CMMC 2.0最終規則とは:何が定められ、現状はどうなっているか
米国防総省(DoD)は2025年9月、国防連邦調達規則補足(DFARS)を改正する形でサイバーセキュリティ成熟度モデル認証(CMMC)2.0規則を最終確定しました。この規則は2025年11月10日に発効し、DoD契約において義務的なサイバーセキュリティ認証要件が初めて正式に組み込まれることとなりました。
それ以降も状況は動き続けています。フェーズ1の要件は予定通り発効しました。しかし2026年7月、戦争省(Department of War)は正式なレビューを理由に、認証プログラムの次フェーズを一時停止しました。本ページでは、最終規則が実際に定めた内容、その後の経緯、そして防衛関連事業者が今知っておくべきことを解説します。
注:CMMCフェーズ2の第三者認証要件は、プログラムレビューを理由に2026年7月、戦争省によって一時停止されました。詳細は「CMMCフェーズ2は一時停止されても、DFARS義務は消えない」をご覧ください。
エグゼクティブサマリー
要点: 2025年11月10日に発効したCMMC 2.0最終規則は、防衛産業基盤全体においてサイバーセキュリティ認証を契約上の義務とし、33万7,000社を超える請負業者・下請業者に影響を及ぼしています。フェーズ1の自己評価要件はすでに施行されています。当初2026年11月に予定されていたフェーズ2の第三者認証要件は、現在、戦争省によるレビューを理由に一時停止されています。
なぜ重要なのか: 「最終規則がまもなく施行される」という捉え方は、もはや適切ではありません。発効からすでに1年近くが経過し、DoDが請負業者のサイバーセキュリティを評価する方法はすでに大きく変わりました。今より緊急性の高い問いは、フェーズ2の一時停止が自社のコンプライアンス計画にどのような意味を持つかということです。そしてその答えは、多くの事業者が想定しているよりも「影響は小さい」というものです。
重要ポイント
- 最終規則により、CMMCは将来の提案ではなく、契約上の義務となりました。 2025年11月10日発効のこの規則はDFARSを改正し、DoD契約・下請契約の適格要件として、適切なレベルのCMMC認証取得を義務付けました。これにより、それ以前の自己証明モデルは置き換えられました。
- この規則は元請業者だけでなく、防衛サプライチェーン全体に影響します。 対象組織は約23万社の中小企業を含む33万7,000社以上に及びます。義務的なフロウダウン要件により、すべての階層の下請業者も、自社が取り扱うデータに応じた適切な認証レベルを取得する必要があります。
- この規則は3年間の段階的導入スケジュールを定めていますが、現在施行されているのはフェーズ1のみです。 当初の計画では、2025年11月のフェーズ1自己評価要件から始まり、2028年までに完全な第三者認証要件へと移行する予定でした。2026年11月開始予定だった、優先プログラムに対する義務的なC3PAO認証を追加するフェーズ2は、現在一時停止されています。
- フェーズ2の一時停止は、既存のDFARSやNIST 800-171の義務には影響しません。 請負業者は引き続き、NIST SP 800-171が定める110項目の管理策を実装し、正確な文書を維持し、最新のスコアをSPRSに登録する必要があります。一時停止されているのは第三者認証の仕組みそのものであり、根底にあるサイバーセキュリティ基準ではありません。
- 規則の発効からほぼ1年が経過した今も、対応の遅れが広く見られます。 Kiteworksが2025年に実施した独自調査では、規則発効時点で防衛関連事業者の約半数が準備不足であることが判明しました。特にレガシーシステムや手作業によるコンプライアンス業務に依存する中小企業でこの傾向が顕著でした。フェーズ2の一時停止は、認証要件が再開される前にこのギャップを埋める貴重な機会となります。
最終規則が実際に定めた内容
CMMC 2.0最終規則はDFARSを改正し、防衛産業基盤全体においてサイバーセキュリティ認証を契約適格の正式な条件としました。これにより、請負業者がNIST SP 800-171への準拠を単に自己申告するだけだった従来の自己証明方式は、段階的かつ検証済みの認証制度に置き換えられました。
この規則は、データの機密性に応じた3段階の認証レベルを定めています。連邦契約情報(FCI)のみを取り扱う事業者向けの「レベル1」(年次自己評価により検証)、管理対象非機密情報(CUI)を取り扱う事業者向けの「レベル2」(プログラムの重要度に応じて自己評価または第三者機関C3PAOによる認証で検証)、そして最優先プログラム向けの「レベル3」(政府主導の評価により検証)です。各レベルの詳細な要件については、CMMCコンプライアンスガイドをご覧ください。
重要な点として、この規則は認証取得を義務的なフロウダウン要件としました。つまり、元請業者はすべての階層の下請業者に対し、それぞれが取り扱うデータの機密性に応じた認証レベルを取得させる責任を負います。これにより、CMMCの実質的な適用範囲はDoDと直接契約する事業者にとどまらず、防衛サプライチェーンの隅々にまで及ぶこととなりました。
規則が定めた段階的導入スケジュール
最終規則は3年間にわたる段階的な導入計画を定めており、すべての事業者に即座かつ一律の認証取得を求めるのではなく、防衛産業基盤が対応するための猶予期間を設ける設計になっています。
フェーズ1は2025年11月10日に発効し、新規の入札案件・契約においてレベル1およびレベル2の自己評価を義務付けています。このフェーズは、その後のいかなる動きの影響も受けることなく、完全に施行され続けています。
