昨日が期限のはずでした。2026年11月10日、CMMCフェーズIIの要件が発効する予定であり、管理対象非機密情報（CUI）を扱う中小防衛請負業者は、新規契約の受注資格を維持するために第三者認証を必要とすることになっていました。しかし、その要件は今、棚上げされています。中小企業庁が、完全な第三者認証には中小企業で約59万3,800ドル、自己評価経路の対象企業では約38万8,600ドルかかると見積もったことを受け、国防総省は2026年7月13日にフェーズIIを停止しました。
防衛契約を保有している、またはその下請けをしているなら、これは撤退命令ではありません。予算を組み直す出来事です。恐れていた評価費用は先送りされましたが、根底にあるあらゆるセキュリティ義務は依然として執行可能であり、すでに費やした資金は依然として正しい勘定科目に計上しなければなりません。本記事では、何が実際に停止されたのか、ペンタゴンがなぜ一時停止に踏み切ったのか、そして一時停止が帳簿を混乱させるのではなく費用を節約できるよう、コンプライアンス予算をどう扱うべきかを説明します。
何が停止され、何が停止されなかったか
停止の対象は、特定の仕組み一つです。フェーズIIにおける必須の第三者評価要件です。CUIを扱う請負業者は、対象契約の受注資格を維持するために、認定第三者評価機関（C3PAO）による認証を必要とすることになっていました。この認証の関門は現在、包括的なプログラム見直しが行われるまで一時停止されており、新しい期日は設定されていません。
それ以外はすべて動き続けています。フェーズ1の自己評価要件は完全に有効なままであり、つまり依然として自社システムをNIST SP 800-171 Revision 2に対して評価し、そのスコアをサプライヤーパフォーマンスリスクシステム（SPRS）を通じて提出する必要があります。対象防衛情報を保護するという根底の契約義務であるDFARS条項252.204-7012は、変更も影響も受けていません。契約にこの条項が含まれているなら、情報を保護する義務が消えたことは一度もありません。
こう考えてください。政府が一時停止したのは外部監査であり、宿題ではありません。システムセキュリティプラン、未解消のギャップに対する行動計画・マイルストーン（POA&M）、インシデント対応の準備態勢、そして現在のSPRSスコアは、すべて依然として重要です。契約担当官は今でもそれらについて質問できますし、要件をあなたに流してくる元請け業者も依然として証拠を求めることができます。一時停止を休暇と捉える企業こそ、新しいスケジュールが公表されたときに最も慌てふためくことになるでしょう。
ペンタゴンが一時停止に踏み切った理由
省の公式声明と業界報道によれば、三つの要因がこの決定を後押ししました。
第一に、コスト負担です。中小企業庁の分析では、第三者評価を必要とする中小企業の認証一件あたりの総コンプライアンス費用は約59万3,800ドルとされました。この数字は是正、文書化、ツール、評価費用をまとめたもので、防衛部門の利益率で事業を営む企業にとっては、一部を防衛産業基盤から完全に押し出すのに十分な額だったと報じられています。省自身のより狭い見積もりも、より小規模な形で同じ話を裏付けています。小規模事業者のレベル2 C3PAO評価で3年間の認証サイクルにわたり約10万5,000ドルであり、これは評価そのものだけで、その背景にあるセキュリティ作業は含みません。レベル1の自己評価は年間約6,000ドル、レベル2の自己評価経路は3年間で合計約3万7,000ドルです。対象となる中小企業が10万社を超える中で、総額はペンタゴンが求めると言う供給業者まさにそのものにとって参入障壁に見えました。
第二に、評価機関の処理能力です。認定C3PAOの数は、11月の期限までに認証を必要とする請負業者の量を処理するには不十分でした。厳格なコンプライアンス期日と評価機関の不足が相まって、省が既存のスケジュール内で解決できない構造的ボトルネックが生じました。費用を払う意思のある請負業者でさえ、期限内に評価を受けられる保証はありませんでした。
第三に、政策の整合性です。省の調達部門のリーダーシップは、能力獲得までのスピードと、中小・非伝統的請負業者の参入障壁の引き下げを優先してきました。複数年にわたる高コストの認証サイクルはこの指令と相容れないと評価されたため、新たに設置されたCMMC改革タスクフォースによる包括的な見直しとともに一時停止が実施されました。対外的なメッセージは、サイバーセキュリティ自体は軽減されておらず、それを証明する周りの煩雑な手続きだけが軽減されるというものでした。
