48 CFRとCMMC:SPRSスコアがDoD契約適格性を左右する仕組み
32 CFRは、CMMCが求める要件——レベル、管理策、評価タイプ——を定めました。一方48 CFRは、これらの要件を契約授与の段階で実際に強制力を持たせる規則です。この規則は国防連邦調達規則補足(DFARS)を改正し、契約担当官に対して、入札公告(ソリシテーション)で必要なCMMCレベルを明示する権限、サプライヤー実績リスクシステム(SPRS)を通じて請負業者のコンプライアンス状況を直接確認する権限、そしてそのステータスが最新でない場合に契約授与を保留する権限を明確に与えました。
これこそが、CMMCを単なるセキュリティフレームワークから、DoD案件を獲得するための実際の関門へと変える仕組みです。この仕組み——具体的にはSPRSスコアリングシステム、CMMC固有識別子(UID)、そして「最新」が実際に何を意味するのか——を理解しているかどうかが、貴社のコンプライアンス状況が契約適格性につながるのか、それとも入札失格の原因になるのかを左右します。
注:CMMCフェーズ2の第三者認証要件は、プログラムレビューの実施に伴い、2026年7月に国防総省(Department of War)により一時停止されました。以下で説明するフェーズ1のSPRSおよび自己評価要件は、引き続き完全に有効です。詳細は「CMMCフェーズ2は停止中、しかしDFARS義務は継続する」をご覧ください。
エグゼクティブサマリー
要点: 48 CFR DFARS規則——具体的には条項252.204-7021——は、契約担当官に対して、ソリシテーションで特定のCMMCレベルを要求する権限、および請負業者のSPRS登録情報が最新でない場合に契約授与を保留する権限を直接与えています。この規則は2025年11月10日より施行されています。
なぜ重要なのか: この規則によって、CMMCコンプライアンスは単なるセキュリティ体制の問題ではなく、契約適格性そのものの問題になります。実際には優れたサイバーセキュリティ管理策を備えた請負業者であっても、SPRSスコアが古い、あるいは未登録であるという手続き上の技術的な理由だけで入札を失うことがあります。契約担当官は、古い登録情報を「登録なし」とまったく同様に扱うよう指示されているのです。
重要ポイント
- 48 CFRは、契約授与の段階でCMMCを強制する権限を契約担当官に与えます。 この規則により、DFARS条項252.204-7021が追加され、契約担当官はソリシテーションで必要なCMMCレベルを直接指定し、それを達成・維持していない入札者への契約授与を保留できるようになりました。
- SPRSは正式な記録システムであり、古い登録情報は「未登録」として扱われます。 請負業者は、最新の自己評価スコアと年次確認(アフィメーション)をサプライヤー実績リスクシステムに登録しなければなりません。契約担当官は、期限切れのSPRS登録情報を未登録と同様に扱うよう指示されており、これにより本来はコンプライアンスを満たしている請負業者が、技術的な理由だけで失格になる可能性があります。
- CMMC固有識別子(UID)は、入札とコンプライアンス記録を直接結びつけます。 入札者は、コンプライアンス状況がSPRSに登録された際に生成されるCMMC UIDを提案書に記載します。これにより契約担当官は、入札内容と請負業者の実際の認証状況との間に、直接検証可能なつながりを確認できます。
- この規則は2025年11月10日より既に施行・運用されており、将来の要件ではありません。 この規則に基づくフェーズ1の要件は、実際のDoDソリシテーションおよび契約においてすでに適用されています。今日DoDの新規案件に入札する請負業者は、適格と見なされるために現時点で最新のSPRS登録情報を持っていることを既に求められている可能性があります。
- 下請業者もプライム(元請)業者と同じ強制メカニズムの対象です。 フローダウン要件により、下請業者のSPRSステータスが、プライム契約業者がそのDoDプログラムで当該下請業者を起用できるかどうかに影響を及ぼします。つまり、下請業者のSPRS情報が最新であるかどうかは、下請業者だけの問題ではなく、プライム契約業者自身の問題にもなるのです。
