CMMC QA Discussion for JED and MOD Info Exchange (24 March 2026).pdf

FOR INFORMATION PLANNING PURPOSES ONLY 計画用情報 参考以外の使用厳禁

Q1. Regarding the Mandatory Nature of CMMC Level 2

For design and consulting services procured by JED that involve handling Controlled Unclassified Information (CUI), could you please clarify JED's official position on the following?

• Will CMMC Level 2 certification be a mandatory contractual requirement?

• Will businesses that have not obtained CMMC Level 2 be considered ineligible for these contracts?

Q1. CMMC レベル 2 の必須要件について

JED が契約する、管理対象非機密情報（CUI）の取り扱いを伴う設計およびコンサルティングサービ

スについて、以下の点に関する JED の公式な見解を明確にしていただきたい。

• CMMC レベル 2 の認証は、契約上の必須要件となるか？

• CMMC レベル 2 を取得していない企業は、これらの契約の対象外となるか？

A1. While no one at JED considers themselves an expert on CMMC procedures we will do our best to give honest and practical answers to your questions.

To answer the first question - yes. CMMC Level 2 certification will be mandatory for any contract or subcontract that involves the processing, storing, or transmitting of Controlled Unclassified Information (CUI). Contractors that have not achieved the required CMMC level will not be eligible for award, as it will be treated as a go/no-go eligibility criterion.

JED のスタッフに CMMC の手続きに関する専門家はいませんが、皆様からのご質問には誠実かつ実

用的な回答を差し上げるよう最善を尽くします。

最初の質問への回答ですが、はい、その通りです。管理対象非機密情報（CUI）の処理、保管、また

は伝送を伴う契約または下請契約については、CMMC レベル 2 の認証が義務付けられます。 CMMC

のレベルは契約の可否を決定する資格基準として扱われるため、必要な CMMC レベルを達成してい

ない請負業者は、契約の受注資格を得ることができません。

Q2. Regarding the Scope of CUI in Design Services

In the context of design and technical support services for JED projects, could you provide representative examples of information that is classified as CUI (e.g., drawings, specifications, facility information, etc.)?

Q2. 設計サービスにおける CUI の範囲について

JED のプロジェクト向けの設計および技術支援サービスにおいて、CUI に分類される情報の代表的な

例（図面、仕様書、施設情報など）を挙げてください。

A2. Examples of information that may be classified as CUI include, but are not limited to:

• Facility drawings for military installations, Engineering specifications related to force protection, anti-terrorism, or physical security features, Site surveys and geotechnical data for military installations, Infrastructure details such as utility systems (power, water, communications) serving military facilities, Construction cost estimates and schedules tied to military projects, Building Information Models (BIM) containing sensitive facility data, Physical security system designs (access control, surveillance, perimeter security), Environmental and hazardous material assessments on military sites, and Communications and IT infrastructure designs

CUI に分類される可能性のある情報の例としては、以下が挙げられますが、これらに限定されるもの

ではありません：

• 軍事施設の関連する図面、部隊防護、テロ対策、または物理的セキュリティ機能に関連する技

術仕様書、軍事施設の現地調査および地質工学データ、軍事施設にサービスを提供する公益事

業システム（電力、水道、通信）などのインフラ詳細、プロジェクトに関連する建設費用見積

もりおよびスケジュール、機密性の高い施設データを含むビルディング・インフォメーショ

ン・モデル（BIM）、物理的セキュリティシステムの設計（入退室管理、監視、周辺警備）、 軍

施設における環境および有害物質の評価、ならびに通信および IT インフラの設計

Q3. Regarding the Current Absence of C3PAOs in Japan

At present, there are no accredited C3PAOs (CMMC Third-Party Assessment Organizations) in Japan, which poses a significant challenge for many Japanese companies to undergo a third-party assessment within the required timeframe. Could you please share JED's current understanding and perspective on this situation?

