CMMC 2.0の実態調査:防衛産業基盤(DIB)における273社の防衛関連企業が語る、審査一時停止後のコンプライアンス最前線

第三者によるCMMCアセスメントの一時停止は、防衛請負業者のコンプライアンス基準を下げるものではありませんでした。むしろ、請負業者が「できている」と主張することと、それを証明できることのギャップを見えにくくしただけです。このギャップこそが現在、防衛産業基盤（DIB）における最も重要なリスクとなっており、273組織を対象とした新たな調査によって、その実態が数値で明らかになりました。

2026年7月13日に国防省（DoW）がCMMC 2.0フェーズIIの第三者アセスメントを停止した直後、私たちは市場の最新動向を把握するための調査を実施しました。回答者は全員、DoWのビジネスとして認定され、CMMC 2.0の要件が適用されている企業です。「DIBにおけるCMMC 2.0の現状」レポートにまとめられた調査結果は、DIBが急速に動き、資金を投じている一方で、多くの場合、その動きが「準備完了」と誤認されていることを示しています。

注目すべきは、無関心ではないという点です。アセスメント停止後、請負業者の98%が何らかの具体的なアクションを起こしており、何もしなかったのはわずか2%でした。問題は「方向性」にあります。組織が構築したものと、実際の行動を切り離して見ると、状況は二分化します。多くの企業が右往左往したりリスクにさらされたりしており、最も準備ができていない企業ほど自信を持っているという顕著な傾向も見られます。CUIを扱ったり防衛案件に入札したりする企業にとって、この組み合わせこそが監査や失格、False Claims Act（虚偽請求防止法）による和解の温床となります。

Kiteworksは、まさにこの問題に対応するためにセキュアなデータ交換プラットフォームを構築しました。つまり、規制当局が求める方法で機密データが移動したことを証拠で示すための仕組みです。本記事では、レポートの主要な発見と、今後2四半期にわたるCMMC 2.0コンプライアンス計画への示唆を解説します。

主なポイント

1. アセスメントの一時停止は義務の停止ではない

DFARS 252.204-7012、NIST SP 800-171、フェーズ1の自己評価、SPRS報告はすべて有効であり、False Claims Actも請負業者がすでに行ったすべての証明に引き続き適用されます。

2. 自信が証拠を上回る現状

請負業者の96%がSPRSスコアが精査に耐えると自信を持っていますが、実際に最新のSPRS提出とFedRAMP認証済みプラットフォームの両方を備えているのは29%に過ぎません。完全に主張を裏付けられるのは10社に3社未満です。

3. 動いていること＝準備完了ではない

現在の体制と直近の行動を掛け合わせたコンプライアンスシグナリング指数は平均60.0で、単純平均の約77を大きく下回ります。両方で満点を取った請負業者はわずか2%です。

4. 監督・執行はすでに始まっており、内部告発者は不要

2026年6月、米司法省が50万7144ドルで和解した事例は、通常の政府監査が自己申告のSPRSスコアを不正請求に変えることを示しています。実際の体制が報告より大幅に劣っていたためです。

5. 市場は「証拠」を軸に再評価中

半数以上の請負業者が、以前は避けていた案件に入札し、半数以上が準備不足で入札を辞退し、89%が6カ月以内にFedRAMP認証済みプラットフォームの導入・利用を予定しています。

アセスメントの一時停止は義務停止ではない

2026年7月13日の発表を「CMMCがなくなった」と誤解することが最も危険です。実際には、フェーズIIの第三者アセスメント、つまりC3PAOによる組織の管理策検証のみが停止されただけで、それ以前のすべてのプロセスは変更ありません。

DFARS条項252.204-7012は引き続き、防衛情報の保護とサイバーインシデントの報告を請負業者に義務付けています。NIST 800-171もCUIを守るための110の管理策を定めています。フェーズ1の自己評価義務も継続しており、請負業者はサプライヤーパフォーマンスリスクシステム（SPRS）に最新スコアを投稿・維持する必要があります。最も重要なのは、False Claims Actがすでに提出されたすべてのスコアの正確性を引き続き規定している点です。アセスメントの一時停止は、責任の一時停止ではありません。