フェーズ2は2026年11月10日開始予定で、最も機密性の高い情報を扱うレベル2プログラムに対し、第三者機関C3PAOによる義務的な認証要件を追加する予定でした。しかし戦争省は2026年7月、このフェーズを一時停止しました。これは、認証要件が請負業者、特に中小企業にもたらすコストや運用負担を検証する「CMMC改革タスクフォース」による60日間のレビューを理由としています。
フェーズ3およびフェーズ4は、認証要件をさらに拡大し、最優先プログラムに対する政府主導のレベル3評価を追加する計画で、2028年までに防衛産業基盤全体での完全施行が見込まれていました。これらのフェーズも同様に、今回の一時停止措置の一環として保留されています。
変わらないこと
今回の一時停止は、見出しで語られるほど広範なものではありません。防衛関連事業者にNIST SP 800-171の実装とサイバーインシデント報告を義務付けるDFARS 252.204-7012条項は、CMMCより前から存在するものであり、今回の一時停止の影響を受けません。請負業者は引き続き、必須の110項目すべての管理策を実装し、最新のシステムセキュリティプラン(SSP)を維持し、是正措置計画(POA&M)を通じて改善状況を追跡し、正確なスコアをサプライヤーパフォーマンスリスクシステム(SPRS)に登録する必要があります。
また、米司法省の「民事サイバー詐欺イニシアチブ」も、サイバーセキュリティ準拠状況を偽った請負業者に対する虚偽請求法(False Claims Act)訴追を、認証プログラムの状況とは無関係に継続しています。変わったのは検証の仕組みだけであり、根底にあるセキュリティ義務そのものは変わっていません。
防衛関連事業者が今すべきこと
今の期間は「猶予」ではなく「好機」として捉えるべきです。認証の施行が一時停止されているからといって対応の優先順位を下げるのではなく、フェーズ2の停止期間を活用してNIST SP 800-171のギャップを完全に埋めた事業者は、CMMC改革タスクフォースの検証結果が要件再開という形で反映された際に、格段に有利な立場に立てるはずです。
規則発効前にKiteworksが実施した独自調査では、防衛関連事業者の約半数が準備不足であることが判明しており、特にレガシーシステムや手作業によるコンプライアンス業務に依存する中小企業でその傾向が顕著でした。2025年後半時点でこれが自社に当てはまっていたのであれば、現在の一時停止期間は、認証要件が再開される前にそのギャップを埋めるための貴重な猶予期間であり、対応を後回しにする理由にはなりません。この期間を計画的に活用する方法については、CMMC 2.0ロードマップおよびCMMC 2.0コンプライアンスチェックリストをご覧ください。
Kiteworksが最終規則対応をどう支援するか
Kiteworksは、導入初期状態でCMMC 2.0レベル2要件の約90%をカバーします。CUIやFCIが日常的に流通する各種チャネル——セキュアメール、セキュアファイル共有、マネージドファイル転送、SFTP——を、AES-256暗号化、FIPS 140-3認証済み暗号モジュール、そして顧客管理型の暗号鍵を備えた単一の統制プラットフォームに統合します。
あらゆるチャネルにおけるすべてのアクセス履歴は、単一の改ざん不可能な統合監査証跡として記録されます。これは、現在の自己評価文書の作成はもちろん、フェーズ2の要件が再開された際の第三者認証にも活用できるエビデンス基盤となります。またKiteworksは、2017年6月から独立審査を受けているFedRAMP Moderate認証を保持しており、請負業者はこれによる文書化された統制の継承を活用し、どの検証パスが自社のプログラムに適用される場合でも評価範囲を圧縮できます。
最終規則の現行要件および今後の要件へのコンプライアンス対応をKiteworksがどのように支援できるか、ぜひカスタムデモにてご確認ください。
よくある質問
DFARSを改正するCMMC 2.0最終規則は、2025年11月10日に発効しました。これにより、DoD契約の適格条件として義務的なサイバーセキュリティ認証が正式に定められ、従来の自己証明モデルが置き換えられるとともに、2028年までに防衛産業基盤全体で完全な要件を適用することを目指した段階的な導入が開始されました。
いいえ、意味しません。最終規則そのものは引き続き有効であり、フェーズ1の自己評価要件も完全に施行されています。2026年7月に一時停止されたのは、2026年11月10日開始予定だった第三者機関C3PAOによる義務的認証要件、すなわちフェーズ2に限られます。戦争省は60日間のレビューを理由にこの特定の要件のみを一時停止しましたが、最終規則の基本的な枠組み、および請負業者のDFARS 252.204-7012条項ならびにNIST SP 800-171に基づく義務は、引き続き完全に有効です。
この規則は、防衛産業基盤全体の33万7,000社以上の組織に影響を及ぼしており、そのうち約23万社は中小企業です。義務的なフロウダウン要件により、DoDと直接契約する元請業者だけでなく、サプライチェーンのあらゆる階層の下請業者にも認証義務が拡大されているためです。
認証要件が当初のスケジュール通り進んでいるものとして、引き続きNIST SP 800-171の基本的な管理策の実装と文書化を継続すべきです。今回の一時停止が対象としているのは第三者検証の仕組みであり、セキュリティ義務そのものではありません。また各種調査により、最終規則の発効からほぼ1年が経過した現在も、相当数の防衛関連事業者が準備不足の状態にあることが判明しています。一時停止を対応を後回しにする理由とするのではなく、この期間を活用して実質的なギャップを埋めた事業者は、フェーズ2の要件が何らかの形で再開された際に、より有利な立場に立てるでしょう。
関連リソース