昨天本应是截止期限。按原计划，CMMC 第二阶段要求将于 2026 年 11 月 10 日生效，届时处理受控非机密信息（CUI）的小型国防承包商必须获得第三方认证，才有资格获得新的合同授予。然而这项要求如今被搁置了。战争部早在 2026 年 7 月 13 日就暂停了第二阶段，此前小企业管理局估计，完整的第三方认证可能使一家小企业花费约 593,800 美元，而有资格走自评估路径的企业则约需 388,600 美元。
如果你持有国防合同或作为分包商参与其中，这并不是一道解除警报的命令，而是一次预算重排事件。你一直担心的评估费被推迟了，但每一项底层安全义务仍然具有强制执行力，你已经花掉的钱仍然必须记入正确的科目。本文将说明究竟什么被暂停了、五角大楼为何按下暂停键，以及如何安排你的合规预算，让这次暂停为你省钱，而不是把你的账目搅乱。
哪些要求被暂停，哪些没有
暂停针对的是一个特定机制：第二阶段下的强制性第三方评估要求。处理 CUI 的承包商原本需要一家经认证的第三方评估机构（C3PAO）出具的认证，才能继续保有受涵盖合同的资格。这一认证门槛现已暂停，等待一项全面的项目审查，且尚未设定新的日期。
其他一切照常运行。第一阶段自评估要求仍然完全有效，这意味着你仍需依据 NIST SP 800-171 第 2 版评估自己的系统，并通过供应商绩效风险系统（SPRS）提交评分。DFARS 条款 252.204-7012——保护受涵盖国防信息的底层合同义务——没有改变，也未受影响。如果你的合同载有该条款，你保护这些信息的义务从未中断过。
可以这样理解：政府暂停的是外部审计，而不是作业。你的系统安全计划、针对尚未填补的缺口制定的行动计划与里程碑（POA&M）、事件响应准备情况，以及当前的 SPRS 评分，全都仍然重要。合同官仍然可以就此提问，向你传递要求的主承包商也仍然可以要求提供证据。那些把这次暂停当作假期的企业，将是新时间表出台时最手忙脚乱的那一批。
五角大楼为何按下暂停键
根据该部门自己的公开声明和行业报道，有三个因素推动了这一决定。
第一，成本负担。SBA 的分析显示，对需要第三方评估的小企业而言，每项认证的总合规成本约为 593,800 美元。这一数字囊括了整改、文档、工具和评估费用，而对于以国防行业利润率运营的企业来说，据报道这足以让一些企业彻底退出国防工业基础。该部门自身更窄口径的估算也在更小的尺度上印证了同样的故事：小型实体 Level 2 C3PAO 评估在三年认证周期内约需 105,000 美元，而且这仅涵盖评估本身，不包括背后的安全工作。Level 1 自评估每年约 6,000 美元，而 Level 2 自评估路径三年合计约 37,000 美元。由于有超过 100,000 家小企业属于适用范围，总价看起来恰恰成了五角大楼声称想要的供应商的准入门槛。
第二，评估方产能。经认可的 C3PAO 数量不足以处理在 11 月截止期限前需要认证的承包商数量。硬性的合规日期加上过少的评估方，形成了该部门无法在现有时间表内解决的机构性瓶颈。即使承包商愿意付钱，也无法确保及时获得评估。
第三，政策一致性。该部门的采购领导层一直将快速形成能力以及降低小型和非传统承包商的准入门槛列为优先事项。多年期、高成本的认证周期被评估为与该指令不相容，因此暂停与由新成立的 CMMC 改革工作组开展的全面审查同时出台。公开传达的信息是：网络安全本身不会被削弱，被精简的只是证明它的繁文缛节。
这些理由没有一个表明该要求会消失。成本压力指向更便宜的路径，评估方短缺指向更长的时间表，采购改革指向更简化的机制。而每一种结果最终都以你证明合规为终点。请据此编制预算。
这对你当前的合规预算意味着什么
首先，把你的合规预算拆成三个篮子，因为这次暂停对每一个篮子的处理方式不同。
第一个篮子是你已经欠下的控制措施。托管检测、日志留存、多因素认证、补丁节奏、备份测试、安全意识培训，以及证明这一切的文档：这些无一被暂停。DFARS 252.204-7012 仍然要求它们，第一阶段自评估仍然为它们打分，你的 SPRS 评分仍然向外界展示它们。继续为这个篮子提供全额资金。在这里削减开支不会省钱；它只会为最终评估制造问题发现，并削弱你在每一次询问安全状况的投标中的地位。
第二个篮子是被推迟的认证费。如果你已经排定了 C3PAO 评估定金，或为秋季安排了准备情况评估，这笔支出是转移了，而不是消失了。不要把它吸收进一般资金，然后指望重新安排的日期自带预算。把它作为预留金额明确地搁置起来，这样未来的评估就不会成为意外。如果你已经支付了定金，那笔付款是一项预付资产，而不是费用，在评估实际发生之前，你的账目应当如此反映。
第三个篮子无论如何都会产生复利效应的证据管理。针对 NIST SP 800-171 的缺口整改、POA&M 维护、证据收集流程，以及分包商传递要求跟踪，建立得越早越便宜，拖得越久越昂贵。这是将腾出的评估资金重新导向的最高回报去处。证据整洁的承包商能在新时间表出现时迅速行动；系统安全计划过时的承包商则要为同样的工作支付加急费用。
