어제가 마감일이었어야 했다. 2026년 11월 10일, CMMC 2단계 요건이 발효될 예정이었고, 통제된 비밀정보(CUI)를 취급하는 소규모 방위 계약업체들은 신규 계약 수주 자격을 유지하려면 제3자 인증을 받아야 했다. 하지만 그 대신 이 요건은 보류 상태에 들어갔다. 소기업청(SBA)이 완전한 제3자 인증에 소규모 기업 기준 약 593,800달러, 자체평가 경로 대상 기업 기준 약 388,600달러가 들 것으로 추정한 후, 미 국방부(Department of War)는 2026년 7월 13일부로 2단계를 중단했다.
방위 계약을 보유하고 있거나 그 하도급을 맡고 있다면, 이것은 철수 명령이 아니다. 예산 재편 사건이다. 두려워하던 평가 수수료는 유예되었지만, 근본적인 보안 의무는 모두 여전히 강제되며, 이미 지출한 돈은 올바른 계정에 계상되어야 한다. 이 글은 무엇이 실제로 중단되었는지, 왜 국방부가 유예 조치를 취했는지, 그리고 이 유예가 장부를 뒤죽박죽으로 만들지 않으면서 비용을 절약할 수 있도록 준수 예산을 어떻게 처리해야 하는지 설명한다.
무엇이 중단되었고, 무엇이 중단되지 않았는가
이번 중단은 하나의 특정 메커니즘을 겨냥한다. 바로 2단계에 따른 의무적 제3자 평가 요건이다. CUI를 취급하는 계약업체들은 해당 계약 자격을 유지하려면 C3PAO(Certified Third-Party Assessment Organization)로 알려진 인증된 제3자 평가 기관의 인증을 받아야 했다. 그 인증 관문은 이제 포괄적인 프로그램 검토가 있을 때까지 유예되었으며, 새로운 날짜는 정해지지 않았다.
나머지는 모두 계속 작동한다. 1단계 자체평가 요건은 완전히 유효하며, 이는 여전히 NIST SP 800-171 개정 2판에 따라 자체 시스템을 평가하고 SPRS(Supplier Performance Risk System)를 통해 점수를 제출해야 한다는 뜻이다. 보호 대상 국방 정보를 보호해야 하는 근본 계약 의무인 DFARS 조항 252.204-7012는 변경되지 않았고 영향을 받지 않는다. 계약에 해당 조항이 포함되어 있다면, 정보를 보호할 의무는 한순간도 흔들리지 않았다.
이렇게 생각하라. 정부는 외부 감사만 유예했지, 숙제까지 유예한 것은 아니다. 시스템 보안 계획(SSP), 아직 해결하지 못한 격차에 대한 조치 및 마일스톤 계획(POA&M), 사고 대응 준비 태세, 그리고 현재의 SPRS 점수는 모두 여전히 중요하다. 계약 담당관은 여전히 이에 대해 물을 수 있고, 요건을 하향 전달하는 원청 업체는 여전히 증빙을 요구할 수 있다. 이번 유예를 휴가라고 여기는 기업이 새 일정이 발표될 때 가장 당황하며 허둥댈 기업이 될 것이다.
국방부가 유예 조치를 취한 이유
부처 자체의 공개 성명과 업계 보도를 종합하면 세 가지 요인이 이 결정을 이끌었다.
첫째, 비용 부담. SBA 분석은 제3자 평가가 필요한 소기업의 인증당 총 준수 비용을 약 593,800달러로 산정했다. 이 수치는 개선 작업, 문서화, 도구, 평가 수수료를 모두 합친 것이며, 방위산업 마진으로 운영되는 기업에게는 일부를 방위산업 기반(Defense Industrial Base)에서 완전히 밀어낼 만한 수준이었다고 한다. 부처 자체의 더 좁은 추정치도 더 작은 규모에서 같은 이야기를 한다. 소규모 기업의 레벨 2 C3PAO 평가의 경우 3년 인증 주기 동안 약 105,000달러이며, 이는 그 뒤에 있는 보안 작업이 아니라 평가 자체만을 포함한다. 레벨 1 자체평가는 연간 약 6,000달러이고, 레벨 2 자체평가 경로는 3년간 총 약 37,000달러다. 10만 개 이상의 소기업이 적용 대상인 상황에서 총 비용 규모는 국방부가 원한다고 말하는 바로 그 공급업체들에게 진입 장벽처럼 보였다.
둘째, 평가 기관 수용 능력. 인가된 C3PAO의 수가 11월 마감일 전에 인증이 필요한 계약업체 물량을 처리하기에 충분하지 않았다. 엄격한 준수 마감일과 너무 적은 평가 기관의 조합은 부처가 기존 일정 내에서 해결할 수 없는 구조적 병목을 만들었다. 비용을 지불할 의사가 있는 계약업체조차 제때 평가를 받을 수 있을지 확신할 수 없었다.
