CMMC將邁入新階段 Self-Assessment與CCA能力的重要性提升

環奧國際驗證（TCIC）全球營運總經理梁日誠指出，美國戰爭部（DoW）近日於 Unified Agenda 公布 RIN 0790-AM01，預計修訂 32 CFR Part 170（Cybersecurity Maturity Model Certification, CMMC Program）。此次修訂將推動 NIST SP 800-171 Rev.2 正式接軌 Rev.3，並更新 CMMC 所引用的相關要求，象徵 CMMC 即將邁入 NIST SP 800-171 Rev.3 時代。

此次修訂除導入 Rev.3 的重要變更，包括更明確的安全要求（Added Specificity）及 Organization-Defined Parameters（ODPs） 外，也將同步調整行政程序與文字內容，並預計採用 Interim Final Rule（IFR） 方式發布，以加速新版制度導入。

梁日誠表示，若將此次修訂與近期美國政府一系列政策，包括 FAR CUI Rule、NIST SP 800-18 Rev.2、Post-Quantum Cryptography（PQC）、AI Security、Brilliant Basics 所強調的IT與OT並重，一併觀察，可以發現美國正逐步建構新一代國防供應鏈資安治理架構。

值得注意的是，DoW 已於今（2026）年7月13日宣布即時暫停原訂於今年11月實施的 CMMC Phase II 要求，但 Phase I 的 Level 1與Level 2 Self-Assessment 要求仍持續適用。同時，DoW 表示將全面檢討 CMMC，以配合 Acquisition Transformation System（ATS） 改革方向，加速能力建置、降低中小企業及非傳統國防承包商參與門檻，並以更具擴充性（Scalable）與韌性（Resilient）的資安措施，取代過度繁瑣的合規流程。

此外，DoW依據32 CFR Part 170.3的裁量權，將 CMMC Level 2（C3PAO） 採購要求延後，梁日誠認為，這代表市場俗稱的 「CMMC Phase 2 Pause」 並非放棄 CMMC，而是採取更具風險導向（Risk-Based）及彈性的制度導入策略。

梁日誠並指出，Phase II 暫停的是 C3PAO 第三方評鑑的合約要求，並不影響CMMC Level 2（C3PAO）自願性評鑑，亦不影響 Phase I/II 的 Self-Assessment。 依據 32 CFR §170.16，Level 2 Self-Assessment 須由 OSA（Organization Seeking Assessment）完成，並提交 SPRS、完成PoAM(若有)與Affirmation，相關評鑑證據亦須依法保存。因此，在現階段 Self-Assessment 的重要性反而更加提升，企業必須建立自主評鑑能力，包括Level 2評鑑方法、制度文件、證據管理及持續合規等能力。

梁日誠亦表示，這也使 CMMC Certified Assessor（CCA） 的價值不再侷限於 C3PAO 第三方評鑑，而將成為企業建立Self-Assessment、制度建置、證據管理及持續合規能力的核心專業能力。企業可培養具備 CCA 能力的內部人員，也可由具備 CCA 能力的專業人員提供差距分析、模擬評鑑、PoAM及制度建置等協助，惟Self-Assessment、Affirmation 及最終合規責任仍由 OSA 承擔。這也使 TCIC 做為 Approved Training Provider（ATP） 所提供的 CCP 與 CCA 課程更加重要。

未來，企業真正需要建立的，不只是通過一次 CMMC 驗證的能力，而是持續符合 CUI、AI、PQC、IT／OT 及供應鏈安全 要求的資安治理能力，以及自主執行 Self-Assessment 的專業人才與制度。美國正在重建的，不只是 CMMC，而是整個國防供應鏈的資安治理架構。

■TCIC聯絡電話：