CMMC Level 2 Self или C3PAO: какое оценивание требует контракт
Сравнение подготовки к Level 2 Self, C3PAO-сертификации и определения границ по контракту, CUI, записи SPRS и подтверждению соответствия.
Сигналы для наблюдения
- В тендере, контракте или субконтракте указан Level 2, но из обсуждения неясно, требуется Self или C3PAO
- Балл SPRS существует, но неизвестны Assessment Scope, коды CAGE, дата статуса или ежегодное подтверждение
- Срок сертификации назван до определения CUI Assets, Security Protection Assets, внешних сервисов и активов вне границы
Краткий вывод: выбирайте подготовку к самооценке, если закупка требует Level 2 (Self), а подрядчику нужно подготовить формальную оценку и подачу в SPRS. Выбирайте сертификационное оценивание C3PAO, только если требуется Level 2 (C3PAO) и граница готова. Сначала выбирайте определение границ, если неизвестны текст тендера, граница CUI или требуемый статус.
Оба маршрута Level 2 проверяют одинаковые 110 требований и применяют одинаковые правила границ, но создают разные записи. Формальную самооценку проводит Organization Seeking Assessment (OSA), а сертификационную оценку проводит уполномоченная или аккредитованная CMMC Third-Party Assessment Organization (C3PAO).
Это различие важно для руководителя CMMC-практики, который следит за разрешенными Telegram-группами оборонно-промышленной базы и субподрядчиков. В сообщении могут быть слова Level 2, старый балл SPRS и срок генерального подрядчика, но отсутствовать flowdown и системы с Controlled Unclassified Information (CUI). Поздняя проверка теряет дату, а раннее предложение C3PAO продает неверную услугу.
Три маршрута отвечают на разные вопросы
Подготовка Self собирает границы, System Security Plan (SSP), доказательства и процесс подсчета для формальной оценки по 32 CFR 170.16. Сама подготовка не создает CMMC Status.
Оценивание C3PAO является формальным процессом по 32 CFR 170.17. Обычная консалтинговая компания не является C3PAO без полномочий или аккредитации CMMC Accreditation Body.
Определение границ устанавливает юрлицо, систему, поток CUI, закупочное требование и активы. Это квалификация, а не CMMC Status.
Быстрое сравнение
| Решение | Подготовка Self | Оценивание C3PAO | Определение границ |
|---|---|---|---|
| Когда | Требуется Level 2 (Self) | Требуется Level 2 (C3PAO) | Статус или граница неизвестны |
| Формальный оценщик | OSA оценивает свою систему | Уполномоченная или аккредитованная C3PAO | Специалисты фиксируют факты без статуса |
| Требования | 110 требований Level 2 | Те же 110 | Нет оценки соответствия |
| Граница | 170.19(a), (c) | Те же разделы | Предлагается граница для проверки |
| Результат | OSA подает в SPRS | C3PAO загружает в eMASS, затем SPRS | Запись решения |
| Формальный итог | Conditional или Final Level 2 (Self) при соблюдении условий | Conditional или Final Level 2 (C3PAO) при соблюдении условий | Не создает CMMC Status |
| Подтверждение | Внутренний Affirming Official OSA | Внутренний Affirming Official OSC | Не CMMC-подтверждение |
| Хранение | Доказательства шесть лет | Хешированные доказательства шесть лет | По условиям проекта |
Универсального победителя нет: закупка выбирает статус, а готовность доказательств определяет возможность начать оценивание.
Self или C3PAO определяет закупочный текст
32 CFR 170.3 возлагает выбор CMMC Status на руководителя программы или заказчика DoD с учетом обрабатываемой информации. DFARS 252.204-7025 указывает уровень в тендере, а контрактная оговорка переносит его в исполнение.
Работа с CUI сама по себе не доказывает требование C3PAO. Для субподрядчика, обрабатывающего, хранящего или передающего CUI, 170.23 устанавливает минимум Level 2 (Self). Если основной контракт требует Level 2 (C3PAO), этот уровень становится минимумом такого субподрядчика.
