CMMC準拠とは:レベル・要件・プログラムの最新状況
サイバーセキュリティ成熟度モデル認証(CMMC)は、防衛関連事業者が管理対象非機密情報(CUI)および連邦契約情報(FCI)を適切に保護しているかどうかを検証するための、戦争省(Department of War)のフレームワークです。同省に代わってこれらのデータを取り扱う、防衛産業基盤(DIB)に属するすべての組織が対象となります。このフレームワークは、CMMC自体とは独立して既に存在していたサイバーセキュリティ要件を直接の土台としています。
本プログラムは導入以来大きく変化してきており、直近では2026年7月13日、プログラム全体の見直しが行われるまでの間、認証要件が一時停止されました。本ガイドでは、CMMCが求める内容、3段階のレベルの仕組み、そして何より重要な、プログラムの現状と契約事業者にとっての意味について解説します。
エグゼクティブサマリー
要点: CMMCは、防衛関連事業者がDFARS 252.204-7012およびNIST SP 800-171の下で既に存在しているサイバーセキュリティ要件を満たしているかを検証するものです。つまり、新たなセキュリティ義務を生み出すわけではなく、2017年以降事業者が負ってきた義務の遵守状況を検証するための正式な仕組みを構築するものだと言えます。2026年7月時点で、その検証メカニズムのうち第三者認証の部分は見直しのため一時停止されていますが、根底にあるサイバーセキュリティ要件そのものは停止していません。
注目すべき理由: Phase 2の一時停止を「サイバーセキュリティへの投資を後回しにしてよい」というサインだと受け取っている事業者は、状況を誤解しています。NIST SP 800-171への準拠、システムセキュリティプラン(SSP)の整備、SPRSスコアの維持、DFARS 252.204-7012に基づく義務は、依然としてすべて強制力を持っています。準拠状況を偽った事業者には、司法省(DoJ)のCivil Cyber-Fraud Initiativeを通じた虚偽請求防止法(False Claims Act)の適用リスクも変わらず存在します。動いたのは認証要件のスケジュールであり、根底にある基準そのものは変わっていません。
重要ポイント
- CMMCは、既に存在する要件への準拠状況を検証するものです。 DFARS 252.204-7012は、2017年以降、CUIを取り扱う防衛関連事業者に対しNIST SP 800-171の110のセキュリティ管理策の実装を義務付けています。CMMCがこの義務を生み出したわけではありません。CMMCは、事業者が実際にこの義務を満たしているかを検証する認証メカニズムを構築したのであり、DoDが十分な信頼性を持たないと判断した自己申告(self-attestation)モデルに代わるものです。CMMCプログラムに何らかの変更が加えられた際に理解すべき最も重要な点はここにあります。認証要件の変更は、事業者が実装すべき根底のセキュリティ管理策そのものを変えるものではないということです。
- CMMCには、データの機密度に応じた3つのレベルがあります。 レベル1(基礎)は、FCIを取り扱う事業者を対象とし、17の基本的な保護策の実装を求め、年次の自己評価によって検証されます。レベル2(高度)は、CUIを取り扱う事業者を対象とし、NIST SP 800-171の110の管理策すべての実装を求め、プログラムの重要度に応じて自己評価または第三者認証のいずれかによって検証されます。レベル3(エキスパート)は、最優先度のプログラムを対象とし、NIST SP 800-172の管理策を追加し、政府主導のアセスメントによって検証されます。
- 第三者認証要件であるPhase 2は、2026年7月13日に一時停止されました。 戦争省は、2026年11月10日に施行予定だったCertified Third-Party Assessment Organization(C3PAO)によるアセスメント要件を一時停止しました。CMMC改革タスクフォースが60日間の見直しを実施しており、その結果は2026年9月中旬頃に公表される見込みです。2025年11月10日に施行されたPhase 1の自己評価要件は、依然として有効であり、今回の一時停止の影響を受けません。
