Il dato che sembra aver decretato il fallimento (almeno temporaneo) del programma non è un costo economico. Si tratta di un semplice rapporto matematico: oltre 100.000 aziende della catena di approvvigionamento della Difesa americana pronte a sottoporsi a un audit indipendente di cybersecurity, a fronte di appena 100 valutatori accreditati e autorizzati a eseguirlo.
“Quindi, la matematica semplicemente non quadra.” — Kirsten Davies, Chief Information Officer del Pentagono
Si tratta forse della frase più memorabile mai pronunciata durante una revisione di certificazione federale.
Lunedì scorso, il Dipartimento della Difesa statunitense (DoD) ha sospeso la Fase 2 del programma CMMC (Cybersecurity Maturity Model Certification).
Si tratta del regime di conformità che avrebbe imposto ai contrattisti che gestiscono informazioni sensibili ma non classificate di superare un audit condotto da un certificatore terzo prima di potersi aggiudicare qualsiasi appalto.
I requisiti sarebbero dovuti entrare in vigore il 10 novembre.
Ora, invece, sono congelati a tempo indeterminato insieme a tutte le altre scadenze previste dal CMMC.
Task Force al lavoro: il futuro del CMMC è in bilico
Una Task Force per la Riforma del CMMC, appena istituita, avrà 60 giorni di tempo per riesaminare l’intero programma e presentare un rapporto.
Sia il CIO Kirsten Davies che Michael Duffey (Sottosegretario all’Acquisizione e al Sostentamento) non hanno escluso la possibilità di cancellare definitivamente il CMMC al termine della revisione.
In un memorandum firmato il 13 luglio, Davies descrive il programma come una mera “checklist di conformità” strutturalmente incompatibile con la necessità del Dipartimento di ampliare la propria base di fornitori.
La combinazione di tre fattori sta spingendo le startup innovative e le piccole imprese a rinunciare ai contratti della Difesa:
-
Costi di conformità insostenibili.
-
Carenza estrema di valutatori accreditati.
-
Tempistiche normative troppo complesse.
L’impatto economico sulle PMI
I dati raccolti dalla Small Business Administration (SBA) evidenziano un impatto economico enorme:
| Ente / Fonte | Allarme Lanciato | Costo Stimato |
| SBA (Small Business Administration) | Le ultime fasi del CMMC rischiano di essere una barriera insostenibile per le PMI strategiche. | Oltre 7 miliardi di dollari l’anno in costi di conformità. |
| GAO (Government Accountability Office) | Standard troppo complessi ed costosi; molti fornitori preferiranno abbandonare la Difesa. | Nessuna stima diretta, ma confermato il rischio di abbandono della supply chain. |
Se da un lato i costi spaventano, dall’altro l’esposizione al rischio è reale: le medie imprese subiscono storicamente più danni dal cybercrime rispetto ai colossi del settore.
Il ritorno al “sistema dell’onore”
Questa è la seconda volta che il CMMC subisce una battuta d’arresto. L’amministrazione Biden lo aveva già bloccato nel 2021 per una revisione che ha dato vita al “CMMC 2.0”.
-
Fase 1 (Novembre 2025): Ha introdotto l’obbligo di auto-valutazione (self-assessment). Questa fase resta attualmente in vigore.
-
Fase 2 (Sospesa): Avrebbe dovuto sostituire l’auto-attestazione con audit esterni indipendenti, dato che i report dell’Ispettore Generale avevano ripetutamente dimostrato come i contrattisti non rispettassero i requisiti autocertificati.
Durante questa sospensione, il Pentagono controllerà la conformità basandosi esclusivamente sulle auto-valutazioni e su verifiche a campione governative rispetto allo standard NIST 800-171.
Di fatto, si ritorna a quel “sistema dell’onore” che il CMMC avrebbe dovuto smantellare.
“Meno burocrazia, stessa sicurezza”
Davies ha voluto rassicurare le aziende che hanno già investito tempo e risorse per prepararsi alla scadenza di novembre: “Ogni dollaro speso in sicurezza è un dollaro speso bene.
Con questa misura non stiamo riducendo la cybersicurezza, stiamo riducendo la burocrazia”.
La decisione riflette l’approccio di un Dipartimento che ha spesso dimostrato pragmatismo (o flessibilità) verso le proprie regole quando queste rallentano gli approvvigionamenti.
Basti pensare che il Pentagono ha inserito Anthropic nella sua blacklist di sicurezza, mentre le sue agenzie di intelligence continuavano tranquillamente a usare il modello Claude.
Un dettaglio non trascurabile: il Cyber AB, ovvero l’organismo ufficiale che si occupa di accreditare i valutatori CMMC, non era stato informato preventivamente della sospensione.
Prossimi passi
Il Pentagono invierà ora una richiesta di informazioni (Request for Information) a tutta la base industriale della Difesa.
La Task Force analizzerà i feedback per decidere cosa sostituirà il CMMC (se qualcosa lo sostituirà) e presenterà il suo rapporto finale a metà settembre 2026.
