2025 年 11 月 10 日，美國國防部（又稱戰爭部）正式宣布，將 「網路安全成熟度模型認證」（Cybersecurity Maturity Model Certification, CMMC 2.0） 納入所有新的國防招標與合約續約條件，象徵這項長達六年的資安制度改革正式從「規劃階段」邁入「強制執行」的新里程碑。
對所有處理 受控非機密資訊（Controlled Unclassified Information, CUI） 及 聯邦合約資訊（Federal Contract Information, FCI）——亦即政府提供或產生但未公開的合約資料——的承包商、製造商與供應鏈夥伴而言，資安成熟度已成為能否競標國防合約的關鍵門檻。
簡言之，資安防護能力 = 市場競爭力 = 國防戰備力（Mission Readiness）。
這不僅是一場合規制度的變革，更是對整體國防產業鏈「信任體系」的重塑。
為何這次改革至關重要
CMMC 的核心理念是 「以可驗證的證據取代口頭承諾」。
多年來，美國國防供應鏈依靠自我聲明運作，導致實際落實度參差不齊。CMMC 2.0 強化了以下三大改變：
- 標準化：所有承包商依同一套資安標準評估。
- 分級化：依資訊敏感度實施對應控管。
- 可執行：大部分企業必須通過第三方認證（C3PAO）或受限自評核查，並將結果上傳至 Supplier Performance Risk System (SPRS)。
依據 DFARS 252.204-7012 條款，承包商需達到 NIST SP 800-171 Rev.2 的 110 分合格標準，並提供可驗證的技術與管理證據，包括：
- 多因子驗證（MFA）與帳號控管
- 系統修補與漏洞修復紀錄
- 存取控制與稽核追蹤文件
- 定期備份測試與復原計畫
簡言之，CMMC 將國防資安從「信任」轉變為「可證明的信任」。
三階段實施：從自評到全面第三方核證
CMMC 2.0 將分三年逐步推動：
- 2025–2026 年：所有廠商完成 Level 1 或 Level 2 自我評估。
- 2026–2027 年：需透過第三方（C3PAO）驗證 Level 2。
- 2027 之後：處理最敏感資料者，必須達到 Level 3，並通過 DIBCAC 審查。
專案經理（Program Managers）亦可在第一階段要求特定專案進行外部審查，以確保關鍵防務項目符合最高資安門檻。
現況與挑戰：準備落差與錯誤認知
儘管 CMMC 自 2019 年提出，多數企業仍存在「觀望」或誤解現象。
CMMC授權第三方評估機構(C3PAO)Redspin的報告指出，在美國超過 8 萬家防務供應鏈企業中：
- 截至2025 年10 月份 CyberAB (CMMC官方授權的認證管理機構)的公開說明會，僅不到 500 家通過 CMMC Level 2 認證
- C3PAO發現僅約 1% 承包商具備審查準備度
主要原因包括：
- 政策歷史反覆，企業對落地時程缺乏信心
- 對法規要求誤讀，以為 CMMC 引入全新標準
- 缺乏完整文件化證據與稽核機制
實務上，CMMC 並非全新規範，而是要求企業證明已落實既有 NIST 標準。過去「簽了就算符合」的時代已結束，現在必須「證明你真的做到」。
法律與財務風險：虛假聲稱將引爆合約風暴
簽署含 CMMC 條款的合約即承擔法律義務。未達要求或虛假宣稱可能導致：
- 合約違約與停權
- 美國司法部（DOJ）調查與懲處
- 吹哨者訴訟與名譽損害
- 《虛假申報法》（FCA）罰金，每項違規可超過 10,000 美元，並附加三倍政府損失賠償
對中小企業而言，CMMC 不僅是合規挑戰，也是生存門檻與財務風險管理課題。
供應鏈重構：強者恆強，弱者出局
隨著 CMMC 強制化，國防供應鏈正出現兩極化：
- 已完成認證且資安成熟的廠商 → 擴張市占，成為首選合作夥伴
- 尚未準備的供應商 → 可能被主承包商取代
主承包商必須確保所有次承包商符合相同 CMMC 標準，否則自身合約亦可能受影響。對中小企業而言，資安治理能力將成為合作入場券。
對臺灣的啟示：供應鏈韌性治理新方向
美國 CMMC 2.0 為全球防務產業建立新的供應鏈資安標準，其精神對臺灣同樣具借鏡意義：
- 供應鏈安全是共同責任 → 主承包商需確保每一層供應商皆具備等級化防護
- 「證明能力」比「承諾能力」更關鍵 → 透過稽核、文件與技術控管展示成熟度
- 從法遵走向戰備思維 → 資安不只是防禦，更是產業韌性與國防安全的一環
未來，臺灣若希望參與美國或北約防務供應鏈，導入類 CMMC 架構（以 NIST 800-171 為核心）將是必然趨勢。
結語：CMMC 合規即國防戰備力
CMMC 強制執行代表美國國防供應鏈正式邁入「可驗證安全」時代。
它不僅是法規要求，更是一場關於 「信任、透明與國防韌性」 的制度革命。
對全球供應鏈而言，CMMC 正成為衡量合作夥伴「是否值得信任」的新基準。
「CMMC 合規，即是國防戰備力。」