CAGE Code / NCAGE Codeとは何か

はじめに

CMMCを日本企業の実務に落とすとき、セキュリティ要求だけを見ていると見落とす論点があります。それが、CAGE Code / NCAGE Codeです。

CMMC、NIST SP 800-171、CUI、SSP、SPRSという言葉に比べると、CAGE CodeやNCAGE Codeは地味に見えます。しかし、米国防衛調達の実務では、企業や施設を識別するための重要なコードであり、SAM.gov登録、SPRSへの評価結果登録、CMMC Assessment Scope、入札・契約管理に関係します。

日本企業、とくに在日米軍基地案件、建設・設備・設計・保守案件に関わる企業にとっては、CAGE / NCAGEを「登録番号の話」として片付けない方がよいです。これは、米国防衛調達の入口であり、CMMC評価結果やCUIを扱うシステム範囲を契約実務に接続するための基礎情報です。

結論

CAGE Code / NCAGE Codeは、CMMCのセキュリティ要求そのものではありません。CAGE / NCAGEを取得したからといって、CMMC Level 1やLevel 2に対応したことにはなりません。

しかし、CAGE / NCAGEは、米国政府・防衛調達における企業・施設識別、SAM.gov登録、SPRSへの評価結果登録、CMMC Assessment Scopeの記録に関係します。DLAは、CAGE Codeを政府機関や防衛機関へのサプライヤー等に割り当てられる一意の識別子であり、特定所在地の施設を標準的に識別する方法だと説明しています。参考: DLA – CAGE Code

また、FAR 52.204-16は、米国外のSAM登録者について、SAM登録前にNCAGE Codeを取得する必要があるとしています。参考: FAR 52.204-16 – Commercial and Government Entity Code Reporting

CMMCとの関係でも、32 CFR Part 170は、Level 1自己評価、Level 2自己評価、Level 2 certification assessmentなどの入力情報として、CMMC Assessment Scopeで扱われる情報システムに関連するindustry CAGE code(s)を含める構造を示しています。参考: 32 CFR Part 170 – CMMC Program

したがって、日本企業にとってCAGE / NCAGEは、単なる事務登録ではなく、CMMC対応を米国防衛調達の登録・評価・契約実務に接続するための識別情報です。

CAGE Codeとは何か

CAGE Codeは、Commercial and Government Entity Codeの略です。米国政府・防衛調達において、企業、組織、施設、所在地を識別するために使われます。

ここで重要なのは、CAGE Codeが「会社名だけ」を識別するものではないという点です。DLAは、CAGE Codeが特定所在地の施設を標準的に識別する方法であると説明しています。つまり、同じ企業グループであっても、拠点、法人、所在地、登録状態によって扱いが変わり得ます。参考: DLA – CAGE Code

CMMCの文脈では、この点が重要です。CMMC Assessment Scopeは、抽象的な会社全体ではなく、FCIまたはCUIを処理・保存・送信する情報システムと、その保護機能を担う資産を対象にします。その評価結果を契約実務に接続するとき、どの法人・どの拠点・どのCAGE Codeに紐づくのかが問題になります。

NCAGE Codeとは何か

NCAGE Codeは、NATO Commercial and Government Entity Codeです。米国外の企業や組織が米国政府・NATO関連調達に関わる際に使われるCAGE系の識別コードです。

日本企業は米国外の事業者です。そのため、米国のSAM.gov登録や米国政府調達への参加を考える場合、通常はCAGE Codeという言葉だけでなく、NCAGE Codeを意識する必要があります。

DLAのNATO CAGE案内では、米国外に所在する企業がCAGE / NCAGE / SAMに関する手順に従うこと、NSPA側で登録する流れが示されています。参考: DLA – NATO CAGE

FAR 52.204-16でも、米国内または米国外領域の事業者にはDLA CAGE BranchがCAGE Codeを割り当てる一方、米国外の事業者にはNATO加盟国またはNSPAなどが割り当てるコードがあり、米国外のSAM登録者はSAM登録前にNCAGE Codeを取得する必要があると整理されています。参考: FAR 52.204-16

UEI、SAM.gov、CAGE / NCAGEの関係

CAGE / NCAGEを理解するには、UEIとSAM.govとの関係も押さえる必要があります。

UEIはUnique Entity IDの略で、SAM.gov上で企業等を識別するためのIDです。SAM.govは、米国政府との取引、入札、契約、助成などに関係する登録基盤です。SAM.govの外部リソースページには、CAGE Code SearchとNCAGE Code Requestへの導線が示されており、国際事業者がNCAGEを申請・更新する入口も案内されています。参考: SAM.gov – External Resources

