去年10月，美国国防部发布的网络安全成熟度模型认证（CMMC）最终规则于2025年11月10日生效。未获得CMMC认证的企业将无法进入美国防务市场。CMMC已成为韩国防务企业扩大对美出口的关键门槛。

CMMC根据联邦合同信息（FCI）和受控未分类信息（CUI）的敏感度分为三个等级。大多数防务企业需准备的等级2要求满足NIST SP 800-171规定的110项安全要求，并每三年接受第三方认证机构（C3PAO）的审核。准备时间通常为12至18个月，费用约为2.6亿至4亿韩元。

大部分中小企业需承担这些费用。韩国防务产业振兴会的调查显示，90%的受访企业为中小企业，许多企业缺乏专职安全人员。52%的企业认为费用和信息教育不足是主要困难，31%的企业表示无意投资CMMC认证，反映出其进入美国市场的困难。

技术壁垒也很高。等级2要求FIPS 140-2/140-3验证的加密模块，而韩国的K-CMVP产品未与美国CMVP达成互认协议。此外，多重认证（MFA）、零信任网络分离和CUI数据流图（DFD）等要求对韩国企业来说是巨大挑战。

政府的支持至关重要。首先，应明确支持的法律依据。其次，调整现有调查项目以符合CMMC要求，减少企业负担。第三，推动国内CMMC生态系统建设，解决FOCI和Tier 3背景调查问题。第四，增加预算支持，设立“CMMC支持基金”。第五，确保安全投资成本能稳定反映在防务成本中。

CMMC不是短期内能完成的，但放弃美国市场并非选项。竞争国家已将CMMC作为国家任务支持其企业。政府、行业协会和企业需共同努力，建立综合治理结构，以应对未来10年的挑战。