenza: qualora la revisione di 60 giorni confermi la sospensione in forma permanente, quale procedimento formale la renderà legittima agli occhi di una corte che ha già ridotto la deferenza concessa alle agenzie?