48 CFR et CMMC : Comment le scoring SPRS détermine l’éligibilité aux contrats du DoD
Le 32 CFR a défini les exigences du CMMC — les niveaux, les contrôles, les types d’évaluation. Le 48 CFR est la règle qui a rendu ces exigences opposables au moment de l’attribution du contrat. Il a modifié le Defense Federal Acquisition Regulation Supplement (DFARS) pour donner aux officiers contractants l’autorité explicite de préciser le niveau CMMC requis dans un appel d’offres, de vérifier directement le statut de conformité d’un contractant via le Supplier Performance Risk System (SPRS), et de refuser l’attribution du contrat si ce statut n’est pas à jour.
C’est ce mécanisme qui transforme le CMMC d’un simple référentiel de sécurité en un véritable verrou d’accès aux marchés du DoD. Comprendre son fonctionnement — le système de scoring SPRS, l’identifiant unique CMMC (CMMC UID), et ce que « à jour » signifie concrètement — c’est ce qui détermine si le statut de conformité de votre organisation se traduit par une éligibilité aux contrats ou devient un motif de disqualification.
Remarque : les exigences de certification par tierce partie de la Phase 2 du CMMC ont été suspendues par le Department of War en juillet 2026, dans l’attente d’un examen du programme. Les exigences de la Phase 1 relatives au SPRS et à l’auto-évaluation décrites ci-dessous restent pleinement en vigueur. Consultez CMMC Phase II Is Suspended. Your DFARS Obligations Are Not. pour plus de détails.
Résumé exécutif
Idée principale : La règle 48 CFR du DFARS — plus précisément la clause 252.204-7021 — donne aux officiers contractants l’autorité directe d’exiger un niveau CMMC spécifique dans un appel d’offres et de refuser l’attribution du contrat si le score SPRS d’un contractant n’est pas à jour. Elle est en vigueur depuis le 10 novembre 2025.
Pourquoi c’est important : C’est avec cette règle que la conformité CMMC cesse d’être une simple question de posture de sécurité pour devenir une question d’éligibilité contractuelle. Un contractant doté de contrôles de cybersécurité réellement solides mais d’un score SPRS obsolète ou absent peut perdre un appel d’offres pour un simple détail de procédure — les officiers contractants ont pour consigne de traiter un score obsolète exactement comme une absence totale de score.
Points clés à retenir
- Le 48 CFR donne aux officiers contractants l’autorité de faire appliquer le CMMC au moment de l’attribution. Cette règle a ajouté la clause DFARS 252.204-7021, qui permet aux officiers contractants de préciser directement dans un appel d’offres le niveau CMMC requis et de refuser l’attribution du contrat à tout soumissionnaire qui ne l’a pas atteint et maintenu.
- Le SPRS est le système de référence — et un score obsolète équivaut à une absence de score. Les contractants doivent publier des scores d’auto-évaluation à jour ainsi que des attestations annuelles de conformité continue dans le Supplier Performance Risk System. Les officiers contractants ont pour consigne de traiter un score SPRS obsolète comme une absence de score, ce qui peut disqualifier, pour un simple détail de procédure, un contractant par ailleurs conforme.
- L’identifiant unique CMMC (CMMC UID) relie directement votre offre à votre dossier de conformité. Les soumissionnaires font référence à un CMMC UID — généré lors de la publication du statut de conformité dans le SPRS — dans leurs propositions, ce qui donne aux officiers contractants un lien direct et vérifiable entre l’offre et le statut de certification réel du contractant.
- Cette règle est active et appliquée depuis le 10 novembre 2025 — ce n’est pas une exigence à venir. Les exigences de la Phase 1 relevant de cette règle apparaissent déjà dans des appels d’offres et des contrats DoD réels. Les contractants qui soumissionnent aujourd’hui pour de nouveaux marchés du DoD peuvent déjà être tenus de disposer d’un score SPRS à jour pour être considérés comme éligibles.
- Les sous-traitants sont soumis au même mécanisme d’application que les contractants principaux. L’exigence de répercussion (flowdown) signifie que le statut SPRS d’un sous-traitant peut affecter la capacité d’un contractant principal à le faire intervenir sur un programme du DoD — faisant de l’actualité du score SPRS d’un sous-traitant un enjeu qui concerne aussi le contractant principal, et pas seulement le sous-traitant.
Comment le 48 CFR s’inscrit dans la structure réglementaire globale du CMMC
L’élaboration réglementaire du CMMC s’est faite en deux volets, et il est utile d’en comprendre la distinction, car chaque règle joue un rôle différent. Le 32 CFR Part 170, finalisé fin 2024, a établi le programme CMMC lui-même — les trois niveaux de certification, les règles de délimitation du périmètre, les types d’évaluation et les exigences d’attestation. Il définit ce que signifie être conforme.