До маршрутизации сохраните идентификатор закупки, дату решения, точный статус, систему и текст оговорки или flowdown. Если поля отсутствуют, определяйте границы. Фраза «у нас есть CUI» маршрут не выбирает. Карта поэтапного внедрения CMMC объясняет, почему фаза является контекстом, а конкретный документ остается главным.
Оба маршрута используют одну границу CUI
Обе оценки применяют 170.19. OSA включает активы, обрабатывающие, хранящие или передающие CUI, а также активы, обеспечивающие их безопасность. Contractor risk-managed assets, specialized assets и out-of-scope assets классифицируются по условиям правила.
Старого балла SPRS мало, если система изменилась, добавился enclave или внешний сервис начал работать с CUI. Зафиксируйте:
- систему и связанные коды CAGE;
- потоки CUI и CUI Assets;
- Security Protection Assets;
- обязанности облака и внешних поставщиков в SSP;
- основание каждого исключения.
При споре об этих объектах сначала определяйте границы, чтобы ни одна оценка не началась на неверном контуре.
Владелец доказательств разделяет результаты
Подготовка Self подходит при требовании Level 2 (Self), когда OSA собирает доказательства, оценивает систему по NIST SP 800-171A и подает балл и границу в SPRS. OSA отвечает за результат.
C3PAO подходит при требовании Level 2 (C3PAO) и готовности Organization Seeking Certification (OSC). C3PAO загружает результаты по требованиям, идентификатор оценки, версию SSP, CAGE и данные хешей в CMMC eMASS. Статус передается в SPRS, а OSC получает Assessment Findings Report.
Conditional status требует условий Plan of Action and Milestones (POA&M) из 170.21. Балл, разделенный на 110 требований, должен быть не ниже 0,8, то есть минимум 88, а некоторые требования откладывать нельзя. Срок закрытия 180 дней. Для Self закрытие проводит OSA, для C3PAO проводит C3PAO.
Final Level 2 может действовать три года. Доказательства хранятся шесть лет, а сертификационные материалы хешируются. Аттестация программного продукта является другой записью; см. запрос доказательств безопасного ПО, если она смешана с организационным CMMC Status.
SPRS не заменяет подтверждение
170.22 требует от внутреннего Affirming Official подтвердить сохранение применимых требований по всей границе. Подтверждение подается в SPRS после оценки, ежегодно после Final и после применимого закрытия POA&M.
Консультант или C3PAO эту ответственность не принимает. Снимок балла без границы, даты статуса и действующего подтверждения неполон.
Как направить неполное упоминание
Сообщение может назвать срок Level 2, прошлогодний SPRS и запрос основного подрядчика, но не указать Self или C3PAO, владельца балла, поток CUI, изменения контура и подтверждение.
- Подготовка Self: документ требует Level 2 (Self), OSA нужна помощь с границами, доказательствами или самооценкой.
- Оценивание C3PAO: требуется Level 2 (C3PAO), OSC и граница известны, нужен полномочный оценщик.
- Определение границ: отсутствуют текст, юрлицо, поток CUI, граница, SPRS или подтверждение.
Практика может сохранить цель сопоставления для этих событий в выбранных разрешенных Telegram-группах. В текущей версии TOP Prospect сохранение цели сохраняет только конфигурацию и не создает автоматически кандидата Signal. Человек должен проверить источник и получить закупочные документы и границу.
TOP Prospect не проверяет SPRS, не определяет CUI, не толкует контракт, не оценивает, не проверяет полномочия C3PAO, не подтверждает соответствие, не связывается с автором и не читает личные или невыбранные группы. Процесс бизнес-сигнала Telegram показывает границу между конфигурацией и профессиональной проверкой.
Ключевые факты
- Self и C3PAO проверяют одинаковые 110 требований с одинаковыми правилами границ.
- Self выполняет OSA, сертификацию выполняет уполномоченная или аккредитованная C3PAO.
