美国国防部出台的国防领域新网络安全规定，因合规成本过高，正迫使部分小型供应商重新考虑是否承接军方业务。这在特朗普政府正施压承包商提高产量、实现供应链多元化的背景下，加剧了生产风险。
美国国防部拖延已久的 网络安全成熟度模型认证（CMMC） 已于去年 11 月启动，旨在保护被称为 “受控非密信息” 的敏感数据。
承接联邦合同的企业目前需完成网络安全自我评估，这是 CMMC 三级认证中的第一级；更严格、包含审计环节的第二级认证预计将于今年 11 月前开始实施。
企业高管表示，长达数月的审计等待时间、以及对哪些信息需要保护存在困惑，使得达标变得更加困难。由于议题敏感，他们要求匿名发言。
业内人士称，由于缺乏明确定义，即便供应商并不处理战斗机燃油泵技术图纸等敏感信息，主承包商也会要求其进行更高等级的合规。
成本引发担忧
业内消息人士表示，每家小企业需额外承担数十万美元成本，这让本就财务脆弱的部分供应商望而却步。
美国航空航天工业协会国家安全政策副总裁玛格丽特・博特纳表示：
“其中一些企业，尤其是同时参与商业市场竞争的公司，反映复杂且昂贵的监管要求正迫使他们重新考虑 —— 甚至完全退出 —— 国防市场，这进一步削弱了国防工业基础的健康度与韧性。” 该协会多数成员企业同时服务于国防领域。
美国众议院小企业委员会 2022 年数据显示，约88% 的航空航天企业是小型企业。
三家航空航天企业（两家美国、一家加拿大）向路透社表示，各自都有少数供应商不愿遵守更严格的 CMMC 要求，例如拒绝接受审计。
其中一家美国企业的总裁称，半数供应商尚未表明是否会合规。另一家为美军战斗机项目提供独家零部件的企业负责人也不清楚其供应商将作何选择。
美国国防部拒绝置评。
小型供应商对供应链至关重要
在经历多年生产瓶颈后，小型供应商的状况受到投资者密切关注。部分小企业是大型承包商组装武器装备所需关键零部件的唯一来源。
麦卡特 & 英格利希律师事务所律师亚历克斯・梅杰负责为国防承包商提供 CMMC 合规咨询，他表示，认证要求可能无意中削弱国防供应链底层的竞争。
CMMC 于 2019 年推出，因行业担忧与认知混乱被多次推迟，美方与五角大楼为此沟通多年。
梅杰表示，对于同时需遵守欧洲数据隐私法及其他地区网络安全标准的国际供应商而言，挑战尤为严峻。
“你要求这些承包商按美国政府规定的方式存储或标记受控信息，而（其他）数据隐私法可能与此不同。”
一家加拿大企业高管表示，为同时符合欧美规定，他需要花费50 万加元（约 36.5 万美元）。
美国非营利航空航天供应商 Pathfinder Manufacturing 首席执行官戴夫・特雷德表示，由于公司仅承接少量国防线束业务，且来自波音的商业订单需求旺盛，他不确定承担合规成本是否值得。
发表评论