미국 국방조달시장에 진출하려는 기업이라면 제품과 가격만큼 중요하게 살펴야 할 것이 정보보안이다. 미국 정부가 기업에 설계도면이나 계약정보를 제공했는데 협력기업의 정보시스템이 취약하다면, 공급망 전체의 보안이 흔들릴 수 있기 때문이다.
이 문제를 체계적으로 관리하기 위해 마련된 제도가 CMMC(Cybersecurity Maturity Model Certification), 즉 사이버보안 성숙도 모델 인증 프로그램이다.
쉽게 말하면 CMMC는 미국 국방 공급망에 참여하는 기업이 계약 과정에서 다루는 중요 정보를 제대로 보호할 능력이 있는지를 확인하는 제도다.
미국 정부는 2026년 7월 이 제도의 시행방식을 일부 조정했다. 중요한 것은 이를 ‘보안기준의 완화’로 단순하게 해석해서는 안 된다는 점이다. 미국 정부가 밝힌 정책 방향은 강력한 사이버보안 수준을 유지하면서 중소기업과 비전통적 공급자의 과도한 행정부담을 줄이고 국방 공급망의 경쟁을 확대하는 데 있다. 미국 정부 2026년 7월 13일 공식 발표
CMMC는 무엇을 검사하는가?
CMMC를 이해하려면 먼저 FCI와 CUI를 구분해야 한다.
FCI(Federal Contract Information)는 공개되지 않은 연방계약 관련 정보다. CUI(Controlled Unclassified Information)는 기밀정보로 분류되지는 않지만 법률이나 정부정책에 따라 보호가 필요한 통제비분류정보다.
기업이 어떤 정보를 다루느냐에 따라 요구되는 보안수준이 달라진다.
| 구분 | 주된 정보 | 평가방식 |
|---|---|---|
| Level 1 | FCI | 기업 자체평가 |
| Level 2 | CUI | 자체평가 또는 C3PAO 제3자평가 |
| Level 3 | 더 높은 보호가 필요한 CUI | 정부 DIBCAC 평가 |
Level 1은 FAR 52.204-21의 기본적인 정보보호 요구사항을 기반으로 한다.
Level 2는 NIST SP 800-171 Revision 2에 맞춰 CUI를 보호할 수 있는지를 평가한다. 계약의 위험과 요구조건에 따라 자체평가 또는 C3PAO(CMMC Third-Party Assessment Organization)의 독립적인 평가가 적용되는 구조였다.
Level 3은 Level 2보다 강화된 수준으로 정부의 DIBCAC가 평가하는 방식이다. CMMC 최종 규정
그런데 Level과 Phase는 전혀 다른 말이다
이번 정책을 이해할 때 가장 주의해야 할 부분이다.
Level 1·2·3은 기업에 요구되는 보안수준이고, Phase 1·2·3·4는 미국 정부가 CMMC를 조달시장에 단계적으로 확대 적용하는 일정이다.
원래 계획은 다음과 같았다.
| 기존 시행계획 | 예정 시점 | 주요 변화 |
|---|---|---|
| Phase 1 | 2025.11.10 | Level 1·Level 2 자체평가 중심으로 시작 |
| Phase 2 | 2026.11.10 | 해당 조달에 Level 2 C3PAO 평가 본격 추가 |
| Phase 3 | 2027.11.10 예정 | Level 2 C3PAO 적용 확대 및 Level 3 적용 |
| Phase 4 | 2028.11.10 예정 | 해당 계약에 CMMC 전면 적용 |
즉, 2026년 11월부터 예정돼 있던 것은 ‘CMMC Level 2 자체가 새로 시작되는 것’이 아니었다.
핵심은 외부 전문기관인 C3PAO가 수행하는 Level 2 인증평가의 적용 범위가 본격적으로 확대되는 것이었다. 미 연방관보 CMMC 시행계획
2026년 7월 13일, 무엇이 바뀌었나?
미국 정부는 2026년 7월 13일 Phase 2로의 전환을 즉시 중단하고 CMMC 프로그램에 대한 종합적인 재검토를 시작했다.
변경 내용을 정확하게 보면 차이가 선명하다.
기존에는 2026년 11월 10일부터 해당 조달에 Level 2 C3PAO 평가를 확대하고 이후 Level 3과 전면시행으로 단계적으로 나아갈 예정이었다.
변경 후의 잠정 운영에서는 조달 담당자가 요구할 수 있는 CMMC 평가를 원칙적으로 다음 두 가지로 제한했다.
- Level 1 자체평가
- Level 2 자체평가
따라서 현재 중단된 것은 Level 2 보안기준 자체가 아니라 Phase 2에서 본격 확대하려던 Level 2 C3PAO 및 Level 3 DIBCAC 인증평가 요구다.
더 중요한 변화도 있다. 이미 진행 중인 입찰에서 Level 2 C3PAO 또는 Level 3 DIBCAC 평가를 요구하고 있다면 관련 요구사항을 제거하도록 입찰문서를 수정하는 절차도 지시됐다.
