32 CFR と 48 CFR:「CFR CMMC規則」を構成する2つの規則

「CFRのCMMC規則」を検索する人は、通常2つの異なる規則のどちらかを探しています。この2つを混同することは、よくある、そして重大な結果を招きかねない誤りです。32 CFR Part 170は、CMMCプログラム自体—レベル、コントロール、評価の種類—を創設した規則です。48 CFRは、DFARS条項252.204-7021を通じて、そのプログラムを国防省(DoD)契約において執行可能にした規則であり、契約担当官に特定のCMMCレベルを要求し、契約授与前にそれを検証する権限を与えています。

どちらも最終確定済みで施行されており、両方を理解することが不可欠です。しかし、それぞれが答える問いは異なり、一方について書かれた資料はもう一方についてはほとんど情報を与えてくれません。本ページでは両規則を短く整理し、実際に必要な方の詳細ガイドへのリンクを紹介します。

注:CMMCフェーズ2の第三者認証要件は、2026年7月に戦争省(Department of War)によりプログラム見直しのため一時停止されました。以下で説明する両規則は依然として有効であり、この一時停止はあくまで認証スケジュールに適用されるものです。詳細はCMMC Phase II Is Suspended. Your DFARS Obligations Are Not.をご覧ください。

概要

主なポイント:「CFRのCMMC規則」は単一の規則ではありません。人々がCMMCプログラム自体を確立する32 CFR、またはそのプログラムを国防省の契約授与において執行可能にする48 CFRのいずれかを指す略称として使っている言葉です。両規則とも最終確定済みで施行されています。自分が実際にどちらについて尋ねているのかを知ることで、認証レベルやコントロールについて理解する必要があるのか、それとも調達や入札の仕組みについて理解する必要があるのかが決まります。

なぜ重要なのか:自組織にどのCMMCレベルが適用されるかを知りたい場合は、32 CFRを参照する必要があります。SPRSの登録内容を理由に入札が拒否された理由を知りたい場合は、48 CFRを参照する必要があります。誤った場所を調べることは時間の無駄になるだけでなく、自組織に実際に影響する特定の要件を見逃す原因にもなります。

重要なポイント

1. 32 CFR Part 170はCMMCプログラム自体を創設しました。2024年10月に最終確定し、2024年12月16日に施行されたこの規則は、3つの認証レベル、各レベルで求められるコントロール、評価の種類、およびスコーピング(適用範囲)規則を定めています—つまりCMMCコンプライアンスの実質的な内容そのものです。
2. 48 CFRはCMMCを契約プロセスにおいて執行可能にしました。DFARS条項252.204-7021を通じて、2025年11月10日に施行されたこの規則は、契約担当官に対し、募集要項において特定のCMMCレベルを要求し、契約授与前にSPRSを通じてコンプライアンス状況を確認する権限を与えています。
3. 32 CFRは「コンプライアンスに何が求められるか」に答え、48 CFRは「契約授与時にコンプライアンスがどのように執行されるか」に答えます。両者は競合または重複する規則ではなく、連続的かつ補完的な関係にあります—一方が基準を定義し、もう一方がそれを事業を行うための条件とします。
4. フェーズ2の一時停止に関わらず、両規則とも最終確定済みで施行されています。2026年7月の一時停止は、フェーズ2における第三者認証の義務化スケジュールを止めたものであり、32 CFRまたは48 CFRのいずれも撤回していません。両規則は依然として、CMMCの構造と執行を規定する規則として有効です。
5. 「CFRのCMMC規則」に関する実務上の疑問のほとんどは、実際には両方ではなくどちらか一方の規則に関するものです。レベル、コントロール、実装が必要な内容についての疑問であれば32 CFRを、入札、契約適格性、SPRSについての疑問であれば48 CFRを参照してください。

32 CFR Part 170:CMMCを定義する規則

32 CFR Part 170は、連邦規則集(Code of Federal Regulations)のTitle 32(国防)においてCMMCプログラムを正式に確立した国防省の規則です。2024年10月に連邦官報(Federal Register)に掲載され、2024年12月16日に施行されたこの規則は、「CMMCコンプライアンスが実際に何を求めているのか」という問いに答えるものです。

