LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

米国政府向けの案件は、契約に付く条項の束が読み解きにくいという指摘が長く続いてきました。禁止事項ごとに調査の水準も報告の期限も違う状態は、供給側から見れば見落としの温床です。

米国のFAR協議会——連邦調達政策局（OFPP）、国防省、一般調達局（GSA）、航空宇宙局（NASA）——が2026年6月23日、連邦調達規則（FAR）の改訂案を連邦官報に掲載しました*1。FAR Case 2026-001で、対象は第1部、第2部、第4部、第33部、第39部、第40部、第52部、第53部です*1。意見の提出期限は2026年7月23日とされました*1。

米国政府や米国の元請へ納入する立場に向けて、IT調達の枠がどう広がるのか、セキュリティの条項がどう束ねられるのか、そして報告の期限がどう変わるのかを一次情報から整理します。

12本の規則案でFARを丸ごと簡素化する

まず全体の位置づけです*1。

出発点は大統領令14275「Restoring Common Sense to Federal Procurement」（2025年4月15日）です*1。文書では、FARが行政の各省庁にまたがる統一的な手続を定めるという当初の目的から、過剰で過度に複雑な規制の枠組みと官僚機構へと変質したとされ、大統領令がFAR協議会とOMBに対し法律で求められる規定または健全な調達に不可欠な規定のみを含む、機敏で実効的かつ効率的な規則を作ることを指示したと説明されています*1。

実行の枠組みも示されています*1。OMBは覚書M-25-26を発し、Revolutionary FAR Overhaul（RFO）を打ち出しました*1。作業は2つの段階に分けられ、第1段階では2025会計年度に、正式な規則制定が行われるまでの間、FARの各部を置き換えるモデル・クラス・デビエーションを発したとされています*1。今回の規則案は正式な規則制定を通じて公衆の意見を得るための第2段階の一つです*1。

方向性は「規制を減らして裁量を戻す」です*1。文書では不要な義務づけの大幅な削減は、方針と実務をどう適用するのが最善かを判断する契約担当官の裁量を明確にし、これを補強することを意図しているとされ、規則の外側に非規制のガイダンスを置いて併用する構想が示されています*1。

第39部が情報技術からICTへ広がった

IT調達の枠そのものが変わります*1。

第39部はACQUISITION OF INFORMATION AND COMMUNICATION TECHNOLOGYへ改称され、適用範囲を定める39.001も情報通信技術（ICT）およびICTを使用する物品とサービスの取得に適用すると書き換えられました*1。理由は明快です*1。情報技術では、運用技術、新興技術、および情報システムを含む、第39部に含まれることになる領域を覆うには十分に広くないと説明されています*1。将来の新興技術を扱う規則制定の枠組みを定めることが目的だと述べられています*1。

39.001には方向性も書き込まれました*1。新しい技術または新興の技術のより速い取得と、セキュリティを確保した配備を促進する戦略を重視するとされ、40 U.S.C. 11103に定義される国家安全保障システム向けの情報技術の取得には適用しないという除外も置かれています*1。

削除されたものもあります*1。FAR 39.105「Privacy」とFAR契約条項52.239-1「Privacy or security safeguards」が、一貫した使われ方をしておらず、プライバシーまたはセキュリティを保護するためにもはや必要でないとして削除の対象になりました*1。理由として52.239-1は、いかなる政府によるアクセスが、いかなる条件の下で許されるのかについて十分な具体性を欠いているとも指摘されています*1。代わりに、システムセキュリティ計画はNISTの管理策PM-1、供給網リスク管理計画はNISTの管理策SR-2により開示から保護されるという整理が示されました*1。

人材の書き方には共通言語が入ります*1。NICEサイバーセキュリティ人材フレームワーク——NIST Special Publication 800-181——について、情報技術支援サービスおよびサイバーセキュリティ支援サービスを調達する際に、サイバーセキュリティ業務のタスク、知識、スキル、および職務ロールを記述するために、各機関が習熟することを求めるとされました*1。各機関は提案、見積り、および報告要件（契約成果物など）がNICEフレームワークに整合していることを検証することが期待されるとされ、受注側には指定された場合に契約成果物をNICEフレームワークと整合させることが求められます*1。人材要件の切り出し方はCMMCとNIST SP 800-171で扱った境界設定の考え方と併せて見ておくところです。

もう一つ、39.105として測位・航法・時刻（PNT）サービスが新設されました*1。根拠は大統領令13905（2020年2月12日）で、PNTサービスに依存する製品またはサービスを取得する際に、連邦PNTサービス取得ガイダンスを用いることを各機関に指示するものです*1。実体はCISAのガイダンス（バージョン1.0、2024年2月）で、NISTのIR 8323r1（2023年1月）のPNTプロファイルを踏まえたものとされています*1。