셋째, 정책 정합성. 부처의 획득 리더십은 역량 확보 속도와 소규모 및 비전통적 계약업체의 진입 장벽 완화를 우선시해 왔다. 다년간의 고비용 인증 주기는 그 지침과 양립할 수 없는 것으로 평가되었고, 그래서 새로 구성된 CMMC 개혁 태스크포스가 수행하는 포괄적 검토와 함께 중단이 이루어졌다. 대외 메시지는 사이버보안 자체가 축소되는 것이 아니라 그것을 입증하는 데 따르는 관료적 부담만 줄어드는 것이라는 점이었다.
이러한 이유 중 어느 것도 요건이 사라진다는 것을 시사하지 않는다. 비용 압박은 더 저렴한 경로를, 평가 기관 부족은 더 긴 일정을, 획득 개혁은 더 단순한 메커니즘을 요구한다. 그 결과물들은 모두 결국 당신이 준수를 입증하는 것으로 귀결된다. 그에 맞게 예산을 편성하라.
이것이 지금 당신의 준수 예산에 의미하는 바
먼저 준수 예산을 세 개의 바구니로 나누어라. 유예 조치가 각 바구니를 다르게 취급하기 때문이다.
첫 번째 바구니는 이미 지고 있는 통제 항목이다. 관리형 탐지, 로그 보존, 다중 인증, 패치 주기, 백업 테스트, 보안 인식 교육, 그리고 이 모든 것을 입증하는 문서화. 이 중 어느 것도 중단되지 않았다. DFARS 252.204-7012는 여전히 이를 요구하고, 1단계 자체평가는 여전히 이를 점수화하며, 당신의 SPRS 점수는 여전히 이를 공표한다. 이 바구니에는 예산을 전액 유지하라. 여기서의 삭감은 돈을 아끼는 것이 아니라, 향후 평가를 위한 지적 사항을 만들어내고 보안 태세를 묻는 모든 입찰에서 당신의 입지를 약화시킨다.
두 번째 바구니는 유예된 인증 수수료다. C3PAO 평가 예치금 일정이 잡혀 있었거나 가을로 준비 평가 범위를 정해 두었다면, 그 지출은 사라지는 것이 아니라 옮겨질 뿐이다. 그것을 일반 자금으로 다시 흡수하고 새로 잡힌 날짜가 자체 예산을 가져오리라 기대하지 마라. 향후 평가가 예상치 못한 일로 닥치지 않도록 준비금으로 눈에 띄게 유보해 두라. 이미 예치금을 납부했다면, 그 지출은 비용이 아니라 선급 자산이며, 평가가 실제로 이루어질 때까지 장부는 그렇게 표시해야 한다.
세 번째 바구니는 어느 경우든 복리로 쌓이는 증빙 위생이다. NIST SP 800-171에 대한 격차 개선, POA&M 유지, 증빙 수집 루틴, 하도급업체 요건 하향 전달 추적은 모두 일찍 구축할수록 저렴해지고 미룰수록 비싸진다. 이것이 확보된 평가 자금을 재배치할 수 있는 최고 수익 지점이다. 깨끗한 증빙을 갖춘 계약업체는 새 일정이 나타났을 때 신속하게 움직일 수 있고, 진부해진 시스템 보안 계획을 가진 계약업체는 같은 작업에 할증 요금을 낸다.
당신에게 유리한 또 하나의 예산 사실. 준수 비용은 일반적으로 방위 계약에서 허용 비용으로 취급된다. 부처는 DFARS 252.204-7012를 준수하는 비용이 허용될 가능성이 높으며 간접비 풀에 청구 가능하다고 밝혔고, 인증 비용은 허용·상환 가능 비용으로 설명되어 왔다. 허용된다는 것이 자동을 의미하지는 않고 수익성을 의미하지도 않지만, 규율 있는 추적이 준수 지출을 순수 간접비에서 문서화된 계약 비용으로 전환시킨다는 것을 의미한다. 그것은 당신의 장부가 무엇에, 어떤 요건에, 언제 지출했는지를 정확히 보여줄 수 있을 때만 작동한다.
유예를 올바르게 기록하라: 평가 자금을 보이게 유지하라
이번 유예가 유도하는 회계 실수는 이 바구니들을 뒤섞는 것이다. 현재 유예된 평가를 향해 납부한 예치금이 마치 평가가 이루어진 것처럼 비용 처리된다. 도구 구독료가 그것이 지원하는 준수 노력이 아니라 포괄적인 IT 계정에 기록된다. 개선 계약업체 인보이스가 그것이 해결한 통제 영역과의 연결 없이 하나의 계정에 쌓인다. 6개월 후에는 프로그램에 얼마가 들었는지, 어느 달러가 간접비 풀에 속하는지 아무도 재구성할 수 없다.
처음부터 별도 계정으로 해결하라. 평가 수수료, 보안 도구, 개선 인건비가 각각 고유한 비용 계정을 가지며, 아직 수행되지 않은 작업에 대한 지급은 인도 전까지 선급 자산으로 남는다. 다음은 6월에 준비 예치금을 납부하고, 유예 기간 내내 탐지 도구를 계속 운영하며, 두 개의 NIST 통제 영역에 대해 7월 개선 스프린트 비용을 발생시킨 소규모 계약업체의 패턴이다.
