CMMC Phase II 已暫停，這些義務仍然約束你
2026 年 7 月 13 日，美國戰爭部宣布暫停 CMMC Phase II，並啟動為期 60 天的改革審查。對身處美國國防供應鏈的台灣製造業者而言，真正關鍵的義務——Phase I 自我評估、NIST SP 800-171 Rev 2 與 DFARS 252.204-7012——仍完全有效。而在自我評估成為過渡期標準之後，聲明失實所帶來的《不實請款法》風險，反而更高了。
7 月 13 日發生了什麼
2026 年 7 月 13 日，美國戰爭部 Department of War在一份題為「Forging the Arsenal of Freedom」（鍛造自由兵工廠）的新聞稿中，宣布立即暫停 CMMC Phase II 要求，正式命令為 2026 年 7 月 10 日簽署的備忘錄。該階段原定於 2026 年 11 月 10 日生效。
戰爭部同時成立 CMMC 改革工作小組，要求在 60 天內提出改革建議。官方說明的理由有三：制度成本負擔過重、合格評鑑員人力不足，以及需要讓 CMMC 與採購轉型系統 Acquisition Transformation System對齊。
如果貴公司直接或透過主承包商 prime向美國國防工業基礎供應零件、組件或次組件，這項決定改變的是你的時程——而不是你的義務。
實際上暫停的是什麼
Phase II 是 CMMC 分階段實施中的一環：許多處理受管制非機密資訊 CUI的專案，原本將以第三方評鑑認證作為新合約授予的條件。這項要求目前暫停執行，等待改革工作小組完成審查。
實務上的意義是：你原本趕在 11 月前排定的 C3PAO 評鑑，短期內不再是合約門檻。
今天仍然約束你的義務
除此之外，什麼都沒有取消。以下三組義務仍完全有效：
一、CMMC Phase I 自我評估。 處理聯邦合約資訊 FCI的企業須完成 Level 1 自我評估與聲明；處理 CUI 的企業須完成 Level 2 自我評估與聲明。這些要求持續適用。
二、NIST SP 800-171 Rev 2。 110 項安全控制措施仍是保護 CUI 的標準，透過自我評估執行——政府也保留進行部分政府主導評鑑的權力。政府並沒有停止查核，只是改變了由誰先查。
三、DFARS 252.204-7012。 該條款的契約性資安防護義務完全有效。只要條款出現在你的合約中——或由主承包商向下轉包 flow-down給你——無論 CMMC 如何變動，你都受其約束。台灣的分包商尤其要注意：這些義務通常是透過採購單與分包合約中的轉包條款到達你手上，而不是透過與美國政府的直接合約。
真正該擔心的事：自我聲明與《不實請款法》
這是多數供應商會忽略的角度。第三方認證暫停後，自我評估成為過渡期標準——Hunton Andrews Kurth 律師事務所在其分析簡報中即點出這一點。由企業自行評估是否符合 NIST SP 800-171，並自行聲明結果。
聽起來是鬆綁，實際上也是曝險。你提交的每一個自我評估分數、你簽署的每一份聲明，都是對美國政府的正式陳述。不實聲明——包括因輕率大意而失實的聲明——可能構成**《不實請款法》 False Claims Act**責任；這是美國政府追究承包商虛報合規最主要的法律工具。
過去，由獨立評鑑員在你聲明之前先檢查一遍，某種程度上是一張安全網。這張網現在不在了。你的合規計畫要回答的問題，不再是「什麼時候接受評鑑」，而是「我們的聲明經得起檢驗嗎」。
台灣製造業者現在該做什麼
一、不要暫停你的合規計畫。 改革工作小組將在 60 天內提出報告，相關要求很可能以修訂後的形式回歸。更重要的是，無論工作小組建議什麼，NIST SP 800-171 與 DFARS 7012 的義務都持續有效。
二、盤點 FCI 與 CUI 資料範圍。 沒有界定範圍，就無法準確聲明。務必掌握哪些系統、人員與場域接觸美國國防資料。
三、以佐證資料重新核實 SPRS 分數。 如果已經提交自我評估分數，請確認每一分都有可以交給政府評鑑員的文件支持。如果沒有，就更正——留在系統裡的虛高分數，正是日後引發《不實請款法》問題的典型紀錄。
四、檢查轉包條款。 逐一檢視與美國主承包商簽訂的採購單與分包合約中是否含有 DFARS 252.204-7012 條款。這些條款沒有被暫停，主承包商的合規團隊也會持續追問。
五、把自我評估當成正式稽核來做。 結構化的控制措施審查、完整彙編的佐證資料、隨時更新的系統安全計畫 SSP，以及誠實反映未完成項目的 POA&M。標準很簡單：這份評估能不能通過一次政府主導的查核？
六、緊盯 60 天窗口。 工作小組的建議將決定認證制度回歸後的樣貌。持續維持合規動能的企業，屆時將站在隊伍的最前面。
結論
這次暫停改變的是認證的時程，不是合規的實質。對於正在爭取美國主承包商信任的台灣製造業者來說，可驗證的 NIST SP 800-171 合規——加上足以佐證的完整資料——如今是差異化優勢，而不只是一個勾選項。把這次暫停當成領先起跑點、而非假期的供應商，才會在規則再度收緊時，手上握著站得住腳的合規聲明。
資料來源
- 美國戰爭部，「Forging the Arsenal of Freedom」，war.gov，文章編號 4542329，2026 年 7 月 13 日
- Crowell & Moring 律師事務所，關於 CMMC 60 天改革審查的客戶通報，2026 年 7 月
- Hunton Andrews Kurth 律師事務所，關於 NIST SP 800-171 自我評估作為過渡期標準的分析簡報，2026 年 7 月