第40部が3つの区分に束ねられた

ここが条項の読み方を大きく変えます*1。

第40部はINFORMATION SECURITY AND SUPPLY CHAIN SECURITYとして、供給網リスク情報の処理（Processing Supply Chain Risk Information）、セキュリティの禁止と排除（Security Prohibitions and Exclusions）、情報の保護（Safeguarding Information）という3つの主要な区分に再編されます*1。FAR第4部、第25部、第40部の既存の内容を統合し、重複を除いて明確さを高めるとされ、統合の規模は5つの個別の提示条項を1つの提示条項へ、7つの個別の契約条項を1つの契約条項へと説明されています*1。

統合の対象になった規則制定案件も一覧で示されています*1。管理対象非機密情報（FAR Case 2017-016）、特定の電気通信・映像監視の機器やサービスの禁止（2018-017・2019-009）、2018年連邦調達供給網セキュリティ法（2019-018）、FASCSA命令の実施（2020-011）、ByteDanceの対象アプリケーションの禁止（2023-010）、対象外国事業体からの無人航空機システムの禁止（2024-002）です*1。単一の「do not buy」リストを作るとされ、対象の例として特定の中国の電気通信企業、Kaspersky Lab、TikTokが挙げられています*1。

定義も具体化されました*1。critical technologyはそれが欠けるとシステムが適切に稼働または機能できない技術へ改められ、system、telecommunications equipment、telecommunications services、video surveillance equipment、video surveillance servicesの定義が新設されてDFARS 239.7401の定義に整合させるとされています*1。

無人航空機の定義も、2023年米国安全ドローン法および関連の暫定規則を実施するために改め、連邦調達セキュリティ協議会（FASC）が特定する関連要素の一覧について41 CFR 201-1.101への参照を含めるとされました*1。供給網の可視化という論点は米国CBPの輸入開示強化と地続きです。

CUIとクラウドの要件が具体化された

実装に直結する部分です*1。

管理対象非機密情報（CUI）については標準書式（Standard Form XXX）という共通の仕組みが作られます*1。受注者が管理し保護しなければならない情報、CUIインシデントをどこへ報告するか、および契約条項の定めと異なる報告要件がある場合にそれを伝えるための、統一された手順を可能にするものと説明されています*1。現在も法律や政府全体の方針がこれらの保護を義務づけているが、要件が特定され受注者へ共有される標準的な方法がないという認識が背景です*1。

報告の宛先も明記されました*1。国防省の契約についてはdibnet.dod.mil、国防省以外の契約についてはCISAで、加えて報告を提出したことを契約担当官へ通知しなければならないとされています*1。FedRAMPの認証を受けたクラウドサービス提供者が関与し、FedRAMPインシデント連絡手順に従って報告されたものについては、追加の報告を要しないという例外も置かれました*1。下請については下請業者が政府へ直接報告し、契約担当官および該当する場合は次の上位の受注者へ通知する形に改められています*1。

インシデントの範囲は絞られました*1。定義はCUIの許可されていない開示、不適切な改変、もしくは不適切な破壊、またはCUIが存在する情報システムへの許可されていないアクセスに限られ、CUIの不適切な取扱い（表示がない、または誤った表示など）は、それによって許可されていない開示、不適切な改変、または不適切な破壊が生じた場合を除き、CUIインシデントではないと明確化されています*1。表示のないCUIや誤った表示の報告期限も発見から72時間へ延長されました*1。

他法との衝突にも逃げ道が置かれました*1。他の法律または規則との抵触により条項の要件のいずれかを守れないと判断した場合、受注者はその判断から72時間以内に契約担当官へ通知しなければならないという項が追加され、代替の管理策について各機関が受注者と協働できる柔軟性を与えると説明されています*1。受注者の責任を定めていた文言と政府による受注者の施設およびシステムへのアクセスに関する遵守要件は削除されます*1。

受注側の設計と運用に置き換える

規則案の段階ですが、対応の前提が変わる箇所がはっきりしています。条項が束ねられる方向なので、条項ごとに作り込んだ社内手順ほど作り直しが要ります。

第一に、報告の窓口と時計を一本化することです。期限が発見から72時間にそろい、報告は1回とされました*1。禁止事項ごとに別の期限で運用している台帳があれば、発見時刻の記録と初報の様式を共通化する余地があります。初報はその時点で入手可能な該当データ要素を可能な限り含めて提出し、不足があれば調査が実質的に完了した後に続報を提出するという組み立てです*1。報告の設計はCIRCIAのサイバーインシデント報告規則と重ねると整理しやすい部分です。

第二に、CUIの境界を資産の単位で持つことです。キーボード・映像・マウスを超える処理、保存、送信を行わないVDIクライアントの端末は対象外の資産とされました*1。構成でそれを担保できているかが分かれ目になるため、シンクライアントの設定値と、ローカル保存やクリップボード転送の禁止を証跡として残せる作りが要ります。

