O Departamento de Defesa dos Estados Unidos (DoD) anunciou a suspensão imediata da Fase 2 do programa CMMC (Cybersecurity Maturity Model Certification), que exigiria auditorias obrigatórias de segurança cibernética para fornecedores da cadeia de defesa americana. A CMMC suspensão foi motivada por pressão da indústria, especialmente de pequenos e médios fornecedores aeroespaciais, e abre uma janela temporária de adequação para empresas nacionais e internacionais que integram ou pretendem integrar esse mercado.
CMMC suspensão: o que mudou na prática
O programa CMMC, iniciado em novembro de 2025, estrutura-se em três níveis de maturidade cibernética. A Fase 2, prevista para entrar em vigor em novembro deste ano, tornaria obrigatórias as auditorias conduzidas por organizações terceiras certificadas, conhecidas como C3PAOs. Com a suspensão, os escritórios de programas do DoD passarão a aceitar apenas autoavaliações de Nível 1 ou Nível 2, dispensando temporariamente a exigência de auditoria independente.
O Pentágono também anunciou a criação de uma CMMC Reform Task Force, que conduzirá uma revisão de 60 dias com base em consulta pública ao setor privado. O Subsecretário de Defesa para Aquisições, Michael Duffey, justificou a decisão afirmando que a mudança eliminaria “custos paralisantes” enquanto manteria “inovadores e competição crescendo na cadeia de suprimentos de defesa”.
Pressão da indústria e custo de conformidade
A decisão responde a um acúmulo de críticas. Os custos de conformidade chegavam a centenas de milhares de dólares por empresa, combinados com longos períodos de espera para obtenção das auditorias de terceiros. O próprio Pentágono reconheceu, em comunicado oficial, que “a conformidade com o CMMC está forçando empresas inovadoras a saírem da Base Industrial de Defesa”.
Advogados do setor alertavam, ainda, que as regras corriam o risco de excluir fornecedores de menor porte e complicar operações de empresas internacionais que precisam conciliar o CMMC com outros padrões de privacidade de dados vigentes em seus países de origem. Esse ponto é relevante porque a certificação CMMC 2.0 apresenta sobreposição com outros marcos regulatórios internacionais de segurança cibernética — o que pode tanto facilitar quanto complexificar a conformidade, dependendo do histórico regulatório de cada empresa.
Impacto para fornecedores internacionais e empresas brasileiras
Embora a medida seja doméstica dos EUA, seus efeitos alcançam fornecedores internacionais que integram a cadeia de suprimentos de defesa americana. Empresas brasileiras dos setores aeroespacial, de tecnologia e de manufatura de defesa que exportam componentes ou serviços para contratantes principais americanos podem ser classificadas como subcontratadas e, portanto, sujeitas às exigências do CMMC.
A suspensão da Fase 2 representa uma janela temporária para que essas empresas se organizem antes de uma eventual retomada das exigências de auditoria. Além disso, o período de revisão de 60 dias da Task Force é uma oportunidade para acompanhar de perto as recomendações que surgirão do processo de consulta pública — e, para quem já opera sob o regime ITAR, monitorar se o CMMC revisado criará camadas adicionais de conformidade a serem gerenciadas.
Os próximos passos a observar incluem o resultado da revisão da Task Force, a eventual reformulação dos requisitos de Nível 2 e Nível 3, e o possível alinhamento do programa com padrões internacionais de privacidade de dados.
FUP Explica
A suspensão do CMMC Fase 2 sinaliza que o maior comprador de defesa do mundo está reconhecendo que requisitos de segurança cibernética excessivamente rígidos podem encolher a própria cadeia de fornecimento que pretendem proteger.