- この一時停止は、DFARS 252.204-7012やNIST SP 800-171の義務には影響しません。 この一時停止に関するあらゆる法的分析は、同じ点を強調しています。一時停止の対象はCMMC認証メカニズムであり、根底にある契約上のサイバーセキュリティ要件ではありません。DFARS 252.204-7012の対象となる事業者は、引き続きNIST SP 800-171を実装し、正確なシステムセキュリティプランを維持し、Supplier Performance Risk System(SPRS)に最新のスコアを登録し、文書化されたPlan of Action and Milestones(POA&M)を通じて不備を改善する必要があります。
- 今回の見直しは通過点であり、結論ではありません。プログラムを終わらせるのではなく、その形を再構築する可能性もあります。 この一時停止を追跡している法務・政策アナリストは一貫して、勧告をまとめる60日間の見直しと、要件を変更するルールメイキングのプロセスとは別物であり、後者には少なくとも数か月を要すると指摘しています。見直しの結果、C3PAO要件がさらに延期される、第三者アセスメントを要する契約と自己評価で済む契約の線引きが見直される、あるいはアセスメントモデル自体が再構築される、といった可能性が考えられます。一方、根底にあるNIST SP 800-171基準そのものが弱められる可能性は非常に低いといえます。この基準は、CMMCとは独立してDFARSに明記されているためです。
プログラムの現状:2026年7月のPhase 2一時停止
2026年7月13日、戦争省(DoW。以前は、そして現在も一般的に国防省、Department of Defense、DoDと呼ばれる)は、CMMC Phase 2要件の即時一時停止を発表しました。DoW最高情報責任者Kirsten Davies氏の名で発行された、番号26-P-1023のメモにより、2026年11月10日以降の新規調達案件・契約に義務付けられる予定だったC3PAOによる第三者認証アセスメント要件の適用が停止されました。この一時停止は、CMMC実装に関わる保留中および今後のマイルストーンすべてにも及んでおり、当初4段階で計画されていたロールアウトのうちPhase 3およびPhase 4も保留となっています。
同省は同時に、プログラムを全面的に見直す60日間のレビューを実施するCMMC改革タスクフォースの設置も発表しました。この見直しは、第三者認証にかかるコストと運用上の負担について中小の防衛関連事業者から繰り返し提起されてきた懸念を受けたものであり、能力実装のスピードや、中小・非伝統的な防衛関連事業者の参入障壁の低減を重視する、同省のAcquisition Transformation Systemという、より広範な優先事項を反映したものでもあります。現行の認証フレームワークのコスト・実装・実効性について業界からの意見を募る意見募集(RFI)が公示されており、回答期限は2026年8月14日です。タスクフォースの調査結果は、2026年9月中旬頃にDoW最高情報責任者へ提出される見込みです。
一時停止によって変わること: 見直し期間中、新規の調達案件・契約はCMMCレベル1およびレベル2の自己評価要件に限定されます。2026年11月10日に施行予定だったC3PAOによる第三者認証の義務は一時停止されています。プログラムマネージャーは現時点で、Phase 2、3、4の要件を新規契約に組み込むことができません。
一時停止によって変わらないこと: 2025年11月10日以降施行されているPhase 1の自己評価要件は、依然として完全に有効です。DFARS 252.204-7012の対象となる事業者は、引き続きNIST SP 800-171の110の管理策を実装し、最新かつ正確なシステムセキュリティプランを維持し、SPRSにスコアを登録する必要があります。DFARS 252.204-7021のレベル1またはレベル2自己評価要件の対象となる事業者は、引き続き毎年準拠状況を確認・表明する必要があります。司法省のCivil Cyber-Fraud Initiativeは、サイバーセキュリティ準拠状況を偽った事業者に対する虚偽請求防止法訴訟の追及を継続しており、これはCMMC認証の一時停止とは全く別の法的リスクです。
事業者が今すべきこと: 2026年9月中旬は、期限や結論としてではなく、新たな情報を確認するための通過点として捉えましょう。勧告をまとめる見直しプロセスと、要件を実際に変更するルールメイキングのプロセスは別物であり、勧告が出された後もルールメイキングには少なくとも数か月を要するため、認証要件が当初のスケジュールのまま継続するという前提で、現行の自己評価、SSPの文書化、SPRSスコアの維持を続けてください。特定済みのギャップについても、文書化されたPOA&Mを通じて改善を継続してください。今回の一時停止を、サイバーセキュリティへの投資を後回しにしてよいというサインだと解釈しないでください。DoDが検証しているセキュリティ体制そのものは変わっておらず、見直されているのはその検証メカニズムだけです。
