監管警示：CMMC 暫停解除的是查核機制，卻放大了自我聲明的法律責任

關注標的： 美國戰爭部 2026 年 7 月 10 日備忘錄／NIST SP 800-171 Rev. 2／DFARS 252.204-7012／《不實請款法》

一、暫停的是評鑑，不是義務

2026 年 7 月 13 日，美國戰爭部宣布立即暫停 CMMC Phase II 要求；其主管機關正式命令為 2026 年 7 月 10 日簽署的備忘錄。Phase II 原訂生效日為 2026 年 11 月 10 日。戰爭部同時成立 CMMC 改革工作小組，要求 60 天內提出建議，理由為制度成本負擔過重、合格評鑑員人力不足，以及須與採購轉型系統接軌。

實際暫停的範圍： 涉及受管制非機密資訊的專案，原須取得第三方評鑑認證才能符合新合約授予條件，此一要求暫停執行。原為趕上 11 月時程安排的 C3PAO 評鑑，短期內不再是取得合約的門檻。

未受影響的義務： Phase I 自我評估與聲明、NIST SP 800-171 Rev. 2 的 110 項控制措施、DFARS 252.204-7012 的契約性資安防護義務，三者持續有效。台灣分包商尤須留意——這些義務多半不是來自與美國政府的直接合約，而是經由採購單與分包合約中的轉包條款落到貴公司身上。

二、摒棄誤區：這不是鬆綁，而是風險轉移

多數供應商把暫停解讀為壓力解除，這個判斷方向錯誤。

第三方認證暫停後，自我評估成為過渡期標準。企業必須自行判斷是否符合 NIST SP 800-171，並自行聲明結果。過去在聲明之前，獨立評鑑員會先行檢查，形成一道事前安全網；現在這道安全網暫時不存在。

風險判斷： 貴公司提交的每一筆自我評估分數、簽署的每一份聲明，都是對美國政府作出的正式陳述。不實聲明——包括因輕率大意而導致的失實聲明——都可能引發《不實請款法》責任，這也是美國政府追究承包商虛報合規時的主要法律工具。合規計畫要回答的問題已經改變：不是「什麼時候接受評鑑」，而是「我們現在作出的聲明，能不能經得起查驗」。

三、策略行動議程

1. 界定資料範圍

• 立即執行： 盤點哪些系統、人員與場域會接觸 FCI 與 CUI。
• 目標： 範圍未界定清楚，任何聲明都不可能準確。這是其餘所有動作的前提。

2. 以佐證回頭核實 SPRS 分數

• 立即執行： 逐項確認已提交的自我評估分數，每一分都有可交付政府評鑑員查驗的文件支持；不足者立即更正。
• 目標： 清除系統中的虛高分數。持續留存的虛高分數，正是日後《不實請款法》爭議的典型起點。

3. 檢查轉包條款

• 立即執行： 逐一檢視與美國主承包商簽訂的採購單及分包合約，確認是否納入 DFARS 252.204-7012。
• 目標： 這些條款並未暫停，主承包商的合規團隊也會持續追蹤。

4. 把自我評估當成正式稽核執行

• 立即執行： 完成結構化控制措施審查、彙編完整佐證、更新系統安全計畫，並以 POA&M 誠實反映未完成項目。
• 目標： 檢驗標準只有一個——這份評估能不能通過一次政府主導的查核。

5. 盯住 60 天窗口

• 立即執行： 追蹤改革工作小組建議，並維持既有合規動能。
• 目標： 要求很可能以修訂後的形式回歸；維持動能的企業屆時站在隊伍最前面。

結論

這次暫停改變的是認證時程，不是合規實質。對正在爭取美國主承包商信任的台灣製造業者而言，可驗證的 NIST SP 800-171 合規能力，加上足以支撐聲明的完整佐證，已是實質的差異化優勢，而不只是表格上的勾選項目。把暫停視為提前整備的窗口而非合規假期，等要求再度收緊時，貴公司手上才會有一份經得起查驗的合規聲明。

資料來源

• 美國戰爭部，「Forging the Arsenal of Freedom」，war.gov，文章編號 4542329，2026 年 7 月 13 日
• Crowell & Moring 律師事務所，關於 CMMC 60 天改革審查的客戶通報，2026 年 7 月
• Hunton Andrews Kurth 律師事務所，關於 NIST SP 800-171 自我評估作為過渡期標準的分析簡報，2026 年 7 月

本簡報僅供資訊參考，不構成法律意見；具體情況請諮詢具資格的法律顧問。