Q3. 日本における C3PAO 未設置の現況に関して

現在、日本には認定された C3PAO（CMMC 第三者評価機関）が存在せず、多くの日本企業が所定の

期間内に第三者評価を受ける上で大きな課題となっています。この状況について、JED の現在の認識

と見解をお聞かせいただけますでしょうか。

A3. We acknowledge that the physical absence of accredited CMMC Third-Party Assessment Organizations (C3PAOs) in Japan presents a practical challenge for Japanese companies. The accreditation of C3PAOs is managed by an organization called Cyber AB; not by JED or the U.S. Army Corps of Engineers directly.

We encourage Japanese companies to visit the Cyber AB (cyberab.org) website to identify available C3PAOs willing to conduct assessments in Japan and to monitor the Cyber AB Marketplace for newly accredited organizations. Japanese companies may also consider engaging a Registered Practitioner Organization (RPO), which is a consultant who can be hired to assist with readiness preparation prior to the formal C3PAO assessment.

The Cyber AB website has a listing of RPOs, with numerous listings that offer support for companies in Japan, including some remote services. There are also 2 C3PAOs listed on the Cyber AB website that offer assessments for companies in Japan.

日本国内に認定された CMMC 第三者評価機関（C3PAO）が存在しないことは、日本企業にとって実

務上の課題となっていることを認識しています。C3PAO の認定は、JED や米国陸軍工兵隊が直接行う

のではなく、「Cyber AB」という組織によって管理されています。

日本企業には、Cyber AB（cyberab.org）のウェブサイトにアクセスし、日本国内で評価を実施する意

思のある C3PAO を特定するとともに、Cyber AB マーケットプレイスで新たに認定された組織の情報

を確認することをお勧めします。また、日本企業は、正式な C3PAO 評価に先立ち、準備支援のため

に雇用できるコンサルタントである登録実務者組織（RPO）の利用も検討できます。

Cyber AB のウェブサイトには RPO のリストが掲載されており、日本国内の企業への支援を提供する

多数の組織が掲載されています（リモートサービスを含む）。また、Cyber AB のウェブサイトには、

日本国内の企業向けに評価を提供する 2 つの C3PAO も掲載されています。

Q4. Regarding the Position of MOD ATLA's "Defense-industry SMart (DISM) suitability assessment system"

With respect to Japanese companies certified under the "Defense-industry SMart (DISM) suitability assessment system" (compliant with the Defense Industry Security Manual: DISM), operated by Japan's Acquisition, Technology & Logistics Agency (ATLA), MOD, could you please provide your official opinion on the following?

• Is there a possibility that JED would consider such companies as meeting security requirements equivalent to CMMC Level 2?

Q4. 防衛装備庁（ATLA）の「防衛産業 SMart（DISM）適合性評価システム」の位置づけについて

防衛装備庁（ATLA）が運用する「防衛産業 SMart（DISM）適合性評価システム」に基づき認定され

た日本企業について、以下の点に関し、公式見解をお示しいただけますでしょうか。

• JED は、当該企業を CMMC レベル 2 に相当するセキュリティ要件を満たしているとみなす可

能性はありますか。

A4. We appreciate the inquiry regarding Japan’s Defense-industry SMart (DISM) suitability assessment system operated by ATLA under the Ministry of Defense. At this time, there is no formal mutual recognition agreement between the U.S. CMMC program and Japan's DISM system. While the DISM system may share similar cybersecurity objectives, JED cannot unilaterally recognize DISM certification as equivalent to CMMC Level 2 . Any mutual recognition arrangement would need to be established at the national/intergovernmental level between the U.S. Department of War and Japan's Ministry of Defense, potentially through mechanisms such as:

• Bilateral defense cooperation agreements

• A formal equivalency determination by the DoW CIO or the Office of the Under Secretary of War for Acquisition and Sustainment (OUSD(A&S))

We encourage Japanese industry associations to engage with ATLA to advocate for government-to-government discussions on this topic. We understand that such discussions may already be underway as part of broader U.S.-Japan defense industrial base cooperation initiatives.

