La Fase II di solito indica una fase successiva in un rollout di conformità a tappe, quando le regole diventano più ampie e più impegnative rispetto alla Fase I. In programmi come CMMC, può segnare il punto in cui le organizzazioni devono dimostrare controlli più solidi, più evidenze o una disciplina di processo più rigorosa prima di essere considerate pronte.
Questo è importante nella sicurezza informatica perché i programmi a tappe influenzano il modo in cui i team pianificano budget, audit e attività di remediation. Quando la Fase II viene ritardata, sospesa o aggiornata, i difensori possono essere tentati di rallentare gli sforzi di hardening. Ciò può lasciare lacune nella gestione degli accessi, nel logging, nel tracciamento degli asset e nel controllo delle configurazioni. Gli attaccanti non si curano dei calendari di conformità, quindi l'approccio più sicuro è continuare a migliorare controlli e documentazione anche mentre le regole sono in fase di revisione.