미 국방부, CMMC 프로그램 최종 규칙 연방 관보에 발표하고 12월 16일 발효 고지

김한경 안보전문기자 입력 : 2024.10.21 16:21 ㅣ 수정 : 2024.10.22 10:36

모든 업체가 CMMC 이행에 7년 소요 예상…최종 규칙 적용은 ‘4단계 이행 계획’ 통해 시행

  • 카카오스토리
  • 네이버밴드
  • 페이스북
  • 트위터
  • 글자크게
  • 글자작게
image

CMMC 최종 규칙 발표를 알리는 미국 연방 관보(Federal Register) 웹사이트. [웹사이트 화면 캡처]

 

[뉴스투데이=김한경 기자] 미 국방부가 ‘CMMC(사이버보안 성숙도 모델 인증) 프로그램(32 연방규정조항 파트 170)’ 최종 규칙을 지난 15일 연방 관보(Federal Register)에 발표하고 오는 12월 16일 최종 규칙이 발효된다고 고지했다.

 

CMMC 프로그램 최종 규칙은 CMMC 개발 배경과 과정, CMMC 2.0 모델에 관한 소개와 레벨별 심사 요구사항, 심사 방법 등을 소개하고 있다. 또 CMMC 인증·심사기관과 관련 각종 자격제도 그리고 CMMC 인증심사에 드는 개략적인 기간과 비용 등도 설명하고 있다.

 

미 국방부는 CMMC 프로그램을 미국방부가 발주하는 사업의 계약 체결 조건으로 요구하는 ‘CMMC 획득 규칙(48 연방규정조항 파트 204)’의 최종 규칙 또한 제정 중이어서 연내 발표가 예상된다. 

 

CMMC 획득 규칙의 최종 규칙까지 발효되면 미국방부 계약업체는 계약 체결 조건으로 요구되는 CMMC 레벨을 달성해야 한다. 기성품(COTS) 획득 외에 상업용 제품과 서비스 획득을 위한 모든 계약에 적용되며, 수출과 수입 모두 해당한다.

 

매년 미 국방부 요청에 응하고 수주하는 계약업체의 수를 고려할 때, 모든 업체가 CMMC를 완전히 이행하는 데에는 7년이 걸릴 것으로 미국방부는 예상한다.

 

따라서 CMMC 레벨이 요구되는 업체가 CMMC 요구사항을 이해하고 이행하는데 필요한 시간과 인증이 필요한 업체의 심사를 수행하는데 걸리는 시간을 확보하기 위해 CMMC 프로그램 최종 규칙 적용은 ‘4단계 이행 계획’을 통해 시행할 예정이다. 

 

1단계는 CMMC 획득 규칙의 최종 규칙 발효일로부터 1년 간이며, 미 국방부 계약업체가 CMMC 레벨 1과 레벨 2에 대해 자체적으로 심사를 수행하고 그 결과를 미국방부의 ‘공급자 성과위험시스템’(SPRS, Supplier Performance Risk System)에 등록하면 된다.

 

2단계는 1단계 종료 시점부터 1년간이며, CMMC 레벨 2 인증 요건을 시행한다. 즉, 미 국방부 계약업체는 사업유형에 따라 CMMC 심사기관으로부터 인증심사를 받고 인증을 취득해야 한다.

 

3단계는 2단계 종료 시점부터 1년간이며, CMMC 레벨 3 인증 요건을 시행한다. 레벨 3에 대한 인증심사는 미 국방부 산하기관에서 직접 수행한다. 미 국방부는 사업유형에 따라 CMMC 레벨 요건을 요구할 수 있지만, 레벨 3은 계약 체결 시점이 아닌 사업 기간 중 달성하는 옵션 요건으로 이행될 수 있다.

 

4단계는 3단계 종료 시점부터 시작하며, 미 국방부는 모든 계약에 CMMC 요구사항을 포함한다. 미 국방부는 신규 계약만이 아니라 필요에 따라 CMMC 최종 규칙 시행 이전에 체결된 계약에 대해서도 CMMC 인증을 요구하는 수정 계약을 채택할 수 있다. 

 

결론적으로 미 국방부는 4단계 이행 계획을 통해 CMMC 심사 요건을 매년 강화함으로써 CMMC 획득 규칙의 최종 규칙 발효 4년 차부터 CMMC 생태계에 전면 시행할 수 있도록 할 예정이다.

 

CMMC 전문 컨설팅 기업인 티큐엠에스의 이민재 CMMC 선임 컨설턴트는 “CMMC 최종 규칙이 발효되고 1년간은 업체 스스로 수행하는 자체심사를 허용하지만, 미국 정부를 속이거나 심사 결과를 허위로 등록한 계약자에게는 ‘허위청구법(False Claims Act)’에 따라 페널티가 부과될 수 있다”고 말했다.

 

그러면서 “허위청구법에 따르면 연방 기금이나 정부 프로그램에 대해 허위청구서를 제출한 개인이나 기업은 물가 상승률에 따른 벌금과 함께 계약금액 3배의 손해배상 책임이 부과되기에 주의해야 한다”라고 덧붙였다.

 

댓글 (0)

- 띄어 쓰기를 포함하여 250자 이내로 써주세요.

- 건전한 토론문화를 위해, 타인에게 불쾌감을 주는 욕설/비방/허위/명예훼손/도배 등의 댓글은 표시가 제한됩니다.

0 /250
 

주요기업 채용정보