48 CFRはCMMC規則全体の構造の中でどう位置づけられるか
CMMCの規則制定は2つの部分に分かれて行われており、それぞれの規則が異なる役割を担っているため、その違いを理解しておく価値があります。2024年後半に最終化された32 CFR Part 170は、CMMCプログラム自体——3つの認証レベル、スコーピングルール、評価タイプ、確認要件——を定めました。つまり、コンプライアンスが何を意味するのかを定義したのです。
一方、48 CFR——具体的には条項252.204-7021によるDFARSの改正——は、そのプログラムを契約プロセスの中で実際に強制力を持たせるものです。契約担当官には、ソリシテーションでCMMCレベルを指定し、請負業者のステータスを確認し、その結果に基づいて行動する具体的な権限が与えられています。32 CFRがルールブックだとすれば、48 CFRは取引時点での強制メカニズムです。認証プログラムが根本的に何を要求しているかの全体像については、CMMC 2.0最終規則の概要をご覧ください。
SPRSスコアリングと契約適格性は実際にどう機能するか
サプライヤー実績リスクシステム(SPRS)は、請負業者がNIST SP 800-171の自己評価スコアおよびコンプライアンス継続の年次確認を登録する場所です。48 CFRの下では、この登録は単なる記録保存の形式的手続きではなく、契約担当官が入札適格性を評価する際に直接確認するデータソースとなっています。
請負業者がこの関門を通過できるかどうかは、3つの要素によって決まります。第一に、スコアそのものが、当該ソリシテーションで要求されるCMMCレベルを反映していなければなりません——FCIのみを扱う契約であればレベル1自己評価、CUIを扱う契約であればプログラムの重要度に応じてレベル2自己評価またはC3PAO認証が必要です。第二に、登録情報が最新でなければなりません——レベル2自己評価は3年間有効ですが、その間にコンプライアンス継続の年次確認が必要であり、この確認を怠ると、本来有効なスコアであっても実質的に無効(古い情報)として扱われます。第三に、登録情報が正しいエンティティに紐づいていなければなりません——親会社や関連会社ではなく、実際にその契約に入札する特定の法人でなければならず、コンプライアンス状況は自動的には引き継がれません。
これらのいずれかを誤った場合の結果は直接的です。契約担当官は、請負業者の実際のサイバーセキュリティ体制がどれほど優れていようとも、期限切れまたは未登録のSPRS登録情報を、コンプライアンスがまったく満たされていない場合と同様に扱うよう指示されています。優れた技術的管理策を備えていても、年次確認の期限が切れているというだけで、実際のセキュリティとは無関係な手続き上の不備によって入札を失う可能性があるのです。
CMMC固有識別子(UID)について
CMMC UIDは、請負業者が評価結果をSPRSに登録する際に生成され、特定のコンプライアンス記録と特定の入札とを結びつける役割を果たします。入札者は提案書にCMMC UIDを記載することで、契約担当官が入札で主張されているコンプライアンス状況が実際にSPRSの登録内容と一致しているかを直接検証できるようにします。これにより、評価の段階で独立した検証ができないまま、請負業者が提案書内でコンプライアンスを主張してしまうという抜け穴を塞ぐことができます。
このIDと、その基盤となるSPRS記録を常に最新の状態に保つことは、今やDoD案件に入札するあらゆる組織にとって、事業開発の実務的な一部となっています。もはやコンプライアンス部門だけが契約チームとは切り離されて対応すべき責任ではないのです。
下請業者にとっての意味
フローダウン要件により、この強制メカニズムはサプライチェーン全体に及びます。プライム契約業者は、下請業者が扱うCUIまたはFCIに見合ったCMMCレベルを、その下請業者が保有していることを確認する責任を負います。つまり、下請業者のSPRS登録情報が古くなっていることが、プライム契約業者自身の問題になり得るのです。必要な下請業者が最新のコンプライアンスを証明できない場合、プライム契約業者自身の契約履行能力が危うくなる可能性があります。
