法規觀察
持續追蹤影響國防供應鏈合規要求的法規動態與政策變化，協助您掌握義務與時程。
FCC 針對含受管制清單零組件之設備禁止取得新設備認證的第三號報告與命令，本站七月曾報導其「已通過、尚未生效」；該命令已於 2026 年 9 月 11 日刊登聯邦公報，生效日訂為 2026 年 10 月 13 日。同一份文件另訂線上市集顯示 FCC ID 的兩個 2027 年遵循期限，並將受管制清單 UAS 與路由器的第一類、第二類許可變更豁免延長至 2029 年 1 月 1 日。本期觀察區間未發現其他新的 CMMC、SPRS、800-171、受管制清單或 UAS 相關發展。
美國 NIST 密碼模組驗證計畫 CMVP 的過渡時程，訂於 2026 年 9 月 21 日把所有 FIPS 140-2 證書移入 Historical List。既有系統仍可繼續採購與使用，新系統則應改採 FIPS 140-3 模組。同期 NIST 另發布 SP 1352 小型企業評估入門指南，屬非拘束性指引；以及 Draft NIST IR 8623 聯邦機關 O-RAN 的 CSF 2.0 Profile 草案，意見徵詢至 2026 年 11 月 2 日，現階段不構成任何認證或市場准入要求。三者分屬三種不同的法律地位，不宜混為一談。
FCC 公共安全暨國土安全局於 2026 年 9 月 9 日發布 DA 26-957，公告美國戰爭部已對 ASUS Computer International 與 Comtrend Corporation 康全電訊的指名路由器產品核發附條件核准，效期自 2026 年 9 月 9 日至 2028 年 3 月 6 日，這些設備因而自受管制清單的外國生產路由器限制中排除。核准同時綁定特定法人與特定型號，也不取代一般的 FCC 設備認證程序。
FCC 的 UAS 進口與行銷案出現第二批被指名實體，並透過授權關係觸及一家在美國註冊的生產者。同時，主管機關駁回一件展延聲請、准許另一件，並因關係企業揭露不完整，擬對兩家受管制清單實體處以罰鍰。另已確認，Blue UAS 與國內最終產品的豁免效期延長至 2028 年 1 月 1 日。
FCC 首度在本制度下以事由撤銷 Odyssey Robot LLC 的設備認證，並連續核發兩輪路由器附條件核准；變流器新命令同時收窄機型範圍、擴大遠端連線判準，另設國內成本排除路徑。美國國防部雖將 CMMC 由 NIST SP 800-171 Rev. 2 移轉至 Rev. 3 列入統一議程，目前仍無擬議規則、生效日或強制期限。
FCC 於 91 Fed. Reg. 48108 啟動程序，研議禁止已持有有效認證的外國受管制 UAS、關鍵零組件及特定監視設備繼續進口與行銷；91 Fed. Reg. 51139 的第三次後續擬議規則制定公告，則擬議要求申報 HBOM／SBOM、新增以生產地為判準的受管制清單類別，並設置美國境內責任方。兩案目前都僅屬擬議，尚無任何一項生效——但持有有效 FCC ID 已不再是安全港。
FCC 第三次報告與命令將審查判準從機殼上的品牌下沉至電路板上的料號；同期兩份附條件核准公告，首度出現以產品類別層級核發的案例，直接改變申請的成本結構。
2026 年 7 月 13 日，美國戰爭部宣布暫停 CMMC Phase II，並啟動 60 天改革審查。第三方評鑑不再是取得合約的門檻，但 Phase I 自我評估、NIST SP 800-171 Rev. 2 與 DFARS 252.204-7012 全數持續有效。當自我評估成為過渡期標準，事前的獨立查核消失，聲明失實的《不實請款法》風險反而更高。
