CMMC 규칙 제정(rule making) 절차가 예정보다 지연되고 있습니다.

작년 미 국방부의 발표에 따르면, 잠정 최종 규칙(interim final rule)이 올해 3월에 고시된다고 하였습니다.

그러나, 이 일정이 늦어지고 있으며 잠정 최종 규칙은 빠르면 올해 5, 6월에 공지될 것으로 예상되고, 이후 2~12개월간 의견 수렴을 거쳐 최종 규칙(final rule)이 완성되게 됩니다.

이에 따라, 최종 규칙은 빠르면 23년, 늦어지면 24년에 완성될 것으로 예상됩니다.

미 국방부는 작년에 Joint Surveillance Voluntary Assessement Program을 발표하여, CMMC 최종 규칙이 나오기 전이라도 업체들이 자발적으로 제3자 심사를 받도록 권장하고 있습니다.

이 심사 프로그램은 CMMC 심사기관인 C3PAO와 미 국방부의 DIBCAC (Defense Industrial Base Cybersecurity Assessment Center)가 공동으로 NISP SP 800-171의 준수를 심사하는 것입니다.

현재 60개의 업체가 신청했고 7개 업체가 심사를 마쳤다고 합니다.

이 프로그램을 통해 심사받은 업체는 CMMC 2등급으로 인정되며, CMMC 인증제도가 개시된 후 별도로 CMMC 심사를 받을 필요가 없습니다.