60일 재검토가 흔드는 미 국방 조달 시장
2026년 10월 28일, 미국 방산 공급망의 사이버 보안 일정표가 예고 없이 멈췄다. 미 국방부(DoD)는 사이버보안 성숙도 모델 인증(CMMC) 2단계 요구사항을 즉시 중단하고 60일간 전체 프로그램을 재검토하기로 결정했다. 원래 2026년 11월 발효를 목전에 둔 제도였다는 점에서 이번 결정은 단순한 행정 연기로 보기 어렵다.
방산 계약 시장에서 보안 인증이 입찰 자격과 비용 구조를 좌우하는 단계로 이동하던 흐름에 제동을 건 사건이다. 이번 조치의 핵심은 규제 완화보다 조달 생태계 재설계에 가깝다.
CMMC는 국방부 계약업체가 민감한 미분류 정보(sensitive unclassified information)를 보호하기 위해 사이버 보안 통제(control)를 구현하고 관련 평가를 받도록 설계된 프레임워크다. 정보 민감도에 따라 1단계부터 3단계까지 요구 수준을 나누고, 기업이 그 준수 여부를 입증하도록 설계했다. 그러나 2단계 시행 직전 국방부가 일정을 멈춘 사실은, 인증 모델이 시장 현실—특히 중소 협력사의 비용 부담—과 충돌했음을 드러낸다.
방산 조달에서 사이버 인증은 더 이상 정보기술(IT) 부서만의 업무가 아니다. 인증을 확보하지 못한 기업은 계약 경쟁에서 불리한 위치에 놓이고, 원청 기업은 협력사의 보안 상태까지 관리해야 하는 구조로 바뀌었다. 본지 분석 결과, 이번 중단은 소프트웨어 보안 업체, 컴플라이언스 컨설팅 기업, 평가기관, 방산 시스템 통합(SI) 기업의 매출 인식 시점에 직접 영향을 줄 수 있다.
2026년 11월 시행을 전제로 준비한 프로젝트는 속도를 조절하게 됐고, 자체 보안 체계를 이미 구축한 기업은 재검토 기간 동안 경쟁사 대비 준비 격차를 유지할 수 있다. CMMC의 산업적 파급력은 인증 문서 몇 장에 그치지 않는다.
광고
국방 조달망은 원청 기업과 수많은 하청·재하청 업체가 연결된 구조다. 한 기업의 보안 결함이 공급망 전체의 계약 리스크로 확산될 수 있다.
이 때문에 CMMC는 개별 기업의 방화벽 수준을 평가하는 제도라기보다 방산 공급망 전반의 신뢰 비용을 가격에 반영하는 장치로 기능해 왔다. 국방부가 모든 보류 중인 CMMC 구현 마일스톤까지 함께 중단한 결정은, 그 장치의 작동 방식을 처음부터 다시 계산하겠다는 뜻으로 읽힌다. 기업 입장에서 가장 위험한 해석은 이번 중단을 준비 중단의 신호로 받아들이는 것이다.
Legal 500의 2026년 10월 28일 보도에 따르면, 기업들은 CMMC 자체 평가를 포함한 기존 계약상 사이버 보안 요구사항과 기본 의무를 여전히 유효한 것으로 간주해야 한다. 즉 2단계 인증 일정은 멈췄지만, 계약서에 삽입된 보안 조항과 민감 정보 보호 책임은 사라지지 않았다.
조달 규제의 문구가 바뀌어도 침해 사고가 발생하면 그 비용은 기업이 부담한다. 이 차이를 오해한 기업은 60일 뒤 더 큰 보완 비용을 치르게 된다.
인증 지연보다 큰 비용 구조 변화
이번 재검토가 시장에 던지는 첫 번째 신호는 보안 규제의 초점이 엄격성에서 실행 가능성으로 이동했다는 점이다. 강한 규칙은 문서에 쓰기는 쉽지만, 공급망 전체가 같은 속도로 따라오기는 어렵다. 특히 중소 방산 협력사는 전담 보안 인력, 외부 평가 비용, 문서화 작업 모든 면에서 대기업보다 구조적으로 불리하다.
CMMC 2단계가 시행 직전 멈춘 배경에는 이러한 실행 비용의 누적이 자리 잡았을 가능성이 크다. 국방부가 정보 요청서(RFI)를 통해 이해관계자 의견을 수렴하기로 한 것도 제도 설계가 현장 비용을 다시 반영해야 한다는 판단과 맞닿아 있다.
두 번째 신호는 사이버 보안 산업의 영업 방식 변화다. 그동안 일부 공급사는 CMMC 시행일을 앞세워 인증 패키지와 컨설팅 수요를 끌어냈다.
광고
2026년 11월이라는 날짜는 영업 파이프라인을 움직이는 강한 기준점으로 작동했다. 그러나 60일 재검토가 시작되면서 고객 기업은 즉각적인 인증 획득보다 내부 통제 우선순위 정리, 증적 관리, 계약별 요구사항 검토에 예산을 배분할 가능성이 커졌다.
보안 기업도 단기 인증 대행보다 지속적인 거버넌스 구축과 공급망 위험 평가 역량을 증명해야 계약을 유지할 수 있다. 세 번째 신호는 한국 기업에 더 민감하게 작용한다.
미국 국방 조달망에 직접 참여하지 않는 기업이라도 방산 전자부품, 소프트웨어 모듈, 클라우드 운영, 보안 솔루션 공급 과정에서 미국 원청의 보안 요구를 받을 수 있다. 본지 분석 결과, 한국 기업이 당장 CMMC 2단계 인증을 새로 취득해야 한다는 공식 사실은 원천 자료에서 확인되지 않는다.