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "11월 2단계 마감일 대비 준비 예치금"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "7월 관리형 탐지 및 로그 보존"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contractor" "NIST 800-171 개선 스프린트, 접근 통제 및 시스템 보호 영역"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contractor" "7월 개선 인보이스 지급"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USD이 원장에서 유예가 바꾸는 것이 무엇인지 주목하라. 항상 요구되었던 도구나 개선 작업에 대해서는 아무것도 바뀌지 않았고, 그대로 남아 있는 예치금에 대해서도 아무것도 바뀌지 않았다. 15,000달러는 선급 자산으로 남는데, 그것이 지불하는 평가가 취소된 것이 아니라 유예되었기 때문이다. 지금 비용 처리하면 올해의 준수 비용을 과대계상하고, 이미 잊힌 지급액에 대해 인보이스가 도착할 때 평가 연도의 비용을 과소계상하게 된다. 장부를 플레인 텍스트로 유지한다면, 문서의 비용 추적 패턴이 이와 같은 요건별 준수 분할로 자연스럽게 확장된다.
모든 적요에 요건을 명시하라. 향후 평가, DCAA 조사, 또는 당신 자신의 결산 절차가 어떤 지출이었는지 물을 때 적요가 답이 된다. "개선 스프린트, 접근 통제 및 시스템 보호 영역"은 검증을 견뎌내지만, "컨설팅"은 그렇지 않다.
유예를 벌칙으로 바꾸는 네 가지 실수
이번 유예는 관대하지만, 네 가지 특정 행동을 벌한다.
첫째, SPRS에 대해 침묵하는 것. 당신의 자체평가 점수는 여전히 공개적인 보안 태세이며, 원청 업체들은 하도급 계약을 수여하기 전에 여전히 이를 확인한다. 갱신을 멈춰서 점수가 퇴보하는 것은 당신이 적극적으로 유지하는 보통 점수보다 더 나쁘게 읽힌다. 평가를 최신으로 유지하고 POA&M을 일정대로 계속 해결하라.
둘째, 개선 작업을 중도에 동결하는 것. 반쯤 이전된 로깅, 부분적으로 배포된 권한 접근 도구, 구 아키텍처를 설명하는 문서화. 중단된 프로젝트는 정상 운영보다 더 빨리 부패한다. 통제 항목을 완료하거나 공식적으로 범위를 재설정하라. 새 마감일이 할증 요금으로 재시작을 강요할 때까지 반쯤 지어진 채로 두지 마라.
셋째, 준수 비용을 일반 IT와 혼합하는 것. 위의 허용 비용 취급은 식별에 달려 있다. 탐지 플랫폼, 평가 예치금, 사무실 노트북이 모두 하나의 IT 계정을 통해 흐른다면, 어느 달러가 계약 요건을 지원했는지 입증할 수 없다. 별도 계정은 유지 비용이 들지 않으며, 문서화된 간접비와 논쟁 사이의 차이다.
넷째, 하도급업체 요건 하향 전달이 끊기게 두는 것. 원청이라면, 연방 계약 정보나 CUI를 취급하는 하도급업체들은 2단계 유예와 관계없이 당신의 계약을 통해 여전히 의무를 승계한다. 하도급이라면, 원청의 요건은 부처 수준의 발표로 유예되지 않았다. 아무도 감사하지 않는 지금 하향 전달 조항을 검토하라. 이행 중에 격차를 발견하는 것보다 낫다.
다음에 주목할 것
세 가지 신호가 이 이야기가 어떻게 끝나는지 알려줄 것이다. 개혁 태스크포스의 권고안은 2026년 가을에 나올 예정이었으며, 대체 메커니즘을 스케치할 것이다. 다른 프레임워크와의 상호 호환 가능성, 계층화된 평가 경로, 또는 소기업을 위한 더 긴 유예 기간 등이 될 수 있다. 새 2단계 발효일을 주목하라. 발표되는 날 이 글의 모든 계획 가정이 재설정된다. 그리고 원청 업체들로부터 오는 당신의 받은편지함을 주목하라. 대형 계약업체들은 유예 여부와 관계없이 부처가 움직이는 것보다 빠르게 자체 공급업체 보안 요건을 부과하는 경우가 많다.
그때까지 이기는 자세는 지루하다. 1단계 체계를 정돈하고, SPRS 점수를 정직하게 유지하고, 개선 작업에 계속 자금을 대고, 모든 준수 지출을 그것이 지원한 요건을 명시하는 계정에 유지하라. 새 일정이 도착할 때 당신이 원하는 유일한 놀라움은 당신이 이미 얼마나 준비되어 있는가여야 한다. 마지막으로 유용한 단계는 가장 작은 단계다. 이번 주에 장부를 열어, 유예된 평가 자금이 내년 예산이 찾을 수 없는 비용 계정에 묻혀 있지 않고 선급 자산에 제대로 자리하고 있는지 확인하라.