CMMCが求める要件
CMMCの要件は、事業者が取り扱うデータの種類、そしてその結果として適用される認証レベルを軸に構成されています。
連邦契約情報(FCI)とは、製品またはサービスの開発・提供を目的とする契約の下で、政府によって提供されるか、政府のために作成される、公開を意図していない情報です。FCIのみを取り扱う事業者は、CMMCレベル1の対象となります。
管理対象非機密情報(CUI)とは、法律、規則、または政府全体の方針に基づき保護が求められる機密性の高い情報でありながら、機密指定(classification)の基準には満たない情報です。CUIには、技術図面、輸出管理対象データ、一部の調達に関わる機密性の高い情報などが含まれます。CUIを取り扱う事業者は、CMMCレベル2の対象となります。
CMMCの3つのレベル:
レベル1(基礎)。 FCIを取り扱う事業者を対象とします。FAR 52.204-21に準拠した17の基本的な保護策の実装を求めます。年次の自己評価によって検証され、Phase 2の見直しの結果にかかわらず、このレベルでは第三者による監査は必要ありません。
レベル2(高度)。 CUIを処理・保管・送信する事業者を対象とします。NIST SP 800-171に定められた110のセキュリティ管理策すべての実装を求めます。検証方法はプログラムの重要度によって異なります。国家安全保障上重要な情報を含む優先度の高いプログラムでは、認定を受けたC3PAOによる第三者認証が必要です(2026年7月の一時停止により現在停止中)。優先度の低いプログラムでは年次の自己評価が求められます(一時停止の影響を受けません)。
レベル3(エキスパート)。 最も機密性の高いCUIを取り扱う、最優先度のプログラムを対象とします。レベル2の基準に加え、NIST SP 800-172に定められた強化セキュリティ要件の一部を追加で求めます。政府主導のアセスメントによって検証されます。レベル3の対象となる契約は数が少なく、レベル2のC3PAO要件を対象とした2026年7月のPhase 2一時停止による直接的な影響は受けていません。
CMMCとNIST SP 800-171、DFARSとの関係
この3つの要素の関係性を理解することで、なぜPhase 2の一時停止が事業者の義務を軽減するものではないのかが見えてきます。
DFARS 252.204-7012は、2017年から発効している契約条項であり、対象となる国防関連情報を取り扱う防衛関連事業者に対し、適切なセキュリティ(NIST SP 800-171への準拠として定義される)の実装と、サイバーインシデントの迅速な報告を求めています。この条項はCMMCとは独立して存在するものであり、最近のいかなる措置によっても一時停止・変更・中断されていません。
NIST SP 800-171は、DFARS 252.204-7012における「適切なセキュリティ」の内容を定義する技術基準であり、14の管理策ファミリーにわたる110の具体的なセキュリティ管理策から構成されています。これは、事業者が実際に取り組むべきセキュリティ対応そのものであり、アクセス制御、インシデント対応、暗号化、監査ログの記録、構成管理などが含まれます。CMMCがこれらの要件を生み出したわけではなく、これらはCMMCより数年前から存在しています。
CMMCは、DFARS/NIST 800-171という基盤の上に構築された、検証・認証のレイヤーです。その目的は、自己申告モデル(実際には実装していない準拠状況を証明していた事業者の事例が確認されており、DoDが十分な信頼性を持たないと判断したモデル)から、SPRSスコアを用いた厳格な自己評価、あるいは独立した第三者アセスメントを組み込んだ検証モデルへと移行することにあります。2026年7月の一時停止が影響を及ぼすのは、この検証レイヤーのうち第三者アセスメントの部分のみであり、根底にあるDFARS条項やそれが求めるNIST 800-171の管理策には影響しません。
まさにこの点があるからこそ、この一時停止に関するあらゆる法的・政策的分析が同じ結論に収束しているのです。動いたのは認証のスケジュールであり、セキュリティ要件は変わっていません。
CUI保護の実務上の要件
NIST SP 800-171の110の管理策は、事業者が実装し、実証できるようにしておく必要がある具体的な技術的・組織的な能力へと落とし込まれます。これは検証方法が自己評価であっても第三者認証であっても変わりません。
