DFARSクラス逸脱2026-O0025、改訂3：CMMCに実際に何が変わるのか
防衛請負業者がCMMCのタイムラインを注視する中、2026年9月3日、国防省は
DARSクラス逸脱2026-O0025の改訂3版
を発表しました。この改訂では、2026年7月13日のCMMCフェーズ2の一時停止がDFARSパート240の本文に直接盛り込まれ、契約担当官に対し、プログラムレビューが継続する間のCMMC要件の取り扱い方法について明確な指示が与えられています。防衛産業基盤のIT、リスク、コンプライアンス担当者の方に向けて、何が変わり、何が変わらなかったのか、そして変わらなかった部分こそがなぜ重要なのかを解説します。
エグゼクティブサマリー
主なポイント：
改訂3版は、CMMCフェーズ2の一時停止を正式に契約条項として明文化し、CMMCレベル1およびレベル2については自己評価による対応を認め、CMMCが自動的かつ普遍的な契約要件となる時期を市場予想より2年遅い2028年11月10日に延期しました。ただし、DFARS 252.204-7012に基づく対象防衛情報の保護義務には一切影響せず、政府は請負業者の自己評価の有無にかかわらず、独自に中・高レベルのNIST SP 800-171評価を実施する完全な権限を保持しています。
なぜ重要か：
自己評価によるCMMCステータスも、政府に対する公式な申告であり、サプライヤーパフォーマンスリスクシステム（SPRS）に登録され、後から確認される可能性があります。自己証明が政府主導の評価で認められなかった場合、単なるコンプライアンス違反にとどまらず、政府が契約の授与・延長・更新時に依拠した申告として虚偽請求法（False Claims Act）による責任追及のリスクが生じます。
5つの重要なポイント
-
自己評価が正式に契約条項に明記された
改訂3版により、CMMCレベル1およびレベル2は調達文書上で自己評価（Self assessment）として認められ、契約担当官はこれに合わせて既存の案件も修正するよう指示されています。これは単なる暫定的なガイダンスではなく、契約担当官が必ず従うべき正式な指示です。 -
DFARS 252.204-7012は一時停止されていない
請負業者に対象防衛情報の保護とNIST SP 800-171の実施を義務付ける条項は完全に有効なままです。改訂3版は、セキュリティ要件自体には一切変更を加えておらず、変更されたのは検証方法のみです。 -
DoDは独自の評価権限を維持
改訂3版は、政府が自己評価の有無にかかわらず、対象請負業者システムに対して中・高レベルのNIST SP 800-171 DoD評価を実施できる権限を保持しています。防衛契約管理局（DCMA）が評価を実施した場合、その結果は他のいかなる評価（自己評価を含む）よりも優先されます。 -
CMMCの普遍的義務化は消滅したのではなく2年先送り
2028年11月9日までは、プログラムオフィスが個別に必要と判断した場合のみCMMC条項が挿入されます。2028年11月10日以降は、FCIまたはCUIに関わるすべての契約に自動的に挿入されます。これが本当のトリガー日であり、2026年11月ではありません。フェーズ2が何らかの形で復活することを示唆しています。 -
受注やオプション行使はいずれも現行CMMCステータスが前提
契約担当官は、受注前、オプション行使前、期間延長前に必ずSPRSを確認し、ステータスが失効していればいずれも保留しなければなりません。契約期間中にステータスが失効した場合も、更新が滞る可能性があります。
改訂3版の実際の内容
改訂3版は同一クラス逸脱の改訂2版を置き換え、3つの明確な変更を行っています。第一に、契約担当官に対し、2026年7月13日付国防省CIOメモ（CMMCフェーズ2の進行停止）に従い、新規および既存の案件からCMMC要件を削除または修正するよう、要求部門と連携することを指示しています。このメモにより、CMMCレベル1およびレベル2は自己評価として含めることができ、DFARS 252.204-7012に基づきNIST SP 800-171 Rev 2のベースライン準拠が求められます。
第二に、これは単なるメッセージではなく、実際のコンプライアンスカレンダーを変更する重要な点ですが、改訂3版はCMMC条項（252.204-7021）が契約に挿入されるタイミングについて2つの基準を設定しています。2028年11月9日までは、プログラムオフィスや要求部門が個別に請負業者に特定のCMMCレベルが必要と判断した場合のみ条項が挿入され、現状と同様の運用です。2028年11月10日以降は、連邦契約情報または制御されていない分類情報を処理・保存・送信するシステムが関与する契約には、個別判断不要で自動的に挿入されます。この2028年11月10日が真の普遍的義務化のトリガー日であり、市場が目標としていた2026年11月より2年遅れとなります。