다만 미국 방산 공급망이 보안 증적을 중시하는 구조로 움직인다는 점은 변하지 않았다. 한국 기업은 재검토 결과를 기다리기보다 자산 목록, 접근 통제, 로그 보존, 협력사 보안 점검 체계를 계약 단위로 먼저 정리할 필요가 있다. 반론도 없지 않다.
시행 직전 중단은 정부가 과도한 인증 장벽을 낮추려는 움직임이며, 기업은 최종안이 나올 때까지 비용 지출을 늦추는 편이 합리적이라는 주장이다. 이 주장은 단기 현금 흐름 관점에서 설득력을 갖는다.
인증 범위가 바뀔 수 있다면 외부 평가 비용을 미루려는 재무 부서의 판단은 자연스럽다. 그러나 보안 통제 자체를 미루는 전략은 위험하다.
국방부가 CMMC를 재검토한다고 해서 민감 정보 보호 의무를 면제한 것은 아니며, 기존 계약상 요구사항은 그대로 남아 있기 때문이다.
한국 IT·방산 기업의 대응 변수
더 큰 문제는 인증 제도의 변동성이 기업 내부 투자 결정을 흔든다는 점이다. 최고정보보호책임자(CISO)는 규정 확정 전에도 예산을 확보해야 하지만, 최고재무책임자(CFO)는 불확실한 인증 비용을 보류하려 한다.
광고
이 충돌은 보안 투자를 비용으로만 보는 기업에서 더 크게 나타난다. 방산 공급망에서 보안은 납품 품질과 동급의 사업 조건이다. 인증 일정이 흔들릴수록 기업은 규정 문구보다 계약 유지에 필요한 최소 통제선을 먼저 세워야 한다.
이번 60일 재검토는 미국 정부가 보안 수준을 낮추는 절차가 아니라, 방산 공급망 전체가 감당할 수 있는 인증 체계를 다시 맞추는 과정으로 해석하는 편이 현실에 가깝다. Legal 500 보도에서도 프로그램의 복잡성을 줄이고 중소기업이 보다 현실적으로 따를 수 있는 방향으로 CMMC가 재정비될 가능성이 제시됐다.
다만 단순화가 면제를 뜻하지는 않는다. 오히려 요구사항이 더 명확해지면 기업은 변명의 여지를 잃는다.
준비된 기업에는 시장 진입 장벽이 낮아지는 순간이 아니라 경쟁사가 탈락하는 선별 국면이 될 수 있다. 한국 IT·방산 업계가 얻어야 할 교훈은 분명하다. 규제의 시행일만 따라가는 기업은 매번 늦고, 계약 데이터와 보안 증적을 평소에 관리하는 기업은 제도 변화에도 흔들림이 작다.
CMMC 중단은 인증 사업자의 단기 매출에는 부담이지만, 보안 거버넌스와 공급망 관리 서비스를 제공하는 기업에는 더 정교한 제안 기회가 열린다. 미국 국방부의 60일 검토가 끝난 뒤 기업들은 다시 같은 질문을 받게 된다. 인증서가 아니라 실제 방어 능력을 입찰 가격에 반영할 준비가 되어 있는가.
※ 이 기사는 Legal 500의 2026년 10월 28일 보도를 참조하여 작성하였습니다. 원천 자료에 기자명과 기사 제목은 제공되지 않았습니다.
FAQ
Q. CMMC 2단계 중단은 기업이 보안 준비를 멈춰도 된다는 뜻인가?
A. 그렇지 않다. 미 국방부는 CMMC 2단계 요구사항과 향후 구현 마일스톤을 일시 중단했지만, 기존 계약상 사이버 보안 의무가 소멸됐다고 밝힌 것은 아니다. Legal 500의 2026년 10월 28일 보도도 기업들이 자체 평가를 포함한 기존 요구사항을 여전히 유효한 것으로 간주해야 한다고 전했다. 기업은 인증 일정이 아니라 계약서의 보안 조항, 민감 정보 취급 방식, 내부 통제 증적을 기준으로 준비를 이어가는 편이 안전하다. 보안 통제를 미루다가 침해 사고가 발생하면 그 비용은 기업이 고스란히 부담하게 된다.
Q. 한국 기업에도 이번 결정이 직접 영향을 주는가?
A. 원천 자료만으로 한국 기업에 대한 직접 적용 여부는 확인되지 않는다. 다만 미국 국방 조달망에 제품, 소프트웨어, 보안 서비스, 운영 지원을 제공하는 기업은 원청이나 파트너를 통해 보안 요구를 받을 수 있다. 특히 민감한 미분류 정보를 다루는 계약 구조라면 CMMC 재검토 이후 요구 문구가 바뀌어도 기본 보안 통제는 남을 가능성이 크다. 한국 기업은 미국 계약 참여 여부와 데이터 취급 범위를 먼저 점검하고, 자산 목록과 접근 통제 체계를 계약 단위로 정비하는 것이 현실적인 대응이다.
Q. 보안 기업과 컨설팅사는 60일 동안 무엇을 준비해야 하나?
A. 단기 인증 대행 영업에 의존한 기업은 고객의 예산 집행 지연을 겪을 가능성이 크다. 반면 자산 식별, 접근 통제, 로그 관리, 협력사 위험 평가처럼 제도 변화와 무관하게 필요한 영역은 수요가 유지될 가능성이 있다. 60일 재검토 기간에는 최종 규정 예측보다 고객의 기존 계약 의무와 현재 통제 수준을 비교하는 진단 서비스가 더 설득력을 갖는다. 인증 일정이 다시 정리되면 실무 증적을 이미 갖춘 고객이 더 빠르게 대응할 수 있으며, 그 준비 과정을 함께한 보안 기업이 계약 유지에서 유리한 위치에 선다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