アクセス制御。 CUIへのアクセスは、認可されたユーザーおよびシステムに限定される必要があり、情報の機密性に応じた認証メカニズムを備え、アクセスはログとして記録され、監査可能な状態でなければなりません。
暗号化。 CUIは、保存時・転送時ともに、FIPS認証を受けた暗号技術によって保護される必要があります。現行の認証基準はFIPS 140-3です。
監査と責任追跡性。 CUIを取り扱うシステムは、セキュリティインシデントの監視・分析・調査・報告を可能にする十分な監査記録を生成する必要があり、それらのログは不正なアクセスや改ざんから保護されていなければなりません。
構成管理。 組織は、CUIを取り扱うシステムのベースライン構成を確立・維持し、その構成への変更を管理する必要があります。
インシデント対応。 事業者は、稼働可能なインシデント対応体制を維持する必要があり、DFARS 252.204-7012に基づき、対象となる国防関連情報に関わるサイバーインシデントを72時間以内に報告する必要があります。
システムセキュリティプラン(SSP)とPlan of Action and Milestones(POA&M)。 DFARS 252.204-7012の対象となるすべての事業者は、110の管理策それぞれがどのように実装されているかを記録した最新のSSPと、まだ完全には実装されていない管理策の改善スケジュールを記録したPOA&Mを維持する必要があります。これらの文書は、自己評価のスコアリングと第三者アセスメントの両方が依拠する根拠資料であり、その正確性こそが、司法省のCivil Cyber-Fraud Initiativeが虚偽請求防止法訴訟を追及する際に精査するポイントです。
KiteworksがCMMC準拠をどのように支援するか
Kiteworksは、CUIを取り扱う組織にNIST SP 800-171が課す具体的な技術要件を軸に構築されており、CMMC認証レイヤーが今後どのように変化するかとは無関係に機能します。
暗号化について:Kiteworksは、ファイルレベル・ディスクレベルの両方でAES-256暗号化を適用しており、FIPS 140-3 Level 1認証済みの暗号化と、顧客が管理する暗号鍵を採用しています。転送時のデータはすべてTLS 1.2を最低基準とし、TLS 1.3も利用可能です。これは、NIST 800-171のSystem and Communications Protection(SC)管理策ファミリーに直接対応するものです。
アクセス制御と監査ログについて:統合されたData Policy Engineが、セキュアEメール、セキュアファイル共有、セキュアマネージドファイル転送、SFTP、セキュアデータフォームなど、すべてのチャネルにわたってロールベースおよび属性ベースのアクセス制御を適用します。すべてのアクセスイベントは、単一の改ざん不可能な統合監査証跡に記録され、Audit and Accountability(AU)管理策ファミリーを直接サポートします。これにより、検証方法が自己評価であってもC3PAOによるレビューであっても、事業者はエクスポート可能で、アセッサーがそのまま確認できるエビデンスを手に入れることができます。
FedRAMPの継承について:KiteworksはFedRAMP Moderate認証を取得しており、Coalfireによる独立した評価を受け、2017年6月以降継続的なモニタリングが行われています。FedRAMP ModerateとNIST SP 800-171は管理策の大部分が重複しているため、FedRAMP認証済みのプラットフォームを利用する事業者は、CMMCの管理策セットのうち相当な部分について、既に文書化されたエビデンスを継承できます。これにより、自己評価であっても、将来のC3PAOによるレビューであっても、アセスメントの範囲を圧縮することができます。Kiteworksは、Secure Gov CloudにおいてもFedRAMP High In Process認証を取得しており、政府が最も機密性の高い非機密データに対して求める最も厳格な管理策要件を満たしています。これは、ITAR、EAR、そしてCMMC 2.0の上位レベルに対応するために各政府機関やその関連事業者が必要とする基準です。
Kiteworksは、CMMCレベル2要件の約90%を標準機能でサポートしており、事業者に文書化された技術基盤を提供します。この基盤は、現行のプログラム見直しの結果がどうなろうと、その価値を失いません。というのも、本プラットフォームが対応しているNIST 800-171の管理策そのものは、見直しの対象ではないからです。