請負業者は、仕組みを誤解していても法的リスク自体は概ね理解しています。調査では、84%がFalse Claims Actによるリスクを懸念し、92%がアセスメント停止後に法務またはコンプライアンスレビューを実施していました。これは正しい本能です。ただし、自信の根拠となるものにはズレがあります。自信を支える要素として47%が監査証跡、36%がFedRAMP認証済みプラットフォーム、11%のみが法務レビューを挙げました。多くの場合、ドキュメントが安心材料となっており、検証が伴っていないケースが目立ちます。

動いていること＝準備完了ではない：コンプライアンスシグナリング指数の内訳

現状の体制と実際の行動を分けて評価するため、レポートでは2つの指標を作成しました。Current Compliance Maturity Score（CCMS）は、実装済み管理策8項目で組織の現状を測定し、平均78.2点（100点満点）という一見高いスコアとなりました。Signal-to-Governance Score（SGS）は、7月13日以降の行動8項目を評価し、74.9点でした。個別に見ると、どちらも健全に見えます。

しかし、両者を単純平均せず掛け合わせてCompliance-Signaling Readiness Index（CSRI = CCMS × SGS/100）を算出すると、真の姿が見えてきます。どちらか一方が弱いと全体が損なわれるため、掛け算が正直な評価方法です。強固な管理策があっても最近の行動がなければ準備不足、逆に忙しく動いていても基盤が脆弱なら同様です。結果、CSRIの平均は60.0、中央値は65.6。単純平均なら約77となり、実態よりも良く見えてしまいます。

各指標で8項目中7項目以上を満たす厳しい基準で4象限に分類すると、23%が「監査対応可能（Audit-Ready）」、28%が「現状維持（Coasting）」、18%が「右往左往（Scrambling）」、31%が「リスク露出（Exposed）」となりました。両方で満点（8/8）を取ったのはわずか2%。典型的な請負業者は監査対応可能ではなく、むしろ「監査1回で大きな問題が発覚する」状態です。

自信と証拠のカスケード

この「言行不一致」が最も顕著に現れるのが、レポートで「自信と証拠のカスケード」と呼ばれる部分です。まず「自信」から始まり、証拠要件を1つずつ追加していくと、その数値がどんどん減っていきます。

請負業者の96%がSPRSスコアが精査に耐えると自信を持っています。しかし、最新のSPRS提出があるのは60%。さらに、FedRAMP認証済みプラットフォーム上で機密データを運用している要件を加えると36%に減少。両方を満たすのはわずか29%。つまり、完全に裏付けられるのは10社に3社未満です。

これは単なる誤差ではありません。自信と証拠の間には67ポイントものギャップがあり、まさに監査人や契約担当官、司法省の弁護士が入り込む余地となっています。自信は書類請求に耐えませんが、証拠は耐えます。このギャップを埋めているのは、必要な時に「誰が、いつ、どこから、どのポリシーで、どのCUIに触れたか」を示す完全な監査証跡を提示できる請負業者です。記憶に頼った証明ではなく、証拠に基づく主張が重要であり、システムセキュリティ計画の下に「生きた証拠レイヤー」が必要な理由です。

監督・執行はすでに始まっている：50万7144ドルの和解事例

このカスケードが理論上の話に思える場合でも、最近の事例が現実味を与えます。2026年6月18日、米司法省はアラバマ州ハンツビルのLOGZONE Inc.と、2件の海軍契約に関して50万7144ドルでFalse Claims Act違反の和解を成立させました。同社はSPRSスコア110（満点）を自己申告していましたが、DIBCACによる独立評価では実際のスコアがマイナス170と判定されました。申告と実態のギャップが問題となったのです。

注目すべき点は2つ。1つ目は、この問題が内部告発ではなく、通常の政府監査で発覚したことです。False Claims Actのqui tam条項が注目されがちですが、この事例は内部関係者がいなくても、スプレッドシートと評価者だけで虚偽スコアが見抜かれることを示しています。2つ目は、執行がDOJ Civil Cyber-Fraud Initiative（サイバー詐欺対策イニシアチブ）を通じて行われたことです。アセスメント停止は、このイニシアチブの進行を全く妨げませんでした。

