사이버보안 성숙도 모델 인증(Cybersecurity Maturity Model Certification, CMMC) 제도는 미국 방위산업기반 내의 연방 계약 정보(Federal Contract Information, FCI)나 통제 비기밀 정보(Controlled Unclassified Information, CUI)를 보호하기 위해 미국 전쟁부(국방부)가 마련한 통합 사이버보안 기준 및 절차를 말하며, 기업이 취급하는 정보의 종류와 계약 조건에 따라 요구되는 CMMC 등급도 달라집니다.
CMMC는 현재 1단계가 진행 중이고 2단계는 2026년 11월 10일부터 시행될 예정이었습니다. 2단계에서는 Level 2 Contract에 대한 제3자 평가 요건의 시행이 예정되어 있었는데, 이러한 경우 공인 제3자 평가 기관(C3PAO)을 통해 CMMC Level 2 인증을 받아야 하는 기업들은 상당한 영향을 받게 될 것으로 예상되었습니다.
그런데 2026년 7월 13일, 미국 전쟁부는 2단계의 시행을 즉각 보류하며, 새로 발족한 CMMC Reform Task Force에 의한 60일 간의 검토기간 동안 모든 장래의 CMMC 프로그램의 이행 일정 및 단계들은 동결된다고 발표하였습니다. 이러한 조치는 규정 준수 부담 경감, 중소기업의 비용 부담 최소화 및 제3자 인증기관의 부족 현상을 고려한 것으로 보입니다. 이번 2단계 시행 보류는 단지 정책 집행의 일시적인 중단일 뿐이고, 그 근거가 되는 사이버보안 법령의 폐지가 아니며, 1단계에서 요구되거나 진행되고 있는 사항들은 그대로 유효합니다. 따라서 위 Task Force가 60일 동안 제도 개선 방안을 검토하는 동안 2단계에서 예정하고 있던 제3자 평가 요건의 시행이나 그 이후 단계의 진행이 일시적으로 정지되는 것으로 이해하시면 될 것입니다.
미국 방위 공급망에 참여 중인 한국 방산 기업들에게 이번 2단계의 시행 보류는 향후 확대될 CMMC 요건에 대비할 시간을 조금 더 확보할 수 있는 기회가 될 뿐만 아니라, 위 Task Force의 검토 결과에 따라서는 CMMC 관련 부담이 상당히 완화되는 것도 기대해 볼 수도 있을 것입니다. 따라서 미국의 방산 공급망에 참여하고 있거나 참여를 희망하는 기업들로서는 자사의 사업 활동이 FCI 또는 CUI와 관련되는지, 관련된다면 요구되는 CMMC 등급 및 사이버보안 요건은 무엇인지 검토하면서 위 Task Force의 검토 결과에 따른 미국 전쟁부의 후속 발표를 계속하여 모니터링할 필요가 있을 것입니다.
About Shin & Kim’s Defense Group
법무법인(유) 세종의 방위산업/국방팀(Military Procurement & Defense Industry Team)은 여러 방산기업과 관련 기관을 상대로 해외 방산수출에 관한 국내외 규제, 법령 및 정책 제∙개정 사항에 대한 자문 등을 지속적으로 제공하고 있습니다. 미국 CMMC 제도의 시행 변동에 대한 위 뉴스레터와 관련한 사항 또한 언제든지 아래 담당변호사에게 연락하여 주시면 보다 자세한 내용을 상담하여 드리도록 하겠습니다.