実務では、次のように整理すると分かりやすいです。

UEI：SAM.gov上で企業・組織を識別するID
CAGE Code：主に米国内の企業・施設を識別するコード
NCAGE Code：米国外の企業・施設を識別するNATO CAGE系コード
SAM.gov：米国政府調達・登録の基盤
SPRS：CMMCやNIST SP 800-171評価結果など、防衛調達上のサプライヤーリスク情報に関係する基盤
PIEE：DoD調達関連システムへの入口となる環境

これらは同じものではありません。しかし、防衛調達の実務では互いに接続します。日本企業が在日米軍基地案件やDoD関連案件へ参加する場合、セキュリティ対応だけでなく、登録・識別・評価結果の記録先まで見ておく必要があります。

CMMCとCAGE / NCAGEの関係

CMMCの評価で重要なのは、FCIまたはCUIを処理・保存・送信する情報システムの範囲です。CAGE / NCAGEは、その範囲を契約・調達上の企業識別に接続する役割を持ちます。

32 CFR Part 170では、Level 1自己評価結果をSPRSに入力する際、CMMC Level、CMMC Status Date、CMMC Assessment Scope、対象情報システムに関連するindustry CAGE code(s)、compliance resultなどを含めることが示されています。また、Level 2自己評価やLevel 2 certification assessmentでも、対象情報システムに関連するindustry CAGE code(s)が評価結果の入力項目に含まれます。参考: 32 CFR Part 170 – CMMC Program

ここで注意すべきなのは、CAGE / NCAGEはCMMCレベルを決めるものではないということです。Level 1かLevel 2かは、主にFCIかCUIか、どの情報をどのシステムで処理・保存・送信するかによって決まります。

CAGE / NCAGEは、評価対象の情報システムや組織を、SPRSや契約実務の中で識別するための情報です。つまり、CMMCの「中身」ではなく、CMMCを調達システムへ接続するための識別キーの一部です。

在日米軍基地案件でなぜ重要になるのか

在日米軍基地案件では、CAGE / NCAGEが盲点になりやすいです。

建設会社、設備会社、設計事務所、保守会社から見ると、案件は日本国内の現場に見えます。現場も日本、協力会社も日本、業務も日本語中心で進むことがあります。そのため、米国防衛調達の登録や識別コードを、後回しにしてしまいがちです。

しかし、在日米軍基地・米軍施設案件は、契約構造上、DoDや米軍関連機関の調達と接続します。USACE Japan Districtの公式ページでは、2025年11月10日以降に発行されるすべての入札公告についてBasic、つまりLevel 1以上の認証を要求する予定であることが案内されています。参考: USACE Japan District – Doing Business with the Japan District

このような案件で、入札、契約、SAM.gov、SPRS、CMMC評価結果、CAGE / NCAGEが別々に動いていると、実務はすぐに混乱します。特に建設・設備・設計会社では、IT部門だけでなく、営業、契約、積算、現場、品質管理、協力会社管理が関係します。

CMMC Level 2が論点になる場合、CUIを扱う情報システムの範囲と、評価結果を紐づける企業・拠点識別の整合性が重要になります。

建設業界で起きやすい実務上の混乱

建設業界では、次のような混乱が起きやすくなります。

第一に、登録主体と実際の業務主体がずれることです。入札主体は本社だが、図面や写真を扱うのは支店、現場事務所、JV、協力会社というケースがあります。この場合、どの組織・拠点・情報システムがCMMC Assessment Scopeに関係するのかを整理しなければなりません。

第二に、SAM.govやNCAGEの登録担当と、CMMC対応担当が別組織になることです。営業・契約部門が登録を進め、IT・セキュリティ部門がCMMC対応を進めると、SPRSに登録する情報、CAGE / NCAGE、SSP上のスコープが一致しない可能性があります。

第三に、協力会社やJVへの情報共有です。図面、BIM/CAD、RFI、完成図、写真、検査記録が外部に流れる場合、契約上のflowdownやCMMC status確認が必要になることがあります。CAGE / NCAGEは自社だけの問題ではなく、誰にどの情報を渡すかというサプライチェーン管理にも関係します。

第四に、CAGE / NCAGEを「取得すれば終わり」と考えることです。取得や登録は入口です。CMMC上は、FCI/CUIを扱うシステム境界、アクセス制御、ログ、暗号化、MFA、外部サービス、証跡、責任分界が別途必要です。