96%の自信を持つ請負業者にとって、この事例は直接的な教訓です。自己申告スコアは法的な宣言であり、楽観的な自己評価と独立評価の差は金額で測られます。SPRSスコアを「ドキュメント作成」として扱う組織は、証拠に基づく主張をしていない限り、知らず知らずのうちに同じリスクを抱えています。POA&Mや基礎となる管理策を正しく整備する方が、和解金を支払うよりも安上がりです。

自信の裏にある「知識の錯覚」

なぜ多くの請負業者が、十分に裏付けられない立場に自信を持てるのでしょうか。レポートは「知識の錯覚」、つまりアセスメント停止が何を変えたかを十分に理解しないまま自信を持っていることを指摘しています。

良いニュースは、フレームワーク全体が停止したと考えている請負業者はわずか3%しかいないことです。しかし、重要な細部では誤解が広がっています。48%はフェーズ1の自己評価が継続していることを知らず、57%は政府主導の一部アセスメントが継続していることを知りません。これらは些細な注釈ではなく、現状で最も執行リスクが高い義務です。

最も示唆的なのは、自信が知識を予測しないことです。4問の知識テストで「非常に自信がある」と答えた請負業者の平均正答数は2.48で、「やや自信がある」と答えた層と全く同じ2.48でした。自信と知識は完全に切り離されており、「非常に自信がある」グループの約半数（49%）が3問未満の正答でした。高い確信が高い理解と一致しておらず、この状態こそが本来署名すべきでない証明書にサインしてしまう原因です。このギャップを埋めるには、CMMC 2.0コンプライアンスを「継続的なプログラム」として捉え、単なる認証マイルストーンの延期と考えないことが重要です。

市場は「証拠」を軸に再編中

コンプライアンス部門が義務整理に取り組む一方、ビジネスサイドはすでに動き始めています。アセスメントの一時停止はDIB全体の入札行動を変え、その方向性は「証拠」を競争力とする流れです。

請負業者の55%が、以前は避けていた案件への入札を開始し、一時停止をチャンスと捉えています。一方で、52%が準備不足で入札を辞退し、38%がレベル2要件で案件を失ったり失格となったりしています。この傾向は均等ではありません。ティア2以下の下請け業者は55%の割合で入札を失い、プライム（元請け）の31%のほぼ2倍です。プライムから遠いほど、CMMCレベル2体制を証明する能力が厳しく問われます。航空宇宙・防衛企業は最も守られており、損失率は16%にとどまります。これらの企業は、より深いコンプライアンス投資と顧客関係の強さを持つ傾向があります。

この下請け業者のリスクが「フローダウン」不安の高さにつながっています。契約上のフローダウン要件への懸念は全体で86%、ティア1下請けで92%、ティア2以下で89%、プライムでは79%となっています。フローダウンは、プライムのサプライチェーンリスク管理義務がすべての下請け業者に波及する仕組みであり、小規模企業ほどその影響を強く受けます。外部データもこのリスクを裏付けています。Verizonの2026年データ侵害調査レポートによると、サードパーティ侵害は前年比60%増で全侵害の48%に達し、世界経済フォーラムのグローバルサイバーセキュリティアウトルック2026では、大企業の65%がサードパーティおよびサプライチェーンリスクを最大の課題と認識しており、前年の54%から増加しています。

独立認証への需要が集中

証拠が新たな通貨となる中、請負業者は最も強力な証拠である「独立した第三者認証」に予算を投じています。これはデータ上、最も明確な将来指標です。

請負業者の89%が6カ月以内にFedRAMP認証済みプラットフォームを導入・利用中または予定しています。93%が独立第三者認証を「不可欠」または「重要」と考えており、自己申告だけではCUIの取扱い根拠として不十分と見なしています。さらに96%がC3PAOと契約しており、32%はアセスメントが停止中でも自主的に継続すると回答しています。請負業者は政府の再開を待たず、今この瞬間に証拠を構築しています。

