同庁は、一部の小規模請負業者では順守コストが約59万3800ドルに達し、防衛産業基盤の12万社超に影響する可能性があるとした。
米中小企業庁（SBA）は、小規模事業者の関係者との数カ月にわたる協議を経て、2026年11月10日に発効予定だったサイバーセキュリティ成熟度モデル認証（CMMC）プログラムの第II段階を米国防総省が停止したと発表した。SBAによると、現行のCMMCの枠組みは、防衛産業基盤（DIB）の請負業者にとって高コストの順守負担となっており、一部企業は防衛関連業務から撤退、または撤退を検討していた。SBA長官ケリー・レフラー氏は、10万社超の中小企業が影響を受け、順守コストは最大60万ドルに近づいていると述べた。SBAは、国防総省が現在、強固なサイバーセキュリティ対策を維持しつつ、調達変革システムとより広範な防衛サプライチェーン拡大を遅らせる規制上の障壁を取り除くことを目的とした包括的な見直しを進めているとした。SBAによると、CMMCはバイデン政権下の2024年の最終規則で創設され、管理対象非機密情報と連邦契約情報を保護するため、3段階の認証区分を採用している。現行規則では、第II段階で多くの小規模請負業者に対し、契約内容に応じて自己評価または第三者評価の完了を求めている。SBAの分析では、第三者評価が必要な小規模企業の順守コストは認証1件当たり約59万3800ドル、自己評価が認められる企業では約38万8600ドルに達すると試算した。また、計画通りに開始されていれば、第II段階はDIBの小規模企業12万社超を、承認済み評価機関が約100しかない制度に組み込むことになり、コスト上昇や認証の遅延、資格を満たす供給業者の排除を招いていた可能性があるとした。