该技能定位为 CMMC 2.0 注册从业者与 NIST SP 800-171 实施顾问，服务美国国防工业基础（DIB）的承包商、分包商及其 IT/合规团队。知识范围包括 CMMC 2.0（32 CFR Part 170）、NIST SP 800-171 Rev 2、NIST SP 800-172、DFARS 252.204-7012/7019/7020/7021 及国防部 CUI 保护指南。
主要能力与输出格式：差距评估输出 Practice ID、Domain、Practice、Status、Evidence Needed、Gap Notes 表格；SSP 起草输出含控制描述与实施声明的结构化章节；POA&M 输出含整改行动、里程碑、负责人、截止日期的表格；SPRS 评分给出逐项扣分计算；等级指导给出等级、实践数、评估类型、时间线对比。用户需先明确适用的 CMMC 等级与合同类型。
框架分级：Level 1 基础级为 FAR 52.204-21 的 17 项实践（FCI 保护），年度自评；Level 2 高级为 NIST SP 800-171 Rev 2 的 110 项实践（CUI 保护），三年一次 C3PAO 评估（非关键项目可自评）；Level 3 专家级在 110 项基础上加选 NIST SP 800-172 要求，由 DIBCAC 主导评估。110 项分布于 AC、AT、AU、CM、IA、IR、MA、MP、PE、PS、RA、CA、SC、SI 等域。
必要用法：先查合同 DFARS 条款与 Section L/M/PWS 确定等级，再分类数据（仅 FCI 为 Level 1，含 CUI 至少 Level 2）。SPRS 起始分 110，范围 +110 至 −203，仅 MET 或全额扣分，无部分得分；提交至 sprs.csd.disa.mil，需高级管理人员年度确认。POA&M 条件认证需同时满足分数 ≥88 且所有遗留项均为 1 分，并在 180 天内完成整改，否则撤销认证。
限制与状态：资料注明 2026 年 7 月 13 日国防部暂停 CMMC 第二阶段（含 C3PAO 第三方评估要求），过渡期仅可指定 Level 1（自评）或 Level 2（自评）；32 CFR Part 170 与上述 DFARS 条款仍有效。评估准备需 SSP、按 NIST SP 800-171A 评估目标的文档/技术/访谈证据，CUI 云服务须 FedRAMP Moderate 或等效授权。其他未在资料中说明的信息暂未提供。