この結果、下請業者のSPRSステータスは、各下請業者内部だけのコンプライアンス問題ではなく、サプライチェーンを管理するプライム契約業者にとってのデューデリジェンス項目となっています。
KiteworksがSPRS関連のコンプライアンス証跡をどう支援するか
KiteworksはSPRSへの登録手続きそのものを直接管理するわけではありませんが、正確で説得力のある自己評価スコアを作成・維持するための基盤となるエビデンスを提供します。統合されたデータポリシーエンジンが、CUIが移動するあらゆるチャネル——セキュアEメール、セキュアファイル共有、マネージドファイル転送、SFTP——にわたってアクセス制御、暗号化、監査ログを一元管理し、CMMC 2.0レベル2要件の約90%を標準機能でサポートします。
これらすべてのチャネルにわたる単一の、統合された、改ざん不可能な監査証跡があることで、請負業者は年次確認の期限が来るたびに書類を慌てて再構築する必要がなくなり、SPRSスコアと年次確認を裏付ける最新のエクスポート可能なエビデンスを常に手にすることができます。この一貫性こそが、コンプライアンス体制——そしてそれに基づくSPRS記録——を、書類上は形式的に準拠しているだけで実態は古いという状態ではなく、真に最新の状態に保つ鍵となります。
貴社のSPRS登録を支えるコンプライアンスエビデンスをKiteworksがどのように支援できるか、ぜひカスタムデモをご予約のうえご確認ください。
よくある質問
48 CFR規則はDFARSを改正し、条項252.204-7021を追加しました。これにより契約担当官は、ソリシテーションで特定のCMMC認証レベルを要求する権限、そして契約授与前にサプライヤー実績リスクシステム(SPRS)を通じて請負業者のコンプライアンス状況を直接確認する権限を明確に持つことになりました。この規則は2025年11月10日より施行されています。先に制定された32 CFR規則がCMMC認証の要件を定めたのに対し、48 CFRはその要件を契約授与の段階で実際に強制力あるものにする規則です。
契約担当官は、期限切れのSPRS登録情報を未登録と同様に扱うよう指示されています。つまり、たとえ請負業者の実際のサイバーセキュリティ管理策が本当に優れていたとしても、自己評価スコアや年次確認が最新でないというだけで入札から失格になる可能性があります。レベル2自己評価スコアは3年間有効ですが、その間に毎年コンプライアンス継続の確認が必要であり、この年次確認を怠るだけで、本来有効なスコアが契約適格性の観点からは実質的に無効となってしまいます。
CMMC固有識別子は、請負業者が評価結果をSPRSに登録した際に生成されるもので、入札者はDoD契約提案書の中でこれを参照し、特定の入札と特定の検証可能なコンプライアンス記録とを結びつけます。これにより、契約担当官が容易に検証できないまま、請負業者が提案書内でコンプライアンスを主張してしまうという抜け穴が塞がれます。UIDによって契約担当官は、主張されているステータスが実際にSPRSに登録されている内容と一致しているかを直接確認できるようになります。
両方に影響します。必須のフローダウン要件により、プライム契約業者はすべての階層の下請業者が、扱うCUIまたはFCIに見合ったCMMCレベルを保有していることを確認する責任を負います。SPRS登録情報が古い、あるいは未登録の下請業者は、プライム契約業者自身の契約履行能力を危うくする可能性があります。この結果、下請業者のSPRSステータスは、各下請業者だけの内部的なコンプライアンス問題ではなく、契約業者ネットワークを管理するプライム契約業者にとってのサプライチェーンデューデリジェンスの責任事項となっています。
いいえ、影響を受けません。2026年7月に国防総省(Department of War)により発表されたフェーズ2の一時停止は、2026年11月に施行予定だった第三者機関(C3PAO)による必須認証の要件を一時停止したものです。一方、48 CFRおよびDFARS条項252.204-7021の下で強制されているフェーズ1の要件——自己評価、SPRS登録、年次確認、そして契約担当官が契約授与を保留する権限——は2025年11月10日に施行され、フェーズ2の一時停止の影響を受けることなく、引き続き完全に有効です。
関連リソース