国防部暂停CMMC第二阶段的实施，并寻求行业对未来改革的意见

美国国防部首席信息官（CIO）于2026年7月13日暂停了网络安全成熟度模型认证（CMMC）第二阶段的实施，并成立了CMMC审查改革工作组，以重新评估CMMC计划、减轻合规负担，并收集业界关于未来网络安全要求的直接反馈。

关键事件与时间节点：

• 2026年7月13日：CIO备忘录暂停CMMC第二阶段实施，待进行60天的审查。
• 2026年7月13日：国防部发布信息征询书“改革CMMC并减轻国防合规负担”，宣布成立CMMC改革工作组，行业反馈截止日期为2026年8月14日（美国东部时间中午）。
• 2026年11月：CMMC第二阶段原定实施计划已暂停。

暂停影响与合规要求：

• 暂停期间，CMMC二级（C3PAO）和三级（DIBCAC）认证评估不再进行。
• 承包商仅需遵守自我评估要求，除非部门发布修订后的指南。
• 现有包含CMMC二级或三级要求的征集文件应尽快修改删除这些要求。
• DFARS 252.204-7012和NIST SP 800-171修订版2的要求仍然有效。

国防部征求业界反馈的内容：

• CMMC改革工作组应建议的政策变更，以提升针对网络威胁的运营韧性。
• 制造了有限网络安全效益，却带来了过度成本和管理负担的监管要求。
• 自我评估和相关报告的挑战。
• 部队如何识别商用网络安全工具、平台和托管服务的有效使用。
• CMMC和NIST SP 800-171合规相关的成本驱动因素和管理负担。

研究结论与建议：

• 暂停审查的结果可能对CMMC要求的结构、第三方评估义务、自我声明流程以及国防承包商更广泛的网络安全合规期望产生重大影响。
• 若组织在合规成本、评估挑战或运营负担方面遇到显著困难，应强烈考虑参与RFI流程。
• 政府合同团队可协助客户评估暂停的影响，并在2026年8月14日截止日期前起草针对RFI的战略响应方案。