防衛装備庁（ATLA）が運営する DISM 適合性評価システムに関するお問い合わせ、ありがとうござい

ます。現時点では、米国の CMMC プログラムと日本の DISM システムとの間に、正式な相互承認協

定は存在しません。DISM システムは、米国 CMMC プログラムと同様のサイバーセキュリティ目標を

共有している可能性がありますが、JED が DISM 認証を CMMC レベル 2 と同等であると一方的に認

定することはできません。相互承認の取り決めを行うには、米国戦争省と日本の防衛省との間で、国

家間または政府間レベルでの合意が必要となり、その際には以下のような仕組みが検討される可能性

があります：

• 二国間防衛協力協定

• 米国戦争省 CIO（最高情報責任者）または調達・維持担当次官室（OUSD(A&S)）による正式な

同等性認定

我々は、日本の業界団体に対し、この問題に関する政府間協議を推進するために ATLA と連携するこ

とを推奨します。こうした協議は、より広範な日米防衛産業基盤協力構想の一環として、すでに進行

中である可能性があると理解しています。

Q5. Regarding Measures in the Absence of Established Mutual Recognition

If formal mutual recognition between CMMC Level 2 and Japan's domestic system is not yet established, could you please inform us whether the following are being considered?

1) Alternative procedures for Japanese companies to maintain their eligibility for JED contracts.

2) Or, the possibility of temporary exemption measures, such as a waiver.

Q5. 相互承認が確立されていない場合の措置について

CMMC レベル 2 と日本の国内制度との間で正式な相互承認が確立されていない場合、以下の措置が

検討されているかどうかをお知らせいただけますでしょうか。

1) 日本企業が JED との契約資格を維持するための代替手続き。

2) あるいは、免除措置などの一時的な特例措置の可能性。

A5. In the absence of formal mutual recognition, the only alternatives known by JED is through Joint Ventures or Teaming Arrangements. Japanese companies could consider teaming with CMMC-certified U.S. firms, where the CUI is handled within the certified partner's information systems, thereby reducing or eliminating the Japanese company's direct CUI handling requirements.

Regarding Waivers: there is a provision for waivers of CMMC requirements on a case-by-case basis but such waivers must be approved at a senior level and are generally reserved for mission-critical situations where no certified contractor is available and the requirement cannot be delayed. Waivers are not intended to be a routine mechanism and should not be relied upon as a long-term strategy.

正式な相互承認がない場合、JED が把握している選択肢は、合弁事業（Joint Ventures）またはチーム

編成（Teaming Arrangements）によるものです。日本企業は、CMMC 認証を取得した米国企業とのチ

ームを編成することが可能です。この場合、CUI は認証を受けたパートナーの情報システム内で取り

扱われるため、日本企業による CUI の直接的な取り扱い要件を軽減または排除することができます。

免除について：CMMC 要件の免除はケースバイケースで認められる規定があります。ただし、その

ような免除には上層部での承認が必要であり、一般的に、認定された請負業者が見つからず、かつ要

件の履行を遅らせることができない、極めて重要かつ緊急の事態に限定されます。免除は日常的な仕

組みとして意図されたものではなく、長期的な戦略として依存すべきものではありません。

Q6. Is it common to arrange that most of the design conditions, drawings, specifications, technical adjustment materials, etc. fall under CUI in many projects?

Q6. 多くのプロジェクトにおいて、設計条件、図面、仕様書、技術調整資料などの大部分を CUI

として扱うことは一般的ですか？

A6. No, it is not common for all design materials to automatically be classified as CUI. The amount of CUI in a given project depends on the nature and sensitivity of the facility or installation being designed.

