CMMC 1.0 vs 2.0:本当に重要な5つの変更点

CMMC 2.0は、CMMC 1.0のマイナーアップデートではありません。国防産業基盤(DIB)の大部分を占める中小企業から「コストが高すぎる、複雑すぎる」という声が上がったことを受けた、意図的な簡素化でした。何がどう変わり、なぜ変わったのかを正確に理解することは、1.0の構造を前提にコンプライアンス体制を構築してしまった契約企業にとっても、バージョンを明示せずに語られる「CMMC」という言葉に戸惑っている方にとっても、非常に有益です。

CMMC 1.0 と CMMC 2.0

エグゼクティブサマリー

要点: CMMC 2.0は、5段階あった認証レベルを3段階に削減し、各レベルをCMMC独自の管理策セットではなく既存のNIST標準に直接紐づけ、レベル1と(一部契約における)レベル2で自己評価を選択肢として復活させました。これは、あらゆるレベルで第三者評価を必須としていた1.0からの大きな方向転換です。

なぜ重要なのか: ベンダーの資料や同僚の説明、あるいは古いドキュメントの中で、バージョンを明示せずに「CMMC」という言葉が使われている場合、それは1.0時代の前提に基づいている可能性があります。しかし、実際の運用はもはやその通りではありません。この5つの変更点を正確に把握しておくことで、こうした混乱を避け、自社が今何をすべきかを明確にできます。

重要ポイント

CMMC 2.0は5段階あった認証レベルを3段階に削減しました。従来のレベル1〜5は、レベル1(基礎)、レベル2(高度)、レベル3(専門家)の3段階に統合されました。DIBからのフィードバックで「意味のあるセキュリティ価値を生まないまま複雑さだけを増やしている」と指摘されていた2段階分の粒度が取り除かれた形です。
CMMC 2.0は各レベルを、独立したCMMC専用の管理策カタログではなく、既存のNIST標準に直接紐づけました。レベル2は現在、NIST SP 800-171の110の管理策に直接対応し、レベル3はNIST SP 800-172を基盤としています。これにより、多くの契約企業がDFARS 252.204-7012のもとですでに実装経験を持つ標準との整合性が図られ、1.0時代の独立したCMMC専用構造は置き換えられました。
CMMC 2.0は自己評価という選択肢を復活させ、1.0の「全レベルで第三者評価必須」という原則を覆しました。1.0では、すべての認証レベルで第三者評価が求められていました。2.0では、レベル1は常に自己評価となり、レベル2でも、最重要の国家安全保障情報を扱わない契約であれば自己評価が認められます。これはDIBの大多数にとって、コストと期間の大幅な削減を意味します。
CMMC 2.0は期限付きの限定的なPOA&M(是正計画)を導入しました。これは1.0では一切認められていなかったものです。従来のフレームワークでは、認証前にすべての必須管理策を完全に実装している必要がありました。CMMC 2.0では、一部の管理策について明確な是正期限付きの行動計画(POA&M)を認めており、初日から完璧である必要のない、より現実的な認証への道筋を組織に提供しています。
これらの変更は、DIB自身が提起したコストと複雑さへの懸念に対する直接的な対応でした。防衛サプライチェーンの大部分を占める中小企業からは、CMMC 1.0の評価コストと一律の第三者評価要件が、自社の規模に対して不釣り合いに重い負担であるとの声が上がっていました。CMMC 2.0の簡素化は、根底にあるセキュリティ基準を弱めることなく、こうしたフィードバックに対応するために設計されたものです。

CMMC 2.0が生まれた背景

2020年1月に公開されたCMMC 1.0は、国防総省(DoD)によるサイバーセキュリティ認証フレームワークの最初のバージョンでした。5段階のレベルすべてに第三者評価が求められ、既存のNIST要件の上にCMMC独自の管理策セットが重ねられる構造でした。しかし実際には、DIBの契約企業、特に中小企業にとって、このフレームワークはセキュリティ上の恩恵に見合わないほど高コストかつ手続き的に複雑なものでした。評価コスト、評価員の不足、そして5段階という細かすぎる区分によって生じた摩擦は、防衛サプライチェーン全体のサイバーセキュリティ水準を引き上げるという本来の目標を、むしろ阻害しているとDoDは判断しました。

2021年11月に発表され、2024年後半に32 CFR Part 170として最終化されたCMMC 2.0は、まさにこうしたフィードバックに応えるために設計されました。レベル数を減らし、契約企業がDFARSのもとですでに満たす必要のある標準と直接整合させ、リスクプロファイルが許す範囲で自己評価への回帰を実現しています。

5つの変更点を比較する

項目	CMMC 1.0	CMMC 2.0
認証レベル	5段階(レベル1〜5)	3段階:基礎、高度、専門家
管理策の出所	既存標準から独立した、CMMC独自の管理策カタログ	NIST SP 800-171(レベル2)およびNIST SP 800-172(レベル3)に直接整合
評価の種類	すべてのレベルで第三者評価が必須	レベル1は常に自己評価可能、レベル2も多くの契約で自己評価可能
行動計画・マイルストーン(POA&M)	認められない — 認証前にすべて実装完了が必須	一部の管理策について、明確な是正期限付きで認められる
設計思想	DIB全体に一律の厳格さを適用	プログラムの重要性や企業規模に応じたリスクベースの厳格さ