この規則は、レベル1(基礎)、レベル2(高度)、レベル3(専門)という3つの認証レベルを定義し、各レベルを組織が取り扱うデータの機密性の度合いに結び付けています。各レベルに適用されるコントロールを規定しており、レベル2にはNIST SP 800-171を、レベル3の強化要件にはNIST SP 800-172を基準としています。また、認定C3PAOによる第三者認証を含む、各レベルで利用可能な評価の種類を定義し、組織内のどのシステムおよびデータが実際にCMMCの要件の対象となるかを決定するスコーピング規則を定めています。

自組織にどのレベルが適用されるか、どのコントロールを実装する必要があるか、評価プロセスがどのように機能するか—これらが疑問であれば、実際に尋ねているのは32 CFRについてです。詳細については32 CFR要件ガイドをご覧ください。レベル別の詳しい解説についてはCMMCレベル2ガイドをご覧ください。

48 CFR:契約においてCMMCを執行する規則

48 CFRは連邦調達規則(Federal Acquisition Regulations)を規定するものであり、CMMCに関連する改正—具体的にはDFARS条項252.204-7021—は、32 CFRの要件を契約授与の段階で執行可能にするものです。この規則は2025年11月10日に施行されました。

32 CFRがコンプライアンスの内容を定義するのに対し、48 CFRは契約担当官に対してそれを実行に移すための具体的な仕組みを与えます。募集要項に必要なCMMCレベルを直接明記すること、契約業者の認証状況をサプライヤー実績リスクシステム(SPRS)で確認すること、そしてその状況が最新でない場合は契約授与を保留することです。また、特定の入札を特定の検証可能なSPRS記録に結び付けるCMMC固有識別子(CMMC Unique Identifier)も導入しました。

入札、契約適格性、契約担当官がなぜSPRSスコアについて尋ねているのか、コンプライアンスの登録が失効した場合に何が起こるのか—これらが疑問であれば、実際に尋ねているのは48 CFRについてです。SPRSのスコアリングと契約適格性が実際にどのように機能するかを含む詳細については、48 CFRとCMMCガイドをご覧ください。

なぜ混同が起こるのか

両規則とも、日常的な会話の中では特定の条文番号を明示せずに「CMMC規則」や「CFR規則」と呼ばれることが多くあります。これは、多くの人がこれらの規則に、連邦官報の原文そのものよりも、ウェビナーやニュース報道、ベンダーコンテンツなどの二次的な議論を通じて触れているためであり、無理もないことです。この混同はタイミングの問題によっても助長されます。32 CFRと48 CFRはおよそ1年の間隔を空けて最終確定されましたが、両者は合わせて完全な規制の全体像—一方が基準を定義し、もう一方がそれを執行する—を形成するため、しばしば一緒に議論されます。

実務上の対処法は単純です。記事やウェビナー、会話の中で「CFRのCMMC規則」という表現に出会った際は、具体的な条文番号(32 CFRまたは48 CFR)が示されているかを確認してください。示されていない場合は、実際に議論されているのがどちらの根底にある疑問—コンプライアンス要件か、契約執行か—であるかを考えてみましょう。それによって通常、どちらの規則を指しているのかが明らかになります。

Kiteworksが両規則へのコンプライアンスをどう支援するか

Kiteworksは、CMMC 2.0レベル2要件の90%近くを標準機能で満たします—これは32 CFRが求める内容に直接対応するものです。統合されたData Policy Engineがセキュアメール、セキュアファイル共有、マネージドファイル転送、SFTP全体にわたってアクセス制御、暗号化、監査ログを一元管理します。FIPS 140-3検証済みの暗号モジュールによるAES-256暗号化と、単一かつ統合された改ざん不可能な監査証跡により、32 CFRに基づく自己評価とC3PAO認証の両方に対応する、最新かつエクスポート可能な証拠を組織に提供します。

この同じ証拠基盤は、48 CFRに基づく正確で説明可能なSPRS登録内容を支えるものでもあります—契約担当官がSPRSと照合するコンプライアンス状況が、期限に追われて作り直されたものではなく、真に最新で十分に文書化されたセキュリティ態勢を反映したものであることを保証する助けとなります。

Kiteworksが自組織の両規則へのコンプライアンスをどのように支援できるかについては、カスタムデモをご依頼ください。

リスク＆コンプライアンス用語集に戻る