In practice:

• For projects involving sensitive military facilities — such as command and control centers, ammunition storage, aircraft shelters, force protection infrastructure, intelligence facilities, or communications installations — a significant portion of the design documents, drawings, and specifications may be designated as CUI. In these cases, it would not be unusual for the majority of project materials to carry CUI markings.

• For routine, non-sensitive construction projects — such as barracks, dining facilities, fitness centers, administrative buildings, or family housing — much of the design information may NOT be CUI. Standard commercial building designs, general architectural drawings, and publicly available specifications (e.g., Unified Facilities Criteria that are publicly released) would typically not be CUI [1][2].

• Even within a sensitive project, not every document is necessarily CUI. For example, a general site grading plan may not be CUI, while the physical security system layout for the same project would almost certainly be CUI.

Key Takeaway: It is not an all-or-nothing determination. The designation is made on a document-by-document and data-element-by-data-element basis, guided by the CUI and CMCC policies

いいえ、すべての設計資料が自動的に CUI に分類されるわけではありません。特定のプロジェクトに

含まれる CUI の範囲は、設計対象となる施設や設備の性質や機密性によって異なります。

実務上：

• 指揮統制センター、弾薬貯蔵施設、航空機格納庫、部隊防護インフラ、情報施設、通信施設など、

機密性の高い軍事施設が関与するプロジェクトの場合、設計文書、図面、仕様書の相当部分が CUI

に指定されることがあります。このような場合、プロジェクト資料の大部分に CUI の指定が付けられ

ることは珍しくありません。

• 兵舎、食堂、フィットネスセンター、事務棟、家族用住宅など、日常的で機密性の低い建設プロジ

ェクトの場合、設計情報の多くは CUI ではない可能性があります。標準的な商業建築の設計図や一般

的な建築図面、および一般に公開されている仕様書（例えば「統一施設基準（Unified Facilities

Criteria）」）は、通常、CUI には該当しません [1][2]。

• 機密性の高いプロジェクト内でも、すべての文書が CUI であるとは限りません。例えば、一般的な

敷地造成計画図は CUI ではない可能性がありますが、同じプロジェクトの物理的セキュリティシステ

ムの配置図は、ほぼ間違いなく CUI となります。

重要なポイント：これは「すべてか、あるいは全くないか」という二者択一の判断ではありません。

CUI および CMCC の方針に基づき、文書ごと、データ要素ごとに個別に指定されます。

Q7. Or is CUI limited to a specific project or specific information?

Q7. それとも、CUI は特定のプロジェクトや特定の情報に限定されるのでしょうか？

A7. CUI designation is tied to the specific information, not broadly to an entire project. This is an important distinction. This means:

• A single project may contain a mix of CUI and non-CUI information.

• The CUI designation applies to specific data elements, documents, or portions of documents — not to the project as a whole.

• For example, within a single design package:

• The architectural floor plan of a standard office building may be non-CUI

• The anti-terrorism/force protection (AT/FP) features shown on a separate drawing or overlay would likely be CUI

• The utility connection points to a military grid may be CUI (as critical infrastructure information)

• A standard door schedule using commercial products would likely be non-CUI

Key Takeaway: CUI is information-specific, not project-specific. The government is responsible for identifying and marking which information constitutes CUI, and this determination flows down to contractors through the contract and the CUI marking requirements

CUI の指定は、プロジェクト全体という広い範囲ではなく、特定の情報に結び付けられています。こ

れは重要な点です。つまり、

• 単一のプロジェクトには、CUI と非 CUI の情報が混在している場合があります。

• CUI の指定は、特定のデータ要素、文書、または文書の特定の部分に適用されるものであり、プロ

ジェクト全体に適用されるものではありません。

• 例えば、単一の設計パッケージ内では：

• 標準的なオフィスビルの建築平面図は CUI で無い可能性があります

• 別の図面や重ね合わせで表示された対テロ・部隊防護（AT/FP）機能は、おそらく CUI となります

• 軍事グリッドへの接続ポイントは、CUI となる可能性があります （重要インフラ情報として）

• 市販製品を使用した標準的なドア仕様書は、CUI で無い可能性が高い

重要なポイント：CUI はプロジェクト単位ではなく、情報単位で適用される。どの情報が CUI に該当

するかを特定し、指定を付ける責任は政府にあり、この決定は契約および CUI 指定要件を通じて請

負業者に伝達される

Q8. Or is it judged by the content of the project?

