较晚采用者最容易放缓认证进度
田纳西州纳什维尔，10月1日 /PRNewswire/ -- 国防工业基础（DIB）CMMC服务提供商Redspin今日发布《Committed to the Mission: The State of the DIB with CMMC in Flux》，这是其第三份年度研究，旨在考察国防承包商如何推进CMMC，包括其投入、现有的NIST和DFARS要求，以及CMMC进程。该报告于2026年夏季开展，收集了存储、处理和/或传输受控非密信息（CUI）和联邦合同信息（FCI）的承包组织反馈。
研究结果显示，国防部对原定于2026年11月10日开始的CMMC第二阶段实施的临时暂停，给部分DIB组织提供了延缓或放慢认证努力的机会。不过，大多数受访者表示，他们仍在继续推进CMMC认证，或已获得Level 2，同时维持或提升其在DFARS 252.204-7012要求下的现有《国防联邦采购条例补充》（DFARS）和美国国家标准与技术研究院（NIST）网络安全工作。该条款自2017年起执行。
Redspin副总裁兼首席CCA Thomas Graham博士表示：“数据表明，没错，这次暂停给了一些组织放慢CMMC努力的机会，但另一方面，许多组织实际上仍在继续前进。尤其令人鼓舞的是，组织仍然认识到独立第三方验证的价值。CMMC虽然处于变化之中，但DFARS和NIST义务并没有消失，保护CUI的责任也没有消失。”
根据Redspin的研究：
- 75%的受访者表示，尽管第二阶段暂停，获得Level 2认证的价值不仅仅在于合同资格，其中68.8%认为其价值在于独立网络安全验证，62.5%认为体现了保护CUI的承诺，58.3%认为有助于改善网络安全态势。
- 78.2%的组织表示，他们仍在继续推进CMMC认证，或已通过第三方获得Level 2认证。21.9%的受访者表示，他们正在延迟认证，或大幅放慢实施和认证工作。
- 多数受访者，即75.4%至84.4%，表示其在多项技术和工作领域的网络安全支出没有变化。与减少支出相比，增加支出在安全相关类别中更为常见，尤其是在实施相关领域，包括托管服务、云基础设施和服务、治理、风险与合规工具，以及NIST/DFARS咨询。
CMMC认证支出出现一定回落，20.3%的受访者暂停了认证支出，另有3.1%减少了这类支出。在暂停NIST 800-171咨询、安全运营中心/安全信息与事件管理/托管服务提供商服务或云平台支出的受访者中，100%也表示他们暂停或放慢了CMMC相关努力。与认证支出不同，这些投入支持的是基础网络安全实施和运营，而无论CMMC第二阶段时间表如何，这些投入都仍然重要。
Graham博士表示：“如此多的DIB组织继续强化其网络安全态势并持续投入，证明了CMMC带来的价值。即便第三方认证要求被暂停，75%的受访者仍然认为获得Level 2有价值，而独立网络安全验证是最主要的原因之一。尽管DFARS 252.204-7012自2017年以来就是一项要求，但正是CMMC的正式启动和执行，促使许多此前忽视防御态势的组织开始行动。这种势头在最近的暂停之后仍在延续。”
数据显示，主要承包商在决定其分包商认证时间表方面可能仍将发挥关键作用。只有23.3%的主要承包商（prime）正在放宽对分包商（sub）满足第二阶段要求的规定，另有39.5%仍在决定中。76.6%的分包商表示，他们尚未收到来自主要承包商关于暂停的任何沟通，只有10.6%表示其主要承包商暂停了CMMC要求。
Graham博士说：“与第二阶段暂停之前一样，主要承包商将在决定其分包商何时需要完成认证方面发挥重要作用。分阶段的CMMC时间表很重要，但它未必是承包商唯一需要关注的时间表。如果你的主要承包商告诉你，他们需要在某个日期前完成第三方评估，那么这个时间表对你的业务可能更为重要。”
如今已进入第三年，Redspin的年度CMMC研究报告持续追踪DIB在加强网络安全和CMMC准备方面的进展与势头。今年的研究跨越了第二阶段暂停宣布前后数周，提供了一个独特视角，观察组织如何应对这一变化。暂停之后，调查内容被调整为重点关注DIB公司如何推进网络安全、满足DFARS和NIST安全义务，以及开展CMMC工作。今年的结果显示，DIB在网络安全方面的做法已更加成熟，各组织仍在持续投资，以保护对我们的作战人员及其任务至关重要的敏感信息。
如需下载Redspin完整报告，请访问：https://redspin.com/2026-2027-cmmc-report
关于Redspin
Redspin帮助联邦机构和DIB组织增强网络韧性，保护受控非密信息（CUI），并满足NIST SP 800-171和DFARS 252.204-7012的网络安全要求。作为值得信赖的托管安全与合规合作伙伴，我们在GCC High、本地部署和混合云环境中提供网络安全咨询、迁移、管理以及持续的24/7威胁检测。Redspin长期以来一直是CMMC、培训、认证等领域的领先者，也是值得信赖的ESP。我们帮助降低网络风险、增强韧性，并保护对国家安全至关重要的敏感信息。了解更多，请访问redspin.com。
