什麼是 CMMC？台灣供應鏈廠商的 CMMC 2.0 指南

一句話回答
CMMC（網路安全成熟度模型認證）是美國國防部要求供應鏈廠商通過的資安認證，用來確保廠商妥善保護國防合約相關資訊；沒有達到合約指定的等級，就不能承接或續約國防合約。

重點速覽

• CMMC 2.0 分三個等級：L1 基礎級、L2 進階級、L3 專家級，依你處理的資訊敏感度決定。
• L2 是多數廠商的目標，對應美國 NIST SP 800-171 的 110 項要求。
• 2025 年 11 月 10 日起，CMMC 已寫進新的國防合約；第一階段（自評）持續有效。
• 截至 2026 年 10 月，第二階段（第三方評估）在 2026 年 7 月宣布暫停審查，尚未公布新日期——但這不代表可以不準備。
• 台灣廠商只要在美國國防供應鏈裡（包含分包），都可能被主約商要求。

什麼是 CMMC？

CMMC 全名是 Cybersecurity Maturity Model Certification，中文為「網路安全成熟度模型認證」，由美國國防部（Department of Defense，DoD）制定。

它要解決的問題很直接：美國國防供應鏈裡有數十萬家廠商，國防相關的設計圖、規格、合約資訊會在這些廠商之間流動。過去國防部只要求廠商「自我聲明」有做好資安，但多年來的稽核發現，很多廠商實際上沒有做到。CMMC 把「自我聲明」改成「要經過評估、拿得出證據」。

CMMC 保護哪兩種資訊？

判斷原則：只碰 FCI 的，做 L1；會碰到 CUI 的，至少要 L2。 你需要哪個等級，最終會寫在合約裡。

從 1.0 到 2.0

CMMC 1.0 在 2020 年 11 月推出，有五個等級，還有一些 CMMC 自創的要求，許多中小廠商反映太複雜。2021 年 11 月，國防部推出 CMMC 2.0，簡化成三個等級，並直接對齊 NIST 的既有標準，不再另外發明要求。

誰需要 CMMC？

• 直接承接美國國防部合約的主約商。
• 主約商的分包商與供應商——包含海外廠商。主約商必須把 CMMC 要求往下傳遞給處理 FCI 或 CUI 的供應商。
• 唯一常見的例外：只提供一般商用現貨（COTS）的廠商。

對台灣廠商來說，最常見的情況是：你的美國客戶是國防主約商，他們開始在採購條件裡要求你提供 CMMC 等級或 SPRS 分數。

雲端服務商呢？ 雲端服務本身不需要取得 CMMC 認證，但若存放 CUI，必須符合 FedRAMP Moderate 或同等要求。

CMMC 2.0 三個等級

名詞說明：SPRS 是國防部的供應商績效風險系統，自評分數登錄在這裡；C3PAO 是經 Cyber AB 授權的第三方評估機構；DIBCAC 是國防部的國防工業基礎資安評估中心。

L2 的 14 個領域

存取控制、意識與訓練、稽核與可歸責性、組態管理、識別與鑑別、事件應變、維護、媒體保護、人員安全、實體保護、風險評估、安全評估、系統與通訊保護、系統與資訊完整性。其中存取控制一個領域就佔了 22 項，是準備時最花工夫的部分。

分數怎麼算？

• 110 項全部符合，取得 Final（正式） 狀態，效期三年。
• 得分在 88 至 109 分之間，可取得 Conditional（有條件） 狀態，但未完成的項目必須列入改善計畫（POA&M），並在 180 天內全部結案，否則資格會被撤銷。
• 某些關鍵項目不允許列入改善計畫，必須在評估時就做到。

時程：截至 2026 年 10 月

第二階段暫停了，還要準備嗎？

要。原因有三：

1. 第一階段沒有暫停。 L1、L2 自評要求仍然有效，新合約仍會寫進條款。
2. 準備期很長。 從零到能通過 L2 評估，一般需要 6 到 18 個月，等到恢復時才開始就來不及。
3. 評估量能有限。 美國政府審計署（GAO）統計，2025 年 12 月時全美只有 92 家 C3PAO，要面對上萬家需要 L2 的廠商。據 CyberAB 在 2025 年 10 月的說明，當時通過 L2 認證的廠商還不到 500 家。

本段資訊變動快，請以美國國防部 CIO 官網公告為準。

如何準備 CMMC：六個步驟

1. 確認等級與範圍：從合約與客戶要求確認你需要 L1 還是 L2，並找出 FCI、CUI 會經過哪些系統、人員、地點。產出：範圍界定文件。
2. 劃出 CUI 邊界：盡量把 CUI 集中在少數系統，縮小評估範圍能大幅降低成本。產出：系統邊界圖。
3. 差距分析：對照 110 項要求逐條檢查現況。產出：差距分析表、初步 SPRS 分數。
4. 撰寫系統安全計畫（SSP）：說明每一項要求在你的環境裡怎麼做到。這是評估時第一份會被檢查的文件。產出：SSP。
5. 補齊控制、蒐集證據：處理差距，並為每一項要求準備證據（設定截圖、掃描報告、日誌、訓練紀錄、程序書）。產出：證據包、改善計畫（POA&M）。
6. 自評或接受評估，並持續維護：自評結果登錄 SPRS；需要第三方的，委託 C3PAO。之後每年提交合規確認。產出：評估結果、年度確認。

費用參考

依據美國國防部 2024 年的法規影響分析，小型企業達成並維持 L2 的五年成本約 3.7 萬至 12 萬美元，實際金額取決於範圍大小與現有成熟度。

常見誤區

• 以為「我們是台灣廠商，不受美國法規管」。 CMMC 是透過合約傳遞的，不是透過國籍。
• 以為做完 NIST 800-171 就等於通過 CMMC。 要求相同，但 CMMC 要的是「被驗證過」，證據要能經得起評估員檢查。
• 評估範圍沒切好。 把整個公司都納入範圍，會讓工作量和費用倍增。
• 只準備文件，沒有運作紀錄。 評估員要看的是控制措施持續在運作，不是評估前一週才補的文件。
• 虛報自評分數。 不實的合規聲明可能觸犯美國《虛假申報法》（False Claims Act），面臨三倍賠償。

CMMC 與其他框架的關係

延伸閱讀：〈什麼是 ISO 27001〉、〈什麼是合規〉

Guidant AI 如何協助

CMMC L2 評估最核心的三樣東西——系統安全計畫（SSP）、證據、改善計畫（POA&M）——正是 Guidant AI 管理的核心物件。

• 內建 CMMC 2.0 框架：L1、L2 控制項與評估目標已建好，可直接啟動專案。
• 系統安全計畫：逐條記錄每個控制項的實作狀態與說明，可匯出成文件交給評估員。
• 任務與證據：每一條評估目標對應到具體任務與負責人，證據上傳後直接掛在對應項目下；AI 協助判斷證據該歸到哪一條。
• 自動化檢測：透過部署在您環境的檢測 Agent 執行弱點掃描與組態檢查，報告自動成為證據。
• 內部稽核與改善計畫：先做內部預評估，發現的缺失直接產生改善計畫並追蹤到期日。
• 落地部署：可安裝在您自己的機房，CUI 相關的證據不必上傳到外部雲端。

Guidant AI 不是 C3PAO，不會核發 CMMC 認證。我們幫助您在評估前把準備做完整、證據一次備齊。

預約產品展示 →

看 Guidant AI 怎麼對應 →

常見問題