お客様固有のCMMC準拠要件に対してKiteworksがどのように役立つかをご確認いただくには、カスタムデモをご予約ください。
よくあるご質問
CMMCレベル1およびレベル2の自己評価要件は、依然として完全に有効であり、新規の調達案件や契約にも組み込まれています。2026年7月13日に一時停止されたのは、2026年11月10日に施行予定だった、義務としての第三者(C3PAO)認証アセスメントに関するPhase 2要件のみです。この要件は、60日間のCMMC改革タスクフォースによる見直しが行われるまで一時停止されており、その結果は2026年9月中旬頃に公表される見込みです。勧告をまとめる見直しと、要件を正式に変更するルールメイキングのプロセスとは異なるため、事業者は当初のスケジュールがそのまま継続するという前提で、現行のすべての自己評価・文書化義務を引き続き満たしていく必要があります。
影響しません。2026年7月の一時停止に関するあらゆる法的分析は、この点を明確に指摘しています。一時停止の対象はCMMC認証の検証メカニズムのみであり、根底にある契約上のサイバーセキュリティ要件ではありません。DFARS 252.204-7012は、引き続き、対象となる国防関連情報を取り扱う防衛関連事業者に対し、NIST SP 800-171の110のセキュリティ管理策の実装、正確なシステムセキュリティプランの維持、要求される期限内でのサイバーインシデントの報告を求めています。これらの義務はCMMCとは独立して存在しており、認証プログラムより数年前から課されているものです。司法省のCivil Cyber-Fraud Initiativeも、準拠状況を偽った事業者に対する虚偽請求防止法訴訟の追及を、認証の一時停止とは全く別に継続しています。
CMMCレベル1(基礎)は、連邦契約情報を取り扱う事業者を対象とし、17の基本的な保護策を求め、年次の自己評価によって検証されます。レベル2(高度)は、管理対象非機密情報を取り扱う事業者を対象とし、NIST SP 800-171の110のセキュリティ管理策すべてを求め、自己評価(優先度の低いプログラム)または第三者によるC3PAO認証(優先度の高いプログラム。2026年7月のプログラム見直しにより現在停止中)のいずれかによって検証されます。レベル3(エキスパート)は、最も機密性の高いCUIを取り扱う最優先度のプログラムを対象とし、レベル2の基準に加えてNIST SP 800-172の強化要件を求め、政府主導のアセスメントによって検証されます。
タスクフォースは、2026年7月13日に発表された60日間の見直しのスケジュールと、公示された意見募集(RFI、回答期限2026年8月14日)を通じて集められた業界からの意見に基づき、2026年9月中旬頃に戦争省の最高情報責任者へ調査結果を提出する見込みです。政策アナリストは、この見直しがいくつかの形を取り得ると指摘しています。C3PAOによる第三者認証要件をさらに延期する、第三者アセスメントが必要な契約と拡大された自己評価で済む契約の線引きを見直す、あるいはアセスメントモデル自体を再構築する、といった可能性です。一方、アナリストの間では、根底にあるNIST SP 800-171セキュリティ基準が弱められる可能性は低いという見方が広く一致しています。この基準は、CMMC認証プログラムとは独立してDFARS 252.204-7012に明記されているためです。勧告を実施するための正式なルールメイキングには、少なくともさらに数か月を要するため、事業者はタスクフォースの調査結果を、要件の即時変更としてではなく、新たな情報を確認するための通過点として捉えるべきです。
NIST SP 800-171は、DFARS 252.204-7012が2017年以降防衛関連事業者に実装を求めている技術的セキュリティ基準であり、14の管理策ファミリーにわたる110の管理策から構成されています。CMMCは、この既存の要件の上に構築された、検証・認証のフレームワークです。CMMC以前は、事業者は独立した検証を受けずにNIST 800-171への準拠を自己申告していました。CMMCは、その自己申告された準拠状況が正確であることを検証するための、正式なアセスメントメカニズム(SPRSスコアを用いた自己評価、または優先度の高いプログラムにおける第三者C3PAO認証)を導入しました。2026年7月のPhase 2一時停止を含む、CMMC認証フレームワークへの変更は、準拠状況の検証方法に影響を与えるものであり、NIST SP 800-171が事業者に求める実装内容そのものを変えるものではありません。
関連リソース