CMMC Level 2 与 NIST SP 800-53：110 项实践及其上位目录

按 Paul Gillet · 更新于 2026-10-17

CMMC Level 2 是美国国防部对处理受控非密信息（CUI）的承包商提出的要求。其 110 项实践即 NIST SP 800-171 Rev 2 的安全要求，NIST 从 SP 800-53 Moderate 基线出发，针对非联邦组织进行了裁剪。大多数 Level 2 承包商需要每三年由第三方评估机构 C3PAO 进行一次评估。

由于 800-171 源自 800-53，几乎每项 CMMC 实践都有直接对应项，ControlMapping 通过 NIST 自身的映射关系进行追溯：包括 SP 800-171 Rev 2 的附录 D，以及 SP 800-171 Rev 3 → SP 800-53 的引用关系。从 800-53 对应到 CMMC Level 2，覆盖度接近完整。唯一的例外是 VoIP 监控（SC.L2-3.13.14）：附录 D 将其映射到 SC-19，而 NIST 在 Rev 5 中将该控制撤销，且未设后继控制。

从 CMMC 对应到 800-53 时，目录中的大部分条目显示为无映射或仅弱相关。这属于预期情况：CMMC Level 2 本身就是刻意精简的子集。它省略了仅适用于联邦系统或更高基线的控制，以及许多 800-53 增强控制。

需要留意一点：尽管 NIST 已发布 Rev 3，CMMC Level 2 仍固定基于 SP 800-171 Rev 2。评估时应依据您的合同及 CMMC 规则实际要求的版本进行。

概览

NIST 与国防部三份文件之间的关系

• SP 800-53 是 NIST 针对联邦系统的完整安全与隐私控制目录，其基线见 SP 800-53B。
• SP 800-171 从中选取并裁剪与保护非联邦系统中受控非密信息相关的控制。其 Revision 2 包含 110 项要求，附录 D 将每项要求映射到其在 800-53 中的来源。
• CMMC Level 2 是国防部的一项计划，依据 SP 800-171 Revision 2 的这 110 项要求对承包商进行评估，并拥有自身的实践名称、评分及认证规则。

因此，CMMC Level 2 是 800-53 中刻意精简的子集，并在国防合同场景下进行评估。

Revision 3 有哪些变化，以及为何尚未适用

NIST 于 2024 年发布了 SP 800-171 Revision 3。它使各项要求与 SP 800-53 Rev 5 对齐，合并或撤销了部分要求，增加了组织自定义参数，并对编号进行了重排（如 03.01.01 替代原来的 3.1.1）。CMMC Level 2 仍固定为 Revision 2，因此评估检验的是 Rev 2 要求。Rev 3 仍有参考价值：当某项 Rev 2 要求映射到 Rev 3 中的对应项时，ControlMapping 会将 NIST 的 Rev 3 引用作为补充证据使用；对于提前规划的组织，也可以设计同时满足两个版本的控制措施。

谁需要哪一个

SP 800-53 适用于美国联邦信息系统，以及寻求 FedRAMP 授权的云服务。CMMC Level 2 适用于合同涉及 CUI 的国防承包商及其分包商。许多企业两者都需要：例如，既为联邦机构提供 FedRAMP（800-53）云服务、又承接国防合同（CMMC）的云服务商；或是自有系统存储 CUI，同时为其他客户运营联邦系统的承包商。

成本与投入

对于已运行 800-53 Moderate 基线的组织而言，CMMC Level 2 通常无需新增技术。成本主要集中在界定 CUI 环境范围、为其编写系统安全计划（SSP）、将证据映射到每项实践，以及评估本身：即自我评估，或对于大多数涉及 CUI 的合同，由授权 C3PAO 每三年进行一次认证评估。反过来，已具备 CMMC 条件的承包商若寻求 FedRAMP 授权，则将面临规模大得多的控制集、联邦授权流程以及持续监控。

通往认证评估的时间线

CMMC 要求正分阶段纳入国防部合同，自计划第二阶段起，更多合同将要求第三方认证。拥有 800-53 环境的承包商通常需要两到四个月来界定 CUI 范围、编写 SSP 并收集证据，随后依照国防部方法论进行自我评估，再进行 C3PAO 评估，而评估的排期可能耗时较长。若得分达到规定的最低要求，则可获得附带有限行动计划的有条件认证，且待办事项须在 180 天内关闭。

实例：一家国防分包商

一家拥有 120 名员工的工程公司向主承包商供应零部件，并接收标注为 CUI 的技术图纸。该公司已为另一份联邦研究合同运行 SP 800-53 Moderate 控制措施。它划定了一个 CUI 飞地，涵盖其工程文件服务器、设计工作站及身份系统；复用其 800-53 策略，以及通过附录 D 映射的证据；并确认飞地采用经 FIPS 验证的加密。其自我评估得分良好，剩余缺口较小（VoIP 监控及若干审计设置）。该公司预约了 C3PAO 评估，并将 CUI 处理要求传递给其两家分包商。

常见错误

• 将联邦授权边界而非 CUI 边界作为范围界定依据。 两者很少相同。
• 假定 800-53 证据可以直接沿用。 评估人员按实践逐项开展工作，依据的是 CMMC 的标识符和评估目标。
• 忽略共享服务。 凡涉及 CUI 飞地的身份、日志及管理工具，均在范围之内。
• 在 CUI 机密性依赖的环节使用未经验证的密码技术。
• 未将要求传递给接收 CUI 的分包商。

核心要点

• 如果您已运行 800-53 Moderate 基线，CMMC Level 2 主要是一项证据整理与评估工作。
• CMMC → 800-53（例如迈向 FedRAMP）：预计范围将大幅扩大。
• 请确认您的合同引用的是哪个 800-171 版本。

下载此对比（CSV） 在差距分析中打开 →