美国防部暂停CMMC第二阶段，承包商合规迎重大调整

美国国防部近日宣布暂停其“网络安全成熟度模型认证”（CMMC）项目的第二阶段第三方评估要求，并启动为期60天的全面审查。此举标志着美军方在承包商网络安全合规机制上出现重大转向，旨在平衡供应链安全与工业基础活力。

根据国防部首席信息官基尔斯滕·戴维斯签署的备忘录，原定于2026年11月10日启动的CMMC第二阶段要求被暂停，该阶段原计划强制所有涉及敏感非机密合同的国防承包商接受第三方评估。目前，第一阶段的自评估要求仍有效，但所有后续里程碑时间点均暂停。

从资金面看，CMMC的高昂合规成本正导致小型及非传统企业退出国防合同竞标，造成关键供应链流失。国防部数据显示，第三方评估机构产能不足和监管复杂性加剧了这一趋势。技术面上，国防部长皮特·海格塞斯推行的“武器装备采购转型系统”强调消除官僚主义，与CMMC的繁琐程序形成冲突。基本面分析显示，中小企业管理局反馈称，CMMC合规已成为中小企业参与国防业务的不可逾越壁垒。

展望未来，戴维斯已授权成立“CMMC改革工作组”，将在60天内提出替代框架，优先考虑技术交付速度、降低准入门槛，并以日常网络防护措施取代高成本第三方认证。此举可能重塑国防工业网络安全生态，利好具备灵活合规能力的中小供应商。

关键词：CMMC, 美国国防部, 网络安全, 承包商合规, 中小企业, 供应链安全, 采购改革, 第三方评估