変わらなかったこと

CMMC 2.0が「何を変えなかったか」を明確にしておくことも重要です。フレームワークの本質的な部分の多くは、そのまま引き継がれています。DIBの契約企業がFederal Contract Information(FCI)とControlled Unclassified Information(CUI)を適切に保護しているかを検証するという根本目標は変わっていません。必要なレベルを決定するデータ機密性の基準も同じです。FCIは引き続き基礎レベルに、CUIは引き続き高度レベルに対応します。そして、NIST SP 800-171の実装を求めるDFARS 252.204-7012の根本要件は、CMMCの両バージョンよりも前から存在しており、いずれのバージョンであっても最終的に照合される標準であることに変わりはありません。

現在の状況

CMMCの進化の中で、最近最も大きな影響を持つ出来事は、1.0から2.0へのフレームワーク変更ではありません。戦争省(Department of War)が2026年7月13日に発表した、フェーズ2における第三者認証要件の一時停止です。この措置は、2026年9月中旬頃に報告予定の改革タスクフォースによるレビューの結果を待つ形になっています。

Kiteworksが2026年8月に実施した、戦争省との取引が確認された273社を対象とする独自調査によると、DIBはこの一時停止をただ静観していたわけではありませんでした。回答企業の98%が何らかの具体的な対応を取っており、予算配分もコンプライアンス関連インフラから遠ざかるのではなく、むしろそちらへとシフトしていたのです。同調査では、注目すべき「自信のギャップ」も明らかになりました。回答者の96%は、自己申告したSPRSスコアが審査に耐えうると確信していると答えた一方で、実際に最新のSPRS提出を行っていたのはそのうちわずか60%、さらに最新スコアとFedRAMP認定プラットフォームの両方を備えていたのはわずか29%にとどまりました。2026年6月のDOJによるLOGZONE事案の虚偽請求法(False Claims Act)和解や、自己採点用のチェックリストを含む詳細な調査結果については、State of CMMC 2.0 Preparedness in the DIBをご覧ください。

一時停止措置自体の現状と、それが何に影響し何に影響しないのかについては、CMMC Phase II Is Suspended. Your DFARS Obligations Are Not.をご参照ください。

KiteworksによるCMMC 2.0対応支援

Kiteworksは、現行フレームワークのもとでDIBの大多数の組織が必要とするレベルであるCMMC 2.0レベル2の要件について、標準機能だけで約90%をカバーします。これは、セキュアメール、セキュアファイル共有、マネージドファイル転送、SFTPにまたがるアクセス制御、暗号化、監査ログを一元化する統合Data Policy Engineによって実現されています。

FIPS 140-3検証済みの暗号モジュールによるAES-256暗号化は、NIST SP 800-171の「システムおよび通信の保護」要件に直接対応します。また、単一で改ざん不可能な統合監査証跡は、Kiteworksの調査で回答者の47%が「自己申告への自信を最も高める」と答えたリアルタイムのエビデンスを提供し、自己評価とC3PAO認証の両方が必要とする証拠基盤となります。さらにKiteworksは、2017年6月以来独立した審査を受けているFedRAMP Moderate認証を保持しており、同調査で最も弱い準備状況の指標として浮き彫りになった「FedRAMP認定プラットフォームをすでに利用している企業はわずか35%」という課題にも対応します。

自社に適用されるレベルにかかわらず、KiteworksがどのようにCMMC 2.0対応を支援できるかについては、デモのご依頼からお問い合わせください。

よくある質問

CMMC 2.0では、5段階あった認証レベルを3段階(基礎、高度、専門家)に削減しました。また、各レベルを独立したCMMC専用の管理策カタログではなく、既存のNIST標準(レベル2はNIST SP 800-171、レベル3はNIST SP 800-172)に直接紐づけました。さらに、レベル1および多くの契約におけるレベル2で自己評価という選択肢を復活させ、1.0の「全レベルで第三者評価必須」という原則を覆しました。加えて、1.0では一切認められていなかった、期限付きの限定的な行動計画・マイルストーン(POA&M)を導入し、フレームワーク全体の設計思想を「一律の厳格さ」から「プログラムの重要性や企業規模に応じたリスクベースの厳格さ」へと転換しました。

CMMC 2.0は、防衛産業基盤(DIB)、特に中小企業からのフィードバックに対する直接的な対応でした。CMMC 1.0の一律の第三者評価要件と5段階構造は、得られるセキュリティ上の恩恵に対して不釣り合いなコストと複雑さを課しているという声が上がっていました。国防総省は、フレームワークを簡素化すること — レベル数を減らし、多くの契約企業がDFARSのもとですでに満たす必要のある標準と直接整合させ、適切な場合には自己評価を復活させること — によって、根底にあるサイバーセキュリティ基準を弱めることなくコンプライアンス達成率を改善できると判断しました。

いいえ。2024年後半に32 CFR Part 170として最終化され、2025年11月10日発効の48 CFR改正を通じて施行されたCMMC 2.0が、CMMC 1.0を完全に置き換えました。CMMC認証要件に言及する現在または新規のDoD契約は、すべて2.0フレームワークの3段階構造を指しており、元の5段階バージョンを指すものではありません。

かなりの部分が引き継がれます。CMMC 1.0のもとで契約企業が実装したセキュリティ管理策、特にNIST SP 800-171に整合するものは、CMMC 2.0のレベル2がまさに同じ標準を基盤としているため、そのまま活用できます。変わるのは主に手続き的な部分です。どの評価タイプが適用されるか(以前は第三者認証が必須だった場面で、現在は自己評価が利用できる場合があります)、フレームワークの3段階への統合によって自社がどのレベルに該当するか、そして以前は認証前に完全に解消しておく必要があったギャップを、現在は文書化されたPOA&Mでカバーできるかどうか、といった点です。

リスクとコンプライアンス用語集に戻る