Cybersecurity Maturity Model Certification (CMMC)

Identity

• eCFRの32 CFR 170.1（Purpose）は、同Partが米国国防総省（DoD）のCMMCプログラムを記述し、防衛契約企業・下請企業に対して、連邦契約情報（FCI）と管理対象非機密情報（CUI）を保護するための所定のサイバーセキュリティ基準の実装を求めるとしている。プログラムが用いる基準として、48 CFR 52.204-21、NIST SP 800-171 Revision 2、および必要に応じてNIST SP 800-172の一部が挙げられている。検証待ち 32 CFR 170.1 Purpose | eCFR

Capability

• eCFRの32 CFR 170.3（Applicability）は、CMMCがFCI・CUIを処理・保管・送信するすべてのDoD契約・下請契約の受注者などに適用されるとし、導入は4つのフェーズで行うと定めている。Phase 1はLevel 1（Self）またはLevel 2（Self）を要求し、Phase 2はPhase 1開始から1暦年後に始まり、Level 2（C3PAO）の要求が加わる。検証待ち 32 CFR 170.3 Applicability | eCFR

Credibility

• eCFRの32 CFR 170.1（Purpose）は、同Partが米国国防総省（DoD）のCMMCプログラムを記述し、防衛契約企業・下請企業に対して、連邦契約情報（FCI）と管理対象非機密情報（CUI）を保護するための所定のサイバーセキュリティ基準の実装を求めるとしている。プログラムが用いる基準として、48 CFR 52.204-21、NIST SP 800-171 Revision 2、および必要に応じてNIST SP 800-172の一部が挙げられている。検証待ち 32 CFR 170.1 Purpose | eCFR
• 連邦官報のAPI記録によれば、DFARS Case 2019-D041の最終規則「Assessing Contractor Implementation of Cybersecurity Requirements」は2025年9月10日に公表され、2025年11月10日に発効した。国防調達規則システム（DARS）が所管し、CMMCプログラム規則に関連する契約要求事項を定める。検証待ち Assessing Contractor Implementation of Cybersecurity Requirements | Federal Register (DFARS Case 2019-D041)
• Nextgovの2026年7月13日付記事によれば、国防総省（DoD）は、第三者認証を求める予定だったCMMC Phase 2（11月10日開始予定）を停止し、Phase 3・4も停止した。Phase 1の自己評価は維持され、同省は「CMMC Reform Task Force」による60日間の見直しを開始した。記事は、コンプライアンス費用の増加や官僚的負担への不満、中小企業庁（SBA）の報告書を理由として挙げている。検証待ち DOD suspends CMMC Phase 2, launches 60-day 'reform' review | Nextgov

Use Case

公開Evidence未整備

Constraints / Current Status

• Nextgovの2026年7月13日付記事によれば、国防総省（DoD）は、第三者認証を求める予定だったCMMC Phase 2（11月10日開始予定）を停止し、Phase 3・4も停止した。Phase 1の自己評価は維持され、同省は「CMMC Reform Task Force」による60日間の見直しを開始した。記事は、コンプライアンス費用の増加や官僚的負担への不満、中小企業庁（SBA）の報告書を理由として挙げている。検証待ち DOD suspends CMMC Phase 2, launches 60-day 'reform' review | Nextgov
• コンサルティング会社August Schellの解説（2026年8月10日時点）によれば、停止はUSD(A&S)覚書26-P-1023に基づき直ちに発効し、Level 2（C3PAO）とLevel 3（DIBCAC）の指定は認められず、見直し期間中はLevel 1（Self）またはLevel 2（Self）のみ利用可能で、免除は付与されない。同解説は、覚書が32 CFR 170やDFARS規則を廃止するものではなく実施の一時停止にとどまるとし、見直しへのRFI回答期限は2026年8月14日としている。検証待ち CMMC Phase II suspended: what changed, what didn't, and what to watch | August Schell
• コンプライアンス支援企業Secureframeの2026年CMMCニュース集（最新記載は2026年10月1日）によれば、2026年7月の停止に始まる60日間の見直しは9月11日に終了したが、タスクフォースの報告書は未公表である。9月3日には「Department of War」がClass Deviation 2026-O0025 Revision 3を発行したとも記されている。10月1日以降の動向は未確認。検証待ち CMMC News 2026: Every Program Update, Rule Change & Enforcement Action | Secureframe

Key References

• CMMCの停止・見直しが防衛調達の関係者に注目されている理由は何ですか？
• CMMCの規則や最新状況は、どの資料で確認できますか？
• CMMC（Cybersecurity Maturity Model Certification）とは何ですか？

Related

• NIST— CMMCプログラム（32 CFR Part 170）は、NIST SP 800-171 Revision 2と、必要に応じてNIST SP 800-172の一部を基準として用いる（32 CFR 170.1）。