방산물자교역지원센터

방산수출정보 방산시장정보

대한민국 방산수출의 동반자 KODITS

미 국방부 사이버 인증(CMMC) 의무화 압박, 미 방산 공급망 합병 및 재편 가속화

등록일 2026-05-22

□ 배경

미 국방부의 사이버보안 성숙도 인증(CMMC) 규제 시행이 다가옴에 따라, 고액의 인증 비용과 긴 심사 기간을 감당하지 못한 중소 부품사들이 이탈하고 대형 프라임 기업들이 규제 준수 기업을 중심으로 공급망을 흡수·합병하는 시장 재편 현상 심화

□ 주요 내용

ㅇ CMMC 핵심 규정과 마감 시한

- 마감 시한: 올해 11월 10일부터 미 국방부는 본격적으로 계약 내 'CMMC 레벨 2' 인증 요구

- 연쇄 적용(Flow-down) 원칙: 프라임 대기업이 레벨 2 인증을 받았다면, 그 기업으로부터 '통제대상 미분류 정보(CUI)'를 전달받는 하위 협력업체도 반드시 동일한 레벨 2 인증 획득 필요

ㅇ 인증의 걸림돌: CMMC 인증 획득에는 최대 수십만 달러의 비용과 최대 18개월의 장기간이 소요되어 중소기업에 큰 부담으로 작용

ㅇ 기업들의 CMMC 대응 전략 패턴

- 가상 데스크톱(VDI) 전략 (단기/저비용): 방산 매출 비중이 15% 이하인 기업들이 선호. 기존 시스템과 분리된 가상 환경만 인증을 받는 방식으로 약 6개월이 소요되나, 이메일 오발송 등으로 인한 정보 유출 리스크 존재

- 올인(All-in) 전략 (장기/고비용): 방산 매출 비중이 높은 기업이 선택하며, 회사 전체 시스템을 동기화함. 구축에 12~18개월 소요되나 인프라 관리가 일원화되어 안전

첨부파일