また、政策プロセスにも積極的に関与しています。93%がDoWの情報提供要請（RFI）に意見提出を予定または実施し、58%がフェーズIIが修正版で復活すると予想、消滅すると考えるのはわずか4%です。一方で、70%が6カ月以内に完全なコンプライアンス体制を整える見込みを持っていますが、現時点で「監査対応可能」なのは23%に過ぎません。意向と実際の準備状況のギャップこそが本レポート全体のテーマです。到達できる組織は、NIST 800-171コンプライアンスを「継続的なシステム」として運用する企業です。

すべての請負業者が同じリスクを抱えているわけではない

DIBは一枚岩ではなく、CSRIによってその違いが可視化されます。業界別では、航空宇宙・防衛が準備指数66.2でトップ、IT・クラウドサービスが61.9、通信が59.3、その他全業種が52.2と続きます。ミッションに最も近い企業ほど、証明能力も高いのは当然の結果です。

より顕著なのは地域差です。北米の請負業者（n=163）はCSRI64.7、欧州の請負業者（n=104）は53.9。欧州は本調査で最もリスクが高いセグメントで、44%が「リスク露出」象限、監査対応可能はわずか15%。具体的な証拠指標では、欧州で最新SPRS提出があるのは43%に対し、北米は70%。それでも欧州の94%が自信を持っているという、最も極端な「自信と証拠のギャップ」が見られます。これは国境を越えたサプライチェーンを持つプライム企業への警告です。下請け企業のデータ主権体制とCMMC準備状況は別物であり、海外セグメントへの注視が必要であることを示しています。

CUIの取扱いにおける示唆

すべての発見に共通するのは、「証拠のない証明＝リスク」であり、解決策は機密データのための証拠生成システムの構築です。誤った対応のコストは抽象的ではありません。IBMの2026年データ侵害コストレポートでは、サプライチェーンの侵害が1件あたり22万7250ドルでコスト増要因のトップ、非準拠による追加コストは20万1112ドル、世界平均の侵害コストは499万ドルとされています。防衛請負業者にとって、コンプライアンス不履行と侵害はしばしば同時に発生します。

ここでKiteworksセキュアデータ交換プラットフォームが役立ちます。Kiteworksはシングルテナントアーキテクチャで稼働し、CMMCレベル2に対応、FedRAMP High In ProcessおよびFedRAMP Moderate Authorizedを取得しています。CUIを含むすべてのファイル、メール、フォーム、転送がKiteworks Control Planeという統制レイヤーを通過し、「誰が、いつ、どのポリシーで、何にアクセスしたか」を記録します。これが、監査人に「SPRSスコアは妥当」と口頭で伝えるのと、監査ログで証明する違いです。自信の根拠として監査証跡に頼る47%の請負業者は方向性として正しいですが、その証跡を支えるプラットフォームが重要です。

データから導かれる実践的なステップは以下の通りです。自己申告のSPRSスコアを独立評価者がどう判定するか照合する（アラバマの事例のような失敗を避ける）。CUIをFedRAMP認証済みプラットフォームに集約し、「証拠層36%」を上限ではなく下限とする。下請け層まで準備基準を拡大し、DIBの弱点を補強する。そして、アセスメントの一時停止を「証拠構築の期間」と捉え、手を止める口実にしないこと。正しく一時停止を読み解いた請負業者こそ、フェーズII再開時に準備が整っています。

「DIBにおけるCMMC 2.0の現状」レポートは、指標や4象限モデル、セグメント別分析、今後の執行見通しまで、この記事の要約以上に詳細な内容です。全データセットや、273社との比較で自社の立ち位置を知りたい方は、ぜひ完全版レポートをダウンロードしてご覧ください。

追加リソース

• ブログ記事
  中小企業向けCMMCコンプライアンス：課題と解決策
• ブログ記事
  DIBサプライヤー向けCMMCコンプライアンスガイド
• ブログ記事
  CMMC監査要件：CMMC準備状況評価で求められるポイント
• ガイド
  機密コンテンツ通信のためのCMMC 2.0コンプライアンスマッピング
• ブログ記事
  CMMCコンプライアンスの真のコスト：防衛請負業者が予算化すべき内容