第三に、進行中の訴訟に関連する別件として、特定の企業に対する10 U.S.C. 4663の中国軍事企業禁止の一時的な免除を盛り込んでいます。これはCMMCとは無関係ですが、こうした逸脱措置が発行時点での規制変更をまとめて盛り込むものであり、状況に応じて再度改訂されることを示しています。改訂3版は、改訂2版の更新が必要だったために存在しており、改訂4版の登場も十分あり得ます。
既存契約にCMMCフェーズ2の条項が含まれている請負業者については、契約担当官が次のオプション期間行使前または次回の管理上の修正時に、必ず条項を削除するよう求められています。これは単なる方針ではなく、実務上の手続きです。フェーズ2条項が含まれている契約をお持ちの場合、修正が行われることを想定してください。まだ修正がないからといって、252.204-7012に基づく義務が消滅したと考えないようにしましょう。
自己評価でリスクが減るわけではない理由
改訂3版の「緩和」と見える部分が、実際にはそうでないことを率直に伝えておく価値があります。自己評価は監査が緩くなるように思えますが、実際には、内部申告と政府の依拠の間にあった唯一の第三者チェックがなくなるということです。C3PAOが評価を行う場合、専門の第三者がテスト内容を保証しますが、自己評価ではそれがありません。SPRSスコアの正確性は完全に自社の責任となり、そのスコアは契約担当官が契約の授与・更新・延長を判断する際に使われます。
これは、改訂3版が政府の独自評価権限には一切手を付けていないため重要です。DFARS 252.240-7997により、DoDは対象請負業者システムに対して中・高レベルのNIST SP 800-171評価を実施でき、DCMAが評価を行った場合、その結果は自己評価を含む他のいかなる評価よりも優先されます。高レベル評価で自己評価が見落とした、あるいは誤って申告したギャップが発覚した場合、単なる書類上の問題では済みません。評価終了後14営業日以内に追加証拠の提出や反論が可能ですが、その後はDoDがSPRSに要約スコアを登録し、契約担当官が受注判断に利用します。
ここで虚偽請求法（False Claims Act）が現実的なリスクとして浮上します。自己証明によるCMMCステータスは、政府が依拠する申告です。それが重大な誤りであり、かつ「知っていたはず」と政府が証明できれば、虚偽請求法の対象となります。2025年7月時点でのインフレ調整後の民事罰金は1件あたり14,308ドルから28,619ドルで、未達成管理策ごとではなく、虚偽申告ごとに課されます。司法省は2025年度に虚偽請求法による回収額が68億ドル超と発表しており、これはサイバーセキュリティ案件に限らず全分野の合計ですが、政府の執行意欲の高さを示す指標です。すでに受注した契約で政府主導の評価を受けて初めてこのリスクを実感する事態は、誰も望まないでしょう。
一時停止は廃止ではない
注目すべき点として、改訂3版はCMMC関連条項を特定のCIOメモ、特定の日付、特定の移行マイルストーンに紐付けて実施しています。これは「一時停止」の言葉であり、「規則変更」ではありません。CMMCプログラム規則（32 CFR パート170）は手つかずのままです。制御されていない分類情報を扱う請負業者が最終的に認証済みCMMCステータスを取得する義務は変わらず、変更されたのはタイムラインと検証方法だけです。
「CMMCは終わった」と受け取る請負業者は、フェーズ2要件が契約に戻った際に慌てることになります。それが新たなクラス逸脱、最終規則、別のCIOメモのいずれであっても同じです。自己評価が認められている今のうちに本格的なCMMCレベル2対応を進めておくことで、将来の混乱を回避できます。
同じ逸脱措置で独立した別要件も追加
改訂3版のすべてがCMMCに関するものではありません。新たにDFARS 240.374も実装されており、国防総省職員（軍人を含む）の対象個人識別情報を、連邦政府以外の第三者に販売・ライセンス・その他の形で移転する企業への契約授与を禁止しています。例外は非常に限定的で、契約履行に必要な移転、免除による移転、または法律で認められた移転のみです。対応する条項（252.240-7992）は、商用製品・サービス調達を含む案件に免除がない限り挿入されます。