시행일은 별도의 미래 날짜가 아니다. 2026년 7월 13일부터 즉시 적용됐다.
그리고 기존 Phase 3·4 일정 역시 그대로 확정됐다고 보면 안 된다. 미국 정부는 Phase 2뿐 아니라 향후 CMMC 시행 마일스톤도 중단하고 60일간 제도를 종합 검토한 후 추가 지침을 내겠다고 밝혔다. 2026 CMMC 시행지침 원문
그렇다면 미국이 보안을 느슨하게 한 것일까?
그렇게 해석하는 것은 정확하지 않다.
CMMC 인증방식이 재검토되는 동안에도 NIST SP 800-171 Revision 2에 따른 보안 요구는 계속된다. Level 1과 Level 2 자체평가도 유지되며 필요한 경우 미국 정부가 직접 평가할 수 있다.
특히 DFARS 252.204-7012에 따른 국방정보 보호와 사이버사고 보고 의무 역시 그대로 유지된다.
즉 정책의 방향을 정리하면 이렇다.
보안을 없애는 것이 아니라, 실제 보안 수준을 유지하면서 인증과 행정절차가 공급망 진입에 미치는 부담을 다시 검토하는 것이다.
미국 정부도 이번 조치의 배경으로 중소기업과 비전통적 기업의 진입장벽 완화, 혁신기업의 참여 확대, 경쟁력 있는 국방 공급망 구축을 제시하고 있다.
기업 입장에서 장점은 무엇인가?
가장 직접적인 장점은 초기 시장진입 부담의 감소다.
외부 C3PAO 인증을 준비하려면 평가비용뿐 아니라 시스템 정비, 문서작성, 외부 컨설팅과 담당인력 투입 등이 필요할 수 있다. 특히 규모가 작은 기업에는 상당한 부담이 될 수 있다.
이번 조정으로 일정 기간 자체평가 중심의 체계가 유지되면서 새로운 기업이 미국 국방조달시장에 접근할 수 있는 여지가 넓어졌다.
미국 정부 입장에서도 공급기업의 수를 늘리고 혁신적인 중소기업을 국방 공급망으로 유입할 가능성이 커진다.
단점과 주의할 점도 있다
기업에는 불확실성이라는 새로운 문제가 생긴다.
이미 C3PAO 평가에 투자한 기업은 향후 제도가 어떻게 개편될지 지켜봐야 하고, 새롭게 시장에 들어오는 기업 역시 현재의 자체평가 기준만 충족하면 앞으로도 충분하다고 단정할 수 없다.
따라서 “CMMC 인증이 없어졌다”거나 “사이버보안을 준비하지 않아도 된다”고 판단하는 것은 위험하다.
미국 정부의 2026년 7월 공식 FAQ 역시 NIST SP 800-171 Rev.2를 기준으로 한 정보보호 요구가 계속된다는 점을 명확히 하고 있다. 미국 정부 CMMC 공식 FAQ
한국 중소기업에는 어떤 의미가 있을까?
한국 기업에도 CMMC는 남의 이야기가 아니다. CMMC는 미국 기업에만 적용되는 제도가 아니며, 적용 대상 계약이나 하도급계약에서 FCI 또는 CUI를 처리한다면 해외기업도 관련 요구사항을 확인해야 한다.
따라서 미국 국방조달에 처음 진입하는 기업이라면 처음부터 고가의 인증취득을 목표로 삼기보다 먼저 세 가지를 확인하는 것이 합리적이다.
첫째, 내가 참여하려는 계약에 CMMC 요구조건이 있는가.
둘째, 계약 과정에서 FCI만 취급하는가, 아니면 CUI까지 처리하는가.
셋째, 회사의 어느 컴퓨터와 서버, 클라우드가 그 정보를 저장·처리·전송하는가.
이 세 가지를 알아야 필요한 보안수준과 준비비용을 판단할 수 있다.
마무리
2026년 CMMC 정책 변경은 미국이 사이버보안의 중요성을 낮춘 사건으로 보기 어렵다. 오히려 국방정보를 보호하는 실질적 보안수준과 기업이 부담하는 인증절차 사이의 균형을 다시 설계하는 과정에 가깝다.
중소기업에는 진입장벽이 낮아질 가능성이 생겼지만 동시에 향후 제도개편을 지속적으로 확인해야 할 필요성도 커졌다.
미국 국방조달을 준비하는 한국 기업 역시 ‘인증을 받아야 하는가’부터 묻기보다는 ‘우리가 어떤 미국 정부 정보를 다루게 되며, 그 정보를 현재 안전하게 보호할 수 있는가’에서 시작하는 것이 바람직하다.
CMMC의 형태는 조정될 수 있어도 미국 국방 공급망에서 정보보안이 중요한 경쟁요건이라는 사실은 달라지지 않는다.
#CMMC #미국국방조달 #미국연방조달 #해외조달 #중소기업수출 #CUI #FCI #NIST800171 #DFARS #사이버보안