これらの理由はいずれも、要件が消えることを示唆していません。コスト圧力はより安価な経路を主張し、評価機関の不足はより長いスケジュールを主張し、調達改革はより単純な仕組みを主張します。しかし、そのどの結果も、最終的にはあなたがコンプライアンスを証明することで終わります。それに応じて予算を組みましょう。
これが今すぐのコンプライアンス予算にとって意味すること
まず、コンプライアンス予算を三つのバケツに分けましょう。一時停止はそれぞれを異なる形で扱うからです。
バケツ1は、すでに負っている管理策です。マネージド検出、ログ保持、多要素認証、パッチ適用の周期、バックアップのテスト、セキュリティ意識向上トレーニング、そしてそれらすべてを証明する文書化。これらはいずれも停止されていません。DFARS 252.204-7012は依然としてそれを要求し、フェーズ1の自己評価は依然としてそれを採点し、あなたのSPRSスコアは依然としてそれを公表します。このバケツへの資金提供は満額で続けましょう。ここでの削減は費用を節約せず、やがて来る評価に向けた指摘事項を製造し、セキュリティ態勢について問うあらゆる入札であなたの立場を弱めるだけです。
バケツ2は、先送りされた認証費用です。C3PAO評価の預り金を予定していた、あるいは秋に向けて準備評価の範囲を決めていたなら、その支出は移動するのであって消えるのではありません。それを一般資金に戻して、再設定された期日が独自の予算を連れてくることを期待してはいけません。将来の評価が不意打ちにならないよう、確保額として見える形で留保しておきましょう。すでに預り金を支払ったなら、その支払いは費用ではなく前払資産であり、評価が実際に行われるまで帳簿はそう示すべきです。
バケツ3は、どちらに転んでも複利で効く証拠の衛生管理です。NIST SP 800-171に対するギャップ是正、POA&Mの維持、証拠収集のルーチン、下請けへの要件伝達の追跡は、いずれも早く構築するほど安く、先延ばしにするほど高くつきます。ここは、解放された評価費用を振り向けるのに最もリターンの高い場所です。証拠が整った請負業者は、新しいスケジュールが現れたときに素早く動けます。システムセキュリティプランが古びた請負業者は、同じ作業に割増料金を払うことになります。
あなたに有利なもう一つの予算上の事実があります。コンプライアンス費用は一般に防衛契約上、許容費用として扱われます。省は、DFARS 252.204-7012を遵守する費用は許容され、間接費プールに賦課できる可能性が高いと述べており、認証費用は許容され償還可能な費用と説明されています。許容とは自動的という意味でも、利益が出るという意味でもありませんが、規律ある追跡がコンプライアンス支出を純粋な間接費から文書化された契約費用へと変えるという意味です。それが機能するのは、帳簿が何に、どの要件に、いつ使ったかを正確に示せる場合だけです。
一時停止を正しく計上する：評価資金を見える形で保つ
一時停止が誘う会計上の誤りは、これらのバケツを混ぜ合わせてしまうことです。今や先送りされた評価に向けて支払った預り金が、評価がすでに行われたかのように費用計上される。ツールのサブスクリプションが、それが支えるコンプライアンス活動ではなく、一般的なITに計上される。是正請負業者の請求書が、対応した管理策ファミリーとの関連づけなしに一つの勘定科目に積み上がる。半年後には、プログラムにいくらかかったのか、どのドルが間接費プールに属するのか、誰も再構成できなくなります。
最初から別々の勘定科目で整理しましょう。評価費用、セキュリティツール、是正作業はそれぞれ独自の費用勘定を持ち、まだ提供されていない作業への支払いは納品まで前払資産に置かれます。6月に準備預り金を支払い、一時停止の間も検出ツールを稼働させ続け、二つのNIST管理策ファミリーに対して7月の是正スプリントを見越し計上した中小請負業者のパターンは次のとおりです。
