監管警示：CMMC 暫停的是第三方查核，不是貴公司的合規義務

關注標的： 美國戰爭部 2026 年 7 月 10 日備忘錄／NIST SP 800-171 Rev. 2／DFARS 252.204-7012／《不實請款法》

7 月 13 日發生了什麼

2026 年 7 月 13 日，美國戰爭部透過題為「Forging the Arsenal of Freedom」（鍛造自由兵工廠）的新聞稿，宣布立即暫停 CMMC Phase II 要求，文章編號 4542329；正式依據是 2026 年 7 月 10 日簽署的備忘錄。Phase II 原訂生效日為 2026 年 11 月 10 日。

戰爭部同時成立 CMMC 改革工作小組，限 60 天內提出建議，理由是制度成本負擔過重、合格評鑑員人力不足，以及 CMMC 必須與採購轉型系統（Acquisition Transformation System）接軌。

多數台灣製造業者並非直接承接美國政府合約，而是依主承包商的採購單供應零件與次組件。這次決定改變的只是認證時程，不是既有義務。

實際上暫停的是什麼

Phase II 是 CMMC 分階段導入的一環。原規劃中，許多處理受管制非機密資訊 CUI 的專案，必須先取得 C3PAO 第三方評鑑認證才能獲授新合約。這道門檻目前暫停，等待改革工作小組完成審查。

貴公司若為趕上 11 月時程已排定 C3PAO 評鑑，短期內不會因尚未取得認證而失去投標資格；但主承包商仍可依供應鏈風險政策要求問卷或稽核。

今天仍然約束貴公司的義務

暫停的範圍到此為止。以下三組要求完全沒有變動。

CMMC Phase I 自我評估與聲明

接觸聯邦合約資訊 FCI 的企業，仍須完成 Level 1 自我評估與聲明；接觸 CUI 的企業，仍須完成 Level 2 自我評估與聲明。貴公司即使不直接向美國政府投標，只要主承包商把圖面、規格或技術資料交給貴公司處理，就可能被採購條件要求證明評估狀態。業務、資訊與品保得共同確認：手上是哪一類資料、落在哪個層級、由誰簽署。

NIST SP 800-171 Rev. 2 的 110 項控制措施

110 項控制措施仍是保護 CUI 的適用標準，目前主要透過自我評估落實，政府也保留主導部分評鑑的權力。政府並未停止查核，只是改變了第一輪由誰負責查核。貴公司要能以制度文件、系統設定、權限與事件紀錄，證明控制措施確實在運作，而不是交出一張打勾的檢核表。

DFARS 252.204-7012 與轉包機制

該條款的契約性資安防護義務仍然完全有效。主合約一旦納入，主承包商就會透過轉包（flow-down）機制，把要求寫進給貴公司的採購單、供應商條款或分包合約；貴公司即使未與美國政府簽約，同樣要承擔保護資料、通報事件與配合調查的責任。台灣分包商尤其要留意：這些義務多半不在顯眼的主約裡，而是藏在採購單的引用條款與線上一般條款中。

真正該擔心的事：自我聲明與《不實請款法》

這正是多數供應商容易誤判的地方。第三方認證暫停後，自我評估成為過渡期標準——Hunton Andrews Kurth 律師事務所在其分析簡報中也指出這一點。企業必須自行判斷是否符合 NIST SP 800-171，並自行聲明結果。主承包商往往把這份聲明直接列為供應商核准與報價的條件。

表面上像是鬆綁，實際上是風險轉移。貴公司提交到 SPRS 的每一筆分數、簽署的每一份聲明，都是對美國政府作出的正式陳述。不實聲明——包括因輕率大意，或放任舊分數繼續掛在系統上而導致的失實——都可能引發《不實請款法》（False Claims Act）責任，這是美國政府追究承包商虛報合規時最主要的法律工具。

過去在貴公司聲明之前，獨立評鑑員會先行檢查，形成一道安全網；現在這道安全網暫時不存在。經營層該問的已經不是「什麼時候接受評鑑」，而是「我們今天報出去的分數，撐不撐得住政府或主承包商的查驗」。

台灣製造業者現在該做什麼

一、不要暫停貴公司的合規計畫

工作小組將在 60 天內提出建議，認證要求很可能以修訂後的形式回歸；而無論小組提出什麼，NIST SP 800-171 與 DFARS 7012 都不曾中止。此刻收手，等於制度恢復時從頭再來。

二、盤點 FCI 與 CUI 的資料範圍

清查哪些系統、人員、廠區與協力商會接觸美國國防資料。範圍界定不清，Level 判定、控制設計與聲明都不可能準確，這是其餘動作的前提。

三、以佐證回頭核實 SPRS 分數

逐項核對已提交的分數，確認每一分都有可交付政府評鑑員查驗的證據，設定未落地者立即更正。一個持續留存的虛高分數，正是日後《不實請款法》爭議中最清楚的書面紀錄。

四、檢查轉包條款

逐一檢視與主承包商往來的採購單、供應商手冊與分包合約，確認是否納入 DFARS 252.204-7012 及其通報時限。這些條款並未暫停，主承包商的合規團隊會持續追蹤。

五、把自我評估當成正式稽核來做

依 110 項控制措施進行結構化審查、完整彙編佐證資料，持續更新系統安全計畫 SSP，並以 POA&M 誠實記錄未完成項目與期限。檢驗標準只有一個——這份評估能不能通過一次政府主導的查核。

六、緊盯 60 天窗口

指定專人追蹤工作小組建議與合約文字變更，並向主承包商確認過渡期的驗證方式。小組建議將決定認證制度回歸後的樣貌，維持動能的企業屆時自然站在隊伍最前面。

結論

這次暫停改變的是認證時程，不是合規實質。對透過採購單進入美國國防供應鏈的台灣製造業者而言，可驗證的 NIST SP 800-171 合規能力，加上足以支撐聲明的完整佐證資料，現在已經直接牽動供應商資格與主承包商的信任，而不只是表格上的勾選項目。

把這次暫停視為提前整備的窗口，而不是合規假期。等要求再度收緊，資料邊界清楚、SPRS 分數站得住、SSP 與 POA&M 完整的企業，才有辦法立刻回應查核，守住手上的訂單。

資料來源

• 美國戰爭部，「Forging the Arsenal of Freedom」，war.gov，文章編號 4542329，2026 年 7 月 13 日
• Crowell & Moring 律師事務所，關於 CMMC 60 天改革審查的客戶通報，2026 年 7 月
• Hunton Andrews Kurth 律師事務所，關於 NIST SP 800-171 自我評估作為過渡期標準的分析簡報，2026 年 7 月

本簡報僅供資訊參考，不構成法律意見；具體情況請諮詢具資格的法律顧問。