La sospensione arriva dopo mesi di critiche da parte di piccole e medie aziende del comparto aerospaziale e della Difesa, preoccupate per i costi troppo elevati.

Il Dipartimento della Difesa degli Usa ha deciso di sospendere la seconda fase del programma Cybersecurity Maturity Model Certification (CMMC) per le aziende cyber che lavorano con il Pentagono. Si tratta di un sistema di certificazione pensato per rafforzare la sicurezza informatica di tutta la catena del valore della Difesa.

Una significativa inversione di rotta, dopo le numerose proteste del settore, che denunciava costi eccessivi e un impatto negativo sulla competitività della filiera della difesa. La Fase 2 del programma – in vigore dal 10 novembre – avrebbe imposto ai fornitori di sottoporsi a verifiche indipendenti di conformità. In sostituzione delle semplici autocertificazioni sarebbero arrivati audit condotti da organismi accreditati.

Il Pentagono ha invece deciso di congelare questa misura, mantenendo temporaneamente il sistema basato sulle autocertificazioni di Livello 1 e Livello 2.

Costi troppo elevati per le piccole imprese

La sospensione, sottolinea la Reuters, è arrivata “dopo mesi di critiche da parte di piccole e medie aziende dell’Aerospazio e della Difesa“. Un problema non soltanto economico, ma anche logistico e organizzativo.

Molte imprese hanno infatti segnalato che l’adeguamento ai requisiti del CMMC richiedeva investimenti nell’ordine di centinaia di migliaia di dollari. Servivano inoltre lunghe attese per ottenere le certificazioni da parte degli organismi autorizzati.

Secondo gli operatori del settore, questi oneri rischiavano di spingere numerosi fornitori a rinunciare ai contratti con il Dipartimento della Difesa. La riduzione della concorrenza si traduceva nel potenziale indebolimento della base industriale americana.

Sicurezza e innovazione al centro

Il programma CMMC è entrato ufficialmente in vigore nel novembre 2025 dopo anni di rinvii. La sua progettazione nasce per proteggere le Controlled Unclassified Information (CUI), le “informazioni sensibili ma non classificate gestite dai contractor della Difesa“.

Pur confermando l’importanza della cybersicurezza, il Pentagono ha riconosciuto i potenziali effetti indesiderati dell’attuale modello di certificazione.

In una nota ufficiale, il Dipartimento della Difesa ha affermato che gli obblighi di conformità stanno “costringendo aziende innovative ad abbandonare la base industriale della Difesa“. Questi starebbero compromettendo la capacità del Paese di mantenere una filiera ampia e competitiva.

Revisione del programma entro 60 giorni

La Chief Information Officer del Pentagono, Kirsten Davies, ha spiegato che la sospensione è la risposta diretta alle criticità evidenziate dalle imprese. Anche il Sottosegretario alla Difesa per gli Acquisti e il Supporto, Michael Duffey, ha sottolineato che la revisione del programma punta a eliminare i “costi paralizzanti“. In ogni caso, non si vuole rinunciare agli obiettivi di protezione cyber.

Per individuare possibili modifiche è stata istituita una CMMC Reform Task Force. Il suo compito è quello di analizzare contributi raccolti durante una consultazione pubblica per poi presentare le proprie raccomandazioni entro 60 giorni.

Si rimarca la crescente difficoltà di trovare un equilibrio tra il rafforzamento della cybersicurezza e la necessità di non gravare eccessivamente sulle aziende, soprattutto quelle di dimensioni più contenute. Queste rappresentano infatti “una parte essenziale dell’ecosistema industriale della Difesa statunitense“.

Vai al sito di Cybersecurity Italia.

L'articolo Usa, il Pentagono sospende la nuova certificazione cyber. Costi troppo alti per i fornitori della Difesa sembra essere il primo su CyberSecurity Italia.