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "11月のフェーズ2期限に向けた準備預り金"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "7月のマネージド検出とログ保持"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contractor" "NIST 800-171是正スプリント、アクセス制御およびシステム保護ファミリー"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contractor" "7月の是正請求書の支払い"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USDこの台帳で一時停止が変えるものに注目してください。ツールも是正も、もともと常に必要だったので何も変わりません。預り金も何も変わらず、そのままの場所にとどまります。1万5,000ドルは前払資産のままであり、それが支払う評価は中止ではなく先送りされたからです。今これを費用計上すれば、今年のコンプライアンス費用を過大に計上し、すでに忘れられた支払いに対して請求書が届く評価年度の費用を過小に計上することになります。帳簿をプレーンテキストで管理しているなら、ドキュメントにあるコスト追跡のパターンは、このような要件ごとのコンプライアンス分割に自然に拡張できます。
すべての摘要に要件を明記しましょう。将来の評価、DCAAの照会、あるいは自身の決算処理が、ある請求が何のためのものかと問うとき、摘要がその答えになります。「是正スプリント、アクセス制御およびシステム保護ファミリー」は精査に耐えます。「コンサルティング」は耐えません。
一時停止を罰則に変えてしまう四つの過ち
一時停止は寛大ですが、四つの特定の行動には罰を与えます。
第一に、SPRSについて沈黙することです。あなたの自己評価スコアは依然としてあなたの公開されたセキュリティ態勢であり、元請け業者は下請契約を結ぶ前に依然としてそれを確認します。更新をやめたために劣化したスコアは、積極的に維持している控えめなスコアよりも悪く読まれます。評価を最新に保ち、POA&Mを予定どおりに閉じ続けましょう。
第二に、是正を途中で凍結することです。中途半端に移行したログ、部分的にしか展開されていない特権アクセスツール、旧アーキテクチャを記述した文書。一時停止したプロジェクトは、定常運用よりも早く劣化します。管理策を完了させるか、正式に範囲を見直すかしてください。新しい期限に迫られて割増料金での再開を強いられるまで、中途半端なまま放置してはいけません。
第三に、コンプライアンス費用を一般ITと混在させることです。上記の許容性の扱いは識別に依存します。検出プラットフォーム、評価機関への預り金、事務所のノートPCがすべて一つのIT勘定を流れるなら、どのドルが契約要件を支えたのかを証明できません。別々の勘定科目は維持に費用がかからず、文書化された間接費と論争との分かれ目になります。
第四に、下請けへの要件伝達を失効させることです。あなたが元請けなら、連邦契約情報やCUIを扱う下請けは、フェーズIIの一時停止にかかわらず、あなたの契約を通じて義務を引き継ぎます。あなたが下請けなら、元請けの要件は省レベルの発表によって停止されたわけではありません。誰も監査していない今のうちに、履行中にギャップを発見するのではなく、要件伝達条項を見直しましょう。
次に注視すべきこと
三つのシグナルが、この話の結末を教えてくれます。改革タスクフォースの提言は2026年秋に予定されており、代替の仕組みを描くはずです。他のフレームワークとの相互認証、段階的な評価経路、あるいは中小企業向けのより長い移行期間の可能性があります。新しいフェーズIIの発効日を注視してください。それが発表された日には、本記事のあらゆる計画前提がリセットされます。そして元請け業者からの受信箱にも注意を払ってください。大手請負業者は、省が動くよりも早く独自のサプライヤーセキュリティ要件を課すことが多く、一時停止があってもそれは変わりません。
それまでは、勝利につながる姿勢は地味なものです。フェーズ1の体制を整え、SPRSスコアを正直に保ち、是正への資金提供を続け、すべてのコンプライアンスのドルを、それが仕えた要件を明示する勘定科目に保つことです。新しいスケジュールが現れたとき、唯一の驚きが「すでにこれほど準備ができていたのか」であることを望むはずです。最後の有用な一歩は最も小さなものです。今週、帳簿を開き、先送りされた評価資金が前払資産にきちんと置かれていること、来年の予算が見つけられない費用勘定に埋もれていないことを確認してください。