第三に、クラウドと管理策の基準値を集約することです。クラウドへの要求はFedRAMP Moderateベースラインと同等のセキュリティ要件で、認証そのものではなく同等性で書かれています*1。標準書式にはNIST SP 800-171改訂3の組織定義パラメータを示すとされ、政府横断で1つの標準化された手法に従えるようにする意図も述べられています*1。パスワードの長さや監査ログの保存期間のような値を案件ごとに握っているなら、基準値を一箇所へ寄せるほうが後の差分が小さくなります。

第四に、調査の水準を明文化しておくことです。内部監査または第三者監査は必要ない、デューデリジェンスは自らの保有外の情報を集めることまで求めないと書かれました*1。何をもって合理的な調査を尽くしたとするかを社内で定義しておけば、応札のたびの判断が軽くなります。米国向けの管理策やデータの取扱いは米国のデータセキュリティ規則で扱った論点とも併せて棚卸ししておくところです。

誤解されやすいのは、これが確定した規則だという受け取り方です。文書は規則案で、意見は2026年7月23日までに提出されたものが最終規則の形成において考慮されるとされています*1。第52部についてはすべての提示条項と契約条項を新たな節へ移して番号を振り直すことを検討しているとも書かれており、条項番号の前提も動きうる状況です*1。適用は契約ごとに異なりますので、確認を挟みながら進めてください。

まとめ：FAR改訂案で押さえる3つの視点

米国のFAR協議会——連邦調達政策局、国防省、一般調達局、航空宇宙局——は2026年6月23日、連邦調達規則（FAR）の改訂案を連邦官報に掲載しました。FAR Case 2026-001で、対象は第1部、第2部、第4部、第33部、第39部、第40部、第52部、第53部です。大統領令14275「Restoring Common Sense to Federal Procurement」を実施するもので、FAR全体を簡素化する12本の規則案のうちの1本と位置づけられています。押さえたい視点は三つあります。第一に、IT調達の枠の拡張。第39部は情報通信技術（ICT）の取得へ改称され、情報技術では運用技術、新興技術、情報システムを覆うには十分に広くないと説明されています。従来のプライバシー条項39.105と契約条項52.239-1は削除の対象となり、代わりにNICEサイバーセキュリティ人材フレームワーク（NIST SP 800-181）の用語で人材要件を書くことが入ります。第二に、セキュリティ条項の統合。第40部は供給網リスク情報の処理、セキュリティの禁止と排除、情報の保護という3つの区分へ再編され、5つの提示条項が1つに、7つの契約条項が1つに束ねられます。合理的な調査の基準は1つに整理され、内部監査や第三者監査は必要ないと明確化されました。報告は発見から72時間の1回に統一されます。第三に、CUIとクラウドの具体化。標準書式で対象のCUIと管理策を示す仕組みが作られ、クラウドサービス提供者にはFedRAMP Moderateベースラインと同等のセキュリティ要件が求められます。

よくある質問

出典

1. *1　参考：FAR協議会（OFPP・国防省・GSA・NASA）「Federal Acquisition Regulation: Revolutionary Federal Acquisition Regulation Overhaul Parts 1, 2, 4, 33, 39, 40, and 53」（連邦官報 2026年6月23日・規則案）（https://www.federalregister.gov/documents/2026/06/23/2026-12559/federal-acquisition-regulation-revolutionary-federal-acquisition-regulation-overhaul-parts-1-2-4-33）。規則案の連邦官報掲載。FAR Case 2026-001と意見締切2026年7月23日、大統領令14275とOMB覚書M-25-26およびRFOの2段階、第39部のICTへの改称と39.001の適用範囲、39.105とFAR 52.239-1の削除理由、NICEフレームワーク（NIST SP 800-181）の導入、PNTサービスと大統領令13905・NIST IR 8323r1、第40部の3区分への再編と条項の統合、単一の「do not buy」リスト、合理的な調査の基準と72時間の報告、対象調達措置と41 U.S.C. 4713、CUIの標準書式・報告先・インシデント定義・FedRAMP Moderate相当・NIST SP 800-171改訂3の組織定義値・VDIの対象外資産の各記述の一次情報として。確認日は2026年9月7日。（2026年9月確認）
2. *2　参考：同 規則案（連邦官報掲載 全文テキスト）（https://www.federalregister.gov/documents/full_text/text/2026/06/23/2026-12559.txt）。上記の連邦官報掲載全文。I. Background、II. Discussion and Analysis（F. Summary of Changes to FAR Part 39／G. Summary of Changes to FAR Part 40 ほか）、および第39部・第40部の規則本文案（39.001 Applicability、39.002 Definitions ほか）の原文の確認に使用。確認日は2026年9月7日。（2026年9月確認）

Tweet