何があったのか

Mayer Brownは6月27日付の分析で、EO 14412(Securing the Nation Against Advanced Cryptographic Attacks)の主要期限が民間企業にも実質的な影響を及ぼすと指摘した。同事務所の分析ポイントは3つある。1つめは連邦機関の高価値資産(HVA)と高影響システムに関する2030年鍵確立期限と2031年デジタル署名期限、2つめはNISTが自ら実施する2027年12月末までのパイロット移行プロジェクト、3つめはFAR Councilが180日以内に公表する契約業者向け2030年12月31日FIPS(連邦情報処理標準)準拠規則である。同事務所は圧縮された連邦タイムライン、2027年パイロット、2030年契約業者期限が民間セクターの期待の参照点となる可能性が高いと結論づけた。実装の運用詳細は商務省、NSA、DHS、OMB、FAR Councilからの実装ガイダンス発出を通じて具体化される見通しで、加速期限がどのように拘束力のある要件へと変換されるかが今後の焦点となる。

なぜ民間セクターに波及するのか

米国政府はこれまで、IPv6、経路セキュリティ(RPKI)、DNSSECなどの新技術採用において、連邦調達を通じて業界全体の採用を促進する手法を用いてきた。PQC令はこの手法の最新事例であり、Cloudflareのブログでも連邦調達を通じた技術普及の伝統として好意的に評価されている。契約業者への波及メカニズムは3層構造となる。1つめは直接的な調達要件で、連邦機関との契約業者は2030年末までにNIST FIPS準拠(FIPS 203 ML-KEM、FIPS 204 ML-DSA、FIPS 205 SLH-DSA)が求められる。2つめは間接的な参照効果で、連邦調達要件がベースラインとして認識されると、民間企業間の契約や産業標準に組み込まれる。3つめはサプライチェーン全体への波及で、連邦契約業者にサプライしている二次・三次サプライヤーも間接的に対応を求められる。

Mayer Brownはこれは連邦調達フレームワークにサイバーセキュリティ義務を組み込む一般的な傾向の一部と位置づけ、標準化されたサイバーセキュリティ要件やサイバー脅威・インシデント報告規則、Biden政権のソフトウェアセキュリティメモランダムの撤回など、直近数年の連邦調達政策の潮流の延長線上に位置づけている。