SSPにどう落とし込むか

SSPでは、CAGE / NCAGEそのものを長く説明する必要はありません。しかし、CMMC Assessment Scopeと企業識別の関係は、実務上重要です。

SSPでは、少なくとも次を整理しておくべきです。

CMMC Assessment Scopeに含まれる情報システム
そのシステムが紐づく法人、拠点、事業単位
関連するCAGE / NCAGE
SPRSに登録する評価結果との対応
SAM.gov登録主体との対応
外部サービス、協力会社、JV、下請との関係
CUIを処理・保存・送信する場所と、CUIを保護する資産

ここでの目的は、CAGE / NCAGEをSSPの主役にすることではありません。目的は、CMMC評価範囲、契約主体、登録主体、運用主体、証跡の所在を矛盾なく説明できるようにすることです。

実務で確認すべき問い

日本企業がCAGE / NCAGEとCMMCを結び付けて確認するなら、次の問いから始めるとよいです。

自社は米国政府・DoD・在日米軍基地・USACE Japan District等の案件に直接または間接に関係しているか。
SAM.gov登録が必要な立場か。必要な場合、UEI、NCAGE、登録主体は整理されているか。
CMMC評価結果をSPRSに登録する必要があるか。
SPRSに登録するCMMC Assessment Scopeと、関連するCAGE / NCAGEは一致しているか。
CUIを扱う情報システムは、本社、支店、現場、米国子会社、クラウド、MSP、協力会社のどこにあるか。
CAGE / NCAGEを持つ主体と、実際にCUIを処理・保存・送信する主体がずれていないか。
協力会社やJVにFCI/CUIが流れる場合、flowdownとCMMC status確認をどう行うか。
登録情報の更新、組織変更、拠点変更、契約変更がCMMC側に反映される運用になっているか。

この問いに答えられない状態でCMMC対応を進めると、技術的には対策を進めていても、契約・登録・評価結果の接続で詰まる可能性があります。

よくある誤解

第一の誤解は、「CAGE / NCAGEを取ればCMMC対応が終わる」というものです。CAGE / NCAGEは企業・施設を識別する調達上のコードであり、CMMCのセキュリティ要求ではありません。

第二の誤解は、「CMMC Level 2かどうかはCAGE / NCAGEで決まる」というものです。Level 2はCUIを処理・保存・送信するかどうかが中心です。CAGE / NCAGEは評価結果や契約実務に紐づく識別情報です。

第三の誤解は、「日本国内の米軍施設案件なら日本の登録だけでよい」というものです。案件の契約構造によっては、SAM.gov、UEI、NCAGE、SPRS、CMMC statusが関係します。

第四の誤解は、「登録は営業、CMMCはITで分けて考えればよい」というものです。登録主体、契約主体、CUIを扱うシステム、SPRSの評価結果がずれると、実務上説明が崩れます。

第五の誤解は、「親会社の登録で子会社や現場もカバーできる」というものです。拠点、法人、契約主体、情報システム、評価範囲が一致しているかを確認する必要があります。

本質

CAGE / NCAGEの本質は、CMMC対応を米国防衛調達の企業識別・契約・評価記録に接続することです。

CMMCはセキュリティ要求であり、CAGE / NCAGEは調達上の識別情報です。両者は同じではありません。しかし、DoD案件の実務では、CUIを扱うシステム、CMMC Assessment Scope、SPRS評価結果、SAM.gov登録、契約主体が接続されます。

ここを理解していないと、CMMCを技術対策だけで進め、最後に登録・契約・評価結果の整合性で止まることになります。

まとめ

CAGE Code / NCAGE Codeは、日本企業がCMMCを実務として理解するうえで見落としやすい基礎論点です。

CAGE / NCAGEはCMMC要求そのものではありません。しかし、SAM.gov、UEI、SPRS、CMMC Assessment Scope、在日米軍基地案件、建設・設備・設計・保守案件の入札・契約実務と関係します。

日本企業は、CMMCを「セキュリティ管理策の実装」だけで見るのではなく、米国防衛調達の登録・識別・評価記録・契約責任の構造まで含めて見る必要があります。特に在日米軍基地案件では、NCAGE / SAM.gov / SPRS / CMMC Level 1・Level 2の関係を早い段階で整理しておくべきです。

次は「日本企業と米国子会社」です。CUI、管理者権限、クラウド、ID管理、責任分界が、日本本社と米国子会社の間でどのように絡むのかを整理します。