引言
CMMC 已从拟议政策转变为可强制执行的合同要求。网络安全成熟度模型认证（Cybersecurity Maturity Model Certification）已于 2025 年 11 月正式纳入《国防联邦采购条例补充条款》（DFARS），其下一阶段如今有了确定的日期：自 2026 年 11 月 10 日起，国防部可将合同授予与第三方 CMMC 二级认证挂钩，适用于任何涉及受控非机密信息（CUI）的工作；对于敏感度最高的合同，则以三级评估为条件。这并非仅与美国相关。国防供应链中的任何组织，包括为美国国防项目提供支持的欧洲分包商、技术供应商和服务提供商，只要 CUI 经过其系统，就都在该要求的适用范围之内。
三个级别概览
- 一级：对联邦合同信息（FCI）进行基本保护，通过年度自我评估进行验证
- 二级：全面符合 NIST SP 800-171 的全部 110 项控制措施；自第二阶段起，通常须由经认证的第三方评估机构（C3PAO）进行第三方评估，部分合同允许每三年进行一次自我评估，并辅以年度确认声明
- 三级：最高级别，由国防工业基地网络安全评估中心（DIBCAC）评估，专门适用于最敏感的项目
为何这在美国以外同样重要
CMMC 通过合同条款沿供应链向下传导，而不是按地域划分。为美国主承包商提供支持的欧洲系统集成商、云服务提供商或零部件制造商，只要受控非机密信息触及其环境，就与美国本土分包商受同一要求约束。对于寻求与美国国防相关业务的欧洲企业而言（这是拓展美国市场的组织明确提出的增长目标），CMMC 准备工作已不再是遥远的美国政策问题。一旦第二阶段生效，它就是决定一份投标是否有资格进入授标考虑范围的先决条件。
110 项控制措施背后的证据难题
NIST SP 800-171 的 110 项控制措施细分为 320 个独立的评估目标，C3PAO 评估员期望每一项都有证据支撑，而不是声明。正在准备二级认证的组织一致反映，在 14 个控制族中记录审计日志、访问记录和配置历史，是整个认证过程中工作量最大的部分，甚至超过实施控制措施本身。一项控制措施即使存在，如果无法为评估期提供站得住脚的证据链，也无法通过评估。
在第二阶段到来之前建立证据链
将 CMMC 证据视为在预定的 C3PAO 评估前几周才汇总的材料的组织，一贯低估了所需的工作量。涉及访问历史、配置变更日志和事件记录的评估目标，要求有一条贯穿整个评估期的连续证据链，而不是事后补做的快照。在 2026 年 11 月的截止日期之前立即开始建立这条证据链，决定了评估是依托现有证据，还是需要凭记忆、从彼此割裂的系统中重建数月的历史。
对于寻求美国国防相关合同的欧洲组织而言，CMMC 准备工作如今已是市场准入要求，而非未来才需考虑的事项。了解 ROOTKey 如何为包括 NIST SP 800-171 在内的合规框架建立连续、可随时审计的证据链。