2026年8月28日
如果你是国防部供应链中的政府承包商，安全团队在问 DocuSign 是否算入你的 CMMC 就绪进度，简短的回答是：CMMC 不认证单个软件产品，也没有任何电子签名平台——包括 DocuSign——能持有 CMMC 产品认证。CMMC 就绪真正要求的是，你在每一套接触受控非密信息（CUI）的系统上都保护这些信息，包括你的签署工作流，并且落在评估员可以核实的网络安全框架内。本指南把这个义务映射成一份 DocuSign 评估：要核实什么、DFARS 252.204-7012 与 NIST SP 800-171 要求什么、以及如何向你的评估员举证。
CMMC 就绪对政府承包商提出什么要求
网络安全成熟度模型认证（CMMC）是国防部用来核实处理 CUI 的承包商落实了既定网络安全实践的框架。CMMC 1.0 于 2020 年推出并经历过修订；CMMC 2.0 把五个级别精简为三个，每一级对应一套特定的 NIST SP 800-171 控制项。CMMC 2.0 最终规则发布于 2024 年 10 月，2024 年 12 月 16 日生效，国防部正通过 2026 财年把 CMMC 合同条款逐步纳入新的招标。该条款是否适用于你的组织，仍取决于总包合同以及你的合同官员纳入的条款组合，所以在围绕某个具体日期做规划之前，先向你的国防部合同官员或有资质的评估员确认当前的分阶段实施状态。
CMMC 的评估对象是组织层面，不是产品层面。任何处理、存储或传输 CUI 的服务都在你的评估边界之内，没有任何供应商的营销话术能替代你组织实施、并由评估员核实的控制项。
DFARS 252.204-7012 与 NIST SP 800-171 的背景
CMMC 之下有两份法规文件承担了重头工作。DFARS 252.204-7012 要求承包商使用 NIST SP 800-171 控制项保护涵盖的国防信息——包括 CUI——并报告网络事件。它已嵌入国防部合同多年，独立于 CMMC 的认证时间表生效，因此处理 CUI 的承包商早已有义务落实这些控制项。
NIST SP 800-171 把控制项按系列组织起来，例如访问控制、事件响应、系统与通信保护。对电子签名服务而言，最关键的系列是访问控制（谁能发送和签署）、审计与问责（平台记录什么、保留多久）以及身份识别与认证（签署人如何证明身份）。我们关于 美国商业文件数字签名 的指南概述了支撑一份站得住脚的签署记录的证据与身份控制项。
电子签名在你的 CMMC 评估范围内处于什么位置
电子签名平台并不在 CMMC 范围之外。如果已签署的信封携带 CUI——一份技术数据表、受控图纸、专有的工作说明书——那么处理并存储它的平台就在范围内。问题在于它的控制项能否支撑你的评估员将要测试的 NIST SP 800-171 要求。
三个层面值得关注。托管层：哪些云区域存储信封与审计记录，是否与你的 CUI 授权一致。身份层：签署人认证如何运作，是否满足文档敏感度对应的访问控制要求。证据层：完成证书记录什么、保留多久、是否满足审计与问责。我们在 新加坡企业使用电子签名的网络安全风险 分析中描述的钓鱼与账户接管风险同样适用于国防承包商，因为一个被攻破的签署身份可能把伪造签名注入 CUI 工作流。
把 DocuSign 计入 CMMC 计划前要核实什么
像评估员那样审视 DocuSign。下面这些条目是你要索取的材料——不是对供应商当前状态的断言。与你的 CMMC 评估员确认每一条都能对应到你评估范围内的 NIST SP 800-171 控制系列。
- 托管与 CUI 数据流。 询问哪些云区域存储信封和审计记录，托管是否符合你的 CUI 授权。选项可能因套餐版本而异。
- 加密。 索取传输与静态加密文档，对应到系统与通信保护系列。
- 审计轨迹与保留。 审阅一份示例完成证书与审计轨迹，确认时间戳、身份事件与防篡改证据。我们关于 DocuSign CCCS 云供应链合规 的评审中的证据预期同样适用。
- 签署人认证。 把认证方式与文档敏感度对应起来：较低风险文档用邮箱访问即可，携带 CUI 的协议则应有短信一次性验证码或更强的验证方式。
- 访问控制。 确认管理员与发件人账户如何开通、如何按最小权限划定范围，并把离职处理接进你的 HR 流程。
- 事件响应。 确认供应商的通知时限，以及是否与 DFARS 252.204-7012 对 CUI 事件的上报预期一致。
对于要应对州级隐私或公共部门无障碍要求的承包商，我们关于 DocuSign CCPA 合规检查 与 面向公共部门采购方的 WCAG 合规评审 覆盖了这些制度要求并行的证明材料。
CMMC 电子签名供应商就绪清单
下表把评估压缩成一张可用于 DocuSign 或任何替代方案的清单。在把它写进就绪材料之前，逐项与你的评估员确认。
CMMC 2.0 要求及 2026 年需要确认的事项
CMMC 2.0 把五个级别合并为三个。第 1 级处理联邦合同信息（FCI），对应 NIST SP 800-171 基础要求的一个子集；第 2 级对应 CUI 的完整控制集；第 3 级针对高价值 CUI 增加来自 NIST SP 800-172 的增强要求。评估路径——自我评估还是第三方认证评估——取决于级别，而在第 2 级还取决于合同是否要求认证评估。
CMMC 2.0 最终规则现已生效，国防部正通过 2026 财年把该条款逐步纳入新合同，因此你的合同是否包含它，取决于总包合同以及你的国防部合同官员纳入的条款组合。在承诺使用某家供应商之前，先向你的合同官员、CISO 或 C3PAO（CMMC 第三方评估组织）确认当前的分阶段状态。CMMC 是组织级认证，没有任何电子签名平台自带一份。想更宏观地看待签署工具的安全性，我们对 电子签名是否安全 的评估列出了各种合规制度中反复出现的证据问题。
用 Nota Sign 准备 CMMC 就绪证据
上面的清单对挑战者也同样适用，而承包商评估中最常被摆上台面的替代方案是 Nota Sign——FaDaDa 旗下的全球电子签名平台。请重点追问最容易让就绪文件破功的两项：托管——区域数据中心给你的是驻地合规答案还是规划路线图；以及证据——完成证书与审计轨迹能否对到你评估员将测试的 NIST SP 800-171 系列上。其工程组织已连续多年位居 IDC 中国电子签名软件市场排名榜首，法律覆盖延伸至 100 多个国家和地区，定价不按席位数量计算，中大型企业买家还可以申请与就绪项目相匹配的方案。
如果你正在整理 CMMC 就绪证据包，索取 Nota Sign 的安全文档与合规日历讲解，并把它与现有供应商的证据文件放在一起对比。