この要件は2024年度NDAA第803条および2025年度NDAA第836条の実施であり、CMMCレベルや自己評価、DoDのカレンダーとは無関係です。すでに発効しており、今すぐ確認可能なため、CMMC全体の議論に含めず、独立したコンプライアンス課題として扱うべきです。
コンプライアンス体制への影響
実務的なポイントは、業務内容自体は変わっていないということです。引き続きNIST SP 800-171 Rev 2の110管理策を実装する必要があります。SPRSでチェックを入れるだけでなく、政府評価がいつでも実施される可能性があるため、文書化された証拠が必要です。また、自己評価かC3PAO評価かを問わず、文書レビューや検証に耐えうるシステムセキュリティ計画が求められます。
現時点でコンプライアンスチームが取るべき最善策は、自己評価を外部からのプレッシャーが少ないうちにギャップを埋める機会と捉え、対応を遅らせる理由にしないことです。この猶予期間は限られており、改訂3版自体も永続的なものではないことを示唆しています。
Kiteworksができること
Kiteworksは、防衛産業基盤の請負業者が、単なる書類上の申告ではなく、実際の証拠をもって自己証明SPRSスコアを裏付ける手段を提供します。プラットフォームはFedRAMP High In Processであり、2017年からFedRAMP Moderate Authorizedを取得、CMMC 2.0レベル2要件の90%を標準でサポートし、FIPS 140-3認証も取得済みです。中・高レベルのNIST SP 800-171 DoD評価に備える請負業者にとって、監査ログ、アクセス制御、暗号化運用がすでに文書化・実装されていることを意味し、政府からの通知後に慌てて準備する必要がありません。同じデータガバナンス、制御付きエグレス、監査ログ機能は、新たなDFARS 240.374の従業員データ要件にも直接対応し、個人識別情報の移動先の可視化や、移動が疑問視された場合の証跡も提供します。自己評価による申告と政府認証のギャップこそ、Kiteworksが請負業者の支援に特化している領域です。
よくある質問
DFARS改訂3版でCMMC要件はなくなりましたか？
いいえ。改訂3版はCMMCフェーズ2移行の一時停止を明文化し、CMMCレベル1およびレベル2の自己評価を認めていますが、32 CFR パート170のCMMCプログラム規則を廃止したわけではありません。契約担当官は引き続き、受注・オプション行使・期間延長前に現行CMMCステータスの確認が必要です。
この逸脱措置でDFARS 252.204-7012に影響はありますか？
いいえ。改訂3版はDFARS 252.204-7012を明確に維持しており、請負業者に対象防衛情報の保護とNIST SP 800-171の実施を義務付けています。この義務は、どのCMMCフェーズが適用されているかとは独立して継続します。
自己評価のみ提出した場合でもDoDによる評価はありますか？
はい。DFARS 252.240-7997により、DoDは対象請負業者システムに対して中・高レベルのNIST SP 800-171 DoD評価を実施する権限を保持しています。DCMAが評価を行った場合、その結果は自己評価よりも優先されます。
改訂3版では自己評価によるCMMCステータスはどのくらい有効ですか？
条件付きレベル2またはレベル3ステータスは180日間有効です。最終レベル2またはレベル3ステータスは最大3年間、最終レベル1ステータスは1年間有効で、それぞれ継続的なコンプライアンスの年次確認が必要です。
政府評価で自己評価が見落としたギャップが見つかった場合はどうなりますか？
評価終了後14営業日以内に追加証拠の提出や反論が可能です。その期間後、DoDがSPRSに要約スコアを登録し、契約担当官が受注やオプション判断の際に参照します。
CMMCがすべてのDoD契約で必須要件となるのはいつですか？
2028年11月10日以降です。それ以前は、プログラムオフィスが個別に必要と判断した場合のみCMMC条項が挿入されます。2028年11月10日以降は、FCIまたはCUIを処理・保存・送信するシステムが関与するすべての契約に自動的に挿入されます。
改訂3版にはCMMCと無関係な内容も含まれていますか？
はい。新たなDFARS 240.374も実装されており、DoD職員の対象個人識別情報を第三者に移転する企業への契約授与を、限定的な例外を除き禁止しています。この要件はCMMCとは独立したタイムラインで運用されています。