- Self идет от OSA в SPRS; C3PAO идет через eMASS в SPRS.
- Требуемый статус указан в закупке; CUI само по себе C3PAO не выбирает.
- Оба маршрута требуют внутреннего подтверждения после оценивания и ежегодно после Final.
- Conditional подчиняется POA&M и закрытию за 180 дней.
- Доказательства хранят шесть лет; сертификационные материалы хешируют.
FAQ
Работа с CUI автоматически требует C3PAO?
Нет. Решает закупочный документ. Level 2 (Self) является минимумом для субподрядчика с CUI, но основной контракт может сделать минимумом C3PAO.
Может ли консультант провести формальную самооценку?
OSA оценивает собственную систему. Консультант готовит границы и доказательства, но OSA подает результат, а внутренний сотрудник подтверждает.
Что такое C3PAO?
Это организация, уполномоченная или аккредитованная для оценивания Level 2. Услуги подготовки сами по себе не делают консультанта C3PAO.
Куда поступают результаты?
OSA подает Self в SPRS. C3PAO загружает сертификацию в CMMC eMASS, и статус автоматически идет в SPRS.
Для обоих маршрутов нужно ежегодное подтверждение?
Да. Внутренний руководитель подтверждает после оценки, ежегодно после Final и после применимого закрытия POA&M.
Решение условно: используйте статус из закупки, но не начинайте формальную оценку до ясности CUI-границы и владельцев доказательств. Если их нет, определение границ предотвращает неверное коммерческое предложение.
Проверено редакцией TOP Prospect 18 августа 2026 года. Факты сверены с действующим 32 CFR Part 170, окончательным правилом CMMC и указанными закупочными оговорками. Применимость, граница CUI и допустимость оценивания требуют квалифицированной проверки реальных документов и систем.
Часто задаваемые вопросы
Работа с CUI автоматически требует оценивания C3PAO?
Нет. Руководитель программы или заказчик DoD выбирает CMMC Status, и требование фиксируется в закупочном документе. Для субподрядчика, работающего с CUI, минимумом по 32 CFR 170.23 является Level 2 Self, но связанный основной контракт может сделать минимумом Level 2 C3PAO.
Может ли консультант провести формальную самооценку Level 2?
Правило определяет формальную самооценку как действие Organization Seeking Assessment над собственной системой. Консультант помогает подготовить границы и доказательства, но OSA подает результат, а внутренний Affirming Official делает подтверждение.
Что такое C3PAO?
CMMC Third-Party Assessment Organization является организацией, уполномоченной или аккредитованной CMMC Accreditation Body для проведения сертификационных оцениваний Level 2 и выполнения обязанностей 32 CFR 170.9.
Куда поступают результаты Level 2?
Для Level 2 Self OSA напрямую подает результаты в SPRS. Для Level 2 C3PAO организация C3PAO загружает их в CMMC eMASS, откуда статус автоматически передается в SPRS.
Для обоих маршрутов нужно ежегодное подтверждение?
Да. Внутренний Affirming Official подает его в SPRS после оценивания и ежегодно после даты Final. Оно также требуется после применимого закрытия POA&M.
Источники и дополнительное чтение
- 32 CFR Part 170, Cybersecurity Maturity Model Certification Program, актуально на 14 августа 2026 года, дата обращения 18 августа 2026 года
- Federal Register, окончательное правило программы CMMC, 89 FR 83092, 15 октября 2024 года
- Acquisition.gov, DFARS 252.204-7025 Notice of CMMC Level Requirements, дата обращения 18 августа 2026 года
- Acquisition.gov, DFARS 252.204-7021 Contractor Compliance with CMMC Level Requirements, дата обращения 18 августа 2026 года
Как обнаруживается Signal, заслуживающий внимания
Методика показывает, как Top Prospect находит и упорядочивает Signals, которые стоит проверить, сохраняет исходный контекст Telegram, удаляет дубли и помогает определить порядок просмотра. Решение о дальнейших действиях остаётся за вами.
