美國防部新網安規定：小供應商的生存考驗

美國國防部實施新網路安全規定，要求承包商符合CMMC認證標準，可能排除眾多小型供應商，重塑國防產業供應鏈生態

當全球最大的軍火買家改變遊戲規則時，誰會被淘汰出局？美國國防部正在實施史上最嚴格的網路安全規定，要求所有承包商必須通過網路安全成熟度模型認證（CMMC），這項新規可能讓數千家小型供應商面臨生存危機。

新規則的鐵腕要求

美國國防部的新網路安全規定核心在於CMMC認證，這是一套分為五個等級的網路安全標準。從2026年開始，所有處理敏感國防資訊的承包商都必須獲得相應等級的認證，才能參與國防合約競標。

這項規定涵蓋範圍極廣：從製造軍用零件的工廠，到提供後勤服務的小公司，甚至是負責清潔軍事設施的承包商，只要接觸到受控非機密資訊（CUI），都必須符合至少CMMC Level 2的標準。

對於大型國防承包商如洛克希德馬丁、雷神來說，這些要求並非難事。他們早已投入數百萬美元建立完善的網路安全基礎設施。但對於員工不到50人的小型供應商而言，要達到這些標準可能需要投入相當於年營收10-20%的成本。

約翰遜精密零件公司是一家專門製造軍用電子元件的家族企業，員工僅23人，年營收約300萬美元。公司創辦人湯姆·約翰遜坦言：「要通過CMMC認證，我們需要聘請專職IT人員、升級所有系統、重新設計辦公室網路架構，總成本可能超過50萬美元。」

這還不包括每年的維護費用和定期重新認證的開支。對許多小型供應商來說，這筆投資可能超過他們從國防合約中獲得的年度利潤。

更複雜的是，認證過程本身就充滿挑戰。目前全美僅有約1,200名經過認可的CMMC評估師，而需要認證的承包商估計超過30萬家。這意味著許多公司可能需要等待12-18個月才能完成評估，期間無法參與新的國防合約競標。

從五角大廈的角度來看，這項規定是必要的國家安全措施。近年來，針對國防承包商的網路攻擊急劇增加，2023年就有超過40起重大資安事件涉及國防供應鏈。

國防部網路安全主管強調：「我們不能讓國家機密因為供應鏈中最薄弱的環節而外洩。每一家處理敏感資訊的承包商都必須達到同樣的安全標準。」

這種「零容忍」政策反映了美國在面對中國和俄羅斯網路威脅時的戰略轉變。官方認為，寧可犧牲部分供應商的多樣性，也要確保整體供應鏈的安全性。

新規定正在重塑整個國防產業生態。一些大型承包商開始收購具有戰略價值的小供應商，確保關鍵零件的穩定供應。另一些則選擇與小公司建立夥伴關係，協助他們通過認證。

波音公司就宣布設立1億美元的基金，專門協助關鍵供應商完成CMMC認證。公司採購主管表示：「我們不能讓優秀的供應商因為資金問題而退出，這會損害整個產業的創新能力。」

然而，並非所有大公司都願意提供這樣的支援。一些承包商選擇尋找海外替代供應商，或是將生產線遷移到已通過認證的設施。

對於在美國國防產業中的華人企業而言，新規定帶來了額外的複雜性。除了技術要求外，他們還面臨更嚴格的背景調查和外國投資委員會（CFIUS）的審查。

一位不願具名的華人企業主透露：「即使我們能夠負擔認證成本，政府對我們的審查標準明顯更高。有些合約現在明確要求『美國本土』供應商，這讓我們的競爭更加困難。」

這種趨勢反映了美中科技競爭對產業層面的深遠影響，許多華人企業開始考慮將業務重心轉向民用市場或其他國家的國防合約。

美國的新規定也在全球範圍內產生影響。北約國家正在考慮採用類似標準，而澳洲和日本也在制定自己的國防承包商網路安全要求。

這可能導致全球國防供應鏈的分化：一邊是符合西方標準的「安全供應鏈」，另一邊是以成本效益為主的「開放供應鏈」。對於亞洲的製造商來說，選擇哪一邊將決定他們未來十年的發展方向。

同時，這也為台灣和南韓等盟友創造了機會。由於政治可靠性和技術能力兼具，這些地區的供應商可能在新的供應鏈格局中獲得更大份額。