还有一个对你有利的预算事实：合规成本在国防合同中通常被视为可允许成本。该部门已表示，遵守 DFARS 252.204-7012 的成本很可能可以允许并计入间接成本池，认证成本也被描述为可允许、可报销的成本。可允许并不意味着自动获批，也不意味着有利可图，但它确实意味着，有条理的跟踪能把合规支出从纯粹的间接费用转变为有据可查的合同成本。这只有在你的账目能够准确显示你花了什么、对应哪项要求、何时花的，才行得通。
正确记录这次暂停：让评估资金保持可见
这次暂停最容易引发的会计错误，就是把这些篮子混在一起。为一笔如今被推迟的评估支付的定金，被当作评估已经发生一样计入了费用。工具订阅被记入笼统的 IT 科目，而不是它们所支持的那项合规工作。整改承包商的发票堆在一个科目里，与它们所针对的控制族毫无关联。六个月后，没人能重建这个项目的成本，也说不清哪些钱属于间接成本池。
从一开始就用单独的科目来解决：评估费、安全工具和整改人工各自拥有自己的费用科目，而任何尚未完成的工作的付款在交付之前都留在预付资产中。以下是一家小企业的记账模式：它在六月支付了一笔准备情况定金，在暂停期间继续运行检测工具，并为七月的整改冲刺计提了针对两个 NIST 控制族的费用：
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "Readiness deposit ahead of November Phase 2 deadline"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "July managed detection and log retention"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contractor" "NIST 800-171 remediation sprint, access control and system protection families"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contractor" "Pay July remediation invoice"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USD注意这次暂停在这份账本中改变了什么：工具和整改没有任何变化，因为它们本来就是必需的；定金也没有任何变化，它依然原地不动。这 15,000 美元仍然是预付资产，因为这笔钱所支付的评估是被推迟了，而不是被取消了。现在就把它费用化，会高估今年的合规成本，然后在发票到来、而付款早已被遗忘时，低估评估那一年的成本。如果你用纯文本记账，文档中的成本跟踪模式可以自然地扩展到这种按要求划分的合规拆分。
在每一笔摘要中写明所对应的要求。当未来的评估、DCAA 的问询，或你自己的结账流程问起某笔费用是为何而花时，摘要就是答案。"Remediation sprint, access control and system protection families" 经得起审视；"consulting" 则不行。
四种把暂停变成惩罚的错误
这次暂停是宽厚的，但它会惩罚四种具体行为。
第一，在 SPRS 上沉默。你的自评估评分仍然是你公开的安全状况，主承包商在授予分包合同之前仍会查看它。一个因为你停止更新而退化的评分，比一个你积极维护的普通评分看起来更糟。保持评估最新，并按计划持续关闭 POA&M。
第二，中途冻结整改。半迁移的日志、部分推出的特权访问工具、描述旧架构的文档：暂停的项目比稳定运行的项目衰减得更快。要么完成该控制，要么正式重新界定范围；不要让它半途而废，直到新截止期限迫使你以加急费率重新开始。
第三，把合规成本与一般 IT 混在一起。上述的可允许成本处理取决于可识别性。如果你的检测平台、评估方定金和办公笔记本电脑都流经同一个 IT 科目，你就无法证明哪些钱支持了某项合同要求。单独科目维护成本为零，却是"有据可查的间接成本"和"一场争论"之间的区别。
第四，让分包商传递要求失效。如果你是主承包商，你的处理联邦合同信息或 CUI 的分包商仍会通过你的合同继承义务，不管第二阶段是否暂停。如果你是分包商，你主承包商的要求并没有因为某个部门层面的公告而被暂停。趁现在没人审计，审查传递条款，而不是在执行期间才发现缺口。
接下来要关注什么
三个信号将告诉你故事的结局。改革工作组的建议预计在 2026 年秋季出台，将勾勒出替代机制：可能与其他框架的互认、分层的评估路径，或为小企业设定的更长过渡期。关注第二阶段新的生效日期，它一经宣布，就会重置本文中的每一个规划假设。还要关注你邮箱里来自主承包商的来信，因为大型承包商往往比部门行动更快地施加自己的供应商安全要求，无论暂停与否。
在那之前，制胜的姿态是平淡无奇的：把第一阶段的内部事务打理好，让 SPRS 评分保持诚实，让整改资金保持到位，并把每一分合规资金都放在一个标明其所服务要求的科目里。当新时间表到来时，你希望唯一的意外是你已经准备得多么充分。最后一项有用的步骤也是最简单的：本周打开你的账目，确认你被推迟的评估资金正躺在预付资产里，而不是埋在一个明年预算找不到的费用科目中。