Q8. それとも、プロジェクトの内容によって判断されるのでしょうか？

A8. CUI is judged by the content of the information itself within the context of the project. Both factors matter.

CUI は、情報そのものの内容とプロジェクトの文脈を踏まえて判断されます。どちらの要素も重要で

す。

Q9. Could you please give us a practical guideline?

Q9. 具体的な指針を教えていただけますか？

A9. Step 1: Understand Who Designates CUI

• The U.S. Government (not the contractor) is responsible for identifying and designating CUI.

This will typically be communicated through:

• Specific CUI markings on government-furnished information (GFI)

• The Statement of Work (SOW) or Plans and Specifications.

Step 2: Prepare Your Systems Accordingly

Regardless of the specific volume of CUI in any given project, Japanese companies should:

Preparation Action Description

Identify your CUI boundary Determine which systems, networks, and storage locations will process, store, or transmit CUI.

Minimize this boundary where possible.

Establish a CUI handling policy Create internal procedures for marking, storing, transmitting, and destroying CUI.

Train your personnel Ensure all employees who may handle CUI understand their responsibilities.

Prepare for CMMC Level 2 assessment Engage with a C3PAO or RPO to assess your readiness.

Segregate CUI from non-CUI work Consider using a separate, dedicated IT enclave for CUI work to reduce the scope of CMMC compliance requirements. This is a common and cost-effective strategy.

Step 3: Understand the Flow-Down Requirement

• If your company uses subcontractors on a JED contract, and those subcontractors will handle CUI, the CMMC and DFARS 252.204-7012 requirements flow down to them as well [6].

• Your subcontractors must also meet the applicable CMMC level.

• This is an important consideration when structuring your project team.

ステップ 1：CUI の指定主体を理解する

• CUI の特定および指定は、請負業者ではなく米国政府が責任を負います。これらは通常、以下の方

法を通じて通知されます：

• 政府提供情報（GFI）への特定の CUI 表示

• 作業仕様書（SOW）または設計図・仕様書。

ステップ 2：システムを適切に準備する

特定のプロジェクトにおける CUI の量にかかわらず、日本企業は以下の対応を行う必要がありま

す：

対応準備 説明

CUI の範囲を特定する

CUI を処理、保存、または送信するシステム、ネッ

トワーク、および保存場所を特定します。可能な限

り、この範囲を最小限に抑えてください。

CUI 取り扱い方針を策定する

CUI の表示、保存、送信、および廃棄に関する社内

手順を作成します。

従業員への研修を実施する

CUI を取り扱う可能性のあるすべての従業員が、各

自の責任を理解していることを確認してください。

CMMC レベル 2 認証への準備

C3PAO または RPO と連携し、準備状況を評価す

る。

CUI 業務と非 CUI 業務の分離

CMMC コンプライアンス要件の範囲を縮小するた

め、CUI 業務専用の独立した IT 環境（エンクレー

ブ）の利用を検討する。これは一般的かつ費用対効

果の高い戦略である。

ステップ 3：下請けへの要件の適用を理解する

• 貴社が JED 契約において下請業者を利用しており、その下請業者が CUI を取り扱う場合、CMMC お

よび DFARS 252.204-7012 の要件は下請業者にも適用されます [6]。

• 下請業者も、該当する CMMC レベルを満たす必要があります。

• これは、プロジェクトチームを編成する際に重要な考慮事項となります。