Le 48 CFR — plus précisément les modifications apportées au DFARS via la clause 252.204-7021 — est ce qui rend ce programme opposable dans le processus contractuel. Il confère aux officiers contractants l’autorité spécifique de préciser un niveau CMMC dans un appel d’offres, de vérifier le statut d’un contractant et d’agir en fonction de ce qu’ils constatent. Là où le 32 CFR constitue le corpus de règles, le 48 CFR en est le mécanisme d’application au moment de la transaction. Pour une vue d’ensemble complète des exigences du programme de certification sous-jacent, consultez notre aperçu de la Règle finale CMMC 2.0.
Comment fonctionnent réellement le scoring SPRS et l’éligibilité aux contrats
Le Supplier Performance Risk System (SPRS) est la plateforme où les contractants publient leurs scores d’auto-évaluation NIST SP 800-171 ainsi que leurs attestations annuelles de conformité continue. En vertu du 48 CFR, cette publication n’est pas une simple formalité administrative — c’est la source de données que les officiers contractants consultent directement lors de l’évaluation de l’éligibilité d’une offre.
Trois éléments déterminent si un contractant franchit ce verrou. Premièrement, le score lui-même doit refléter le niveau CMMC requis pour l’appel d’offres concerné — auto-évaluation de Niveau 1 pour les contrats limités aux FCI, auto-évaluation de Niveau 2 ou certification C3PAO pour les contrats impliquant des CUI, selon la criticité du programme. Deuxièmement, la publication doit être à jour — les auto-évaluations de Niveau 2 sont valables trois ans, mais des attestations annuelles de conformité continue sont exigées dans l’intervalle, et l’omission d’une attestation rend un score par ailleurs valide effectivement obsolète. Troisièmement, la publication doit être rattachée à la bonne entité — l’entité juridique précise qui soumissionne pour le contrat, et non une société mère ou une entité affiliée dont le statut de conformité ne se transfère pas automatiquement.
La conséquence d’une erreur sur l’un de ces points est directe : les officiers contractants ont pour consigne de traiter une publication SPRS obsolète ou absente exactement comme une absence totale de conformité, quelle que soit la solidité réelle de la posture de cybersécurité du contractant. Un contractant doté d’excellents contrôles techniques mais dont l’attestation annuelle a expiré peut perdre un appel d’offres à cause d’une lacune purement procédurale, sans rapport avec sa sécurité réelle.
L’identifiant unique CMMC (CMMC UID)
Le CMMC UID est généré lorsqu’un contractant publie ses résultats d’évaluation dans le SPRS, et il fait office de lien entre un dossier de conformité précis et une offre précise. Les soumissionnaires font référence à leur CMMC UID dans leurs propositions, ce qui donne aux officiers contractants un moyen direct de vérifier que le statut de conformité revendiqué dans une offre correspond effectivement à ce qui figure dans le SPRS — comblant ainsi une faille qui permettrait autrement à un contractant d’affirmer sa conformité dans une proposition sans que cela puisse être vérifié de manière indépendante au moment de l’évaluation.
Maintenir cet identifiant et le dossier SPRS qui le sous-tend à jour fait désormais partie intégrante du développement commercial pour toute organisation souhaitant soumissionner à des marchés du DoD — ce n’est plus une responsabilité isolée du service conformité, déconnectée de l’équipe contrats.
Ce que cela signifie pour les sous-traitants
L’exigence de répercussion (flowdown) étend ce mécanisme d’application à l’ensemble de la chaîne d’approvisionnement. Les contractants principaux sont responsables de s’assurer que leurs sous-traitants détiennent le niveau CMMC adapté aux CUI ou FCI que ces derniers manipuleront — ce qui signifie qu’un score SPRS obsolète chez un sous-traitant peut devenir le problème du contractant principal, au point de compromettre sa propre capacité à exécuter le contrat si un sous-traitant requis ne peut pas démontrer une conformité à jour.
Le statut SPRS des sous-traitants est ainsi devenu un point de vigilance à part entière pour les contractants principaux qui gèrent leur chaîne d’approvisionnement, et non plus une simple question de conformité interne propre à chaque sous-traitant.
Comment Kiteworks facilite la production de preuves de conformité pertinentes pour le SPRS
Kiteworks ne gère pas directement les soumissions au SPRS, mais la plateforme fournit la base de preuves nécessaire pour produire et maintenir un score d’auto-évaluation précis et défendable. Un Data Policy Engine unifié centralise les contrôles d’accès, le chiffrement et la journalisation d’audit sur l’ensemble des canaux par lesquels transitent les CUI — e-mail sécurisé, partage de fichiers sécurisé, transfert de fichiers managé et SFTP — couvrant nativement près de 90 % des exigences du CMMC 2.0 Niveau 2.
Une piste d’audit unique, consolidée et immuable sur l’ensemble de ces canaux fournit aux contractants des preuves à jour et exportables pour étayer leur score SPRS et leur attestation annuelle, au lieu de les contraindre à reconstituer la documentation dans l’urgence à chaque échéance d’attestation. C’est cette cohérence qui permet de maintenir une posture de conformité — et le dossier SPRS qui en découle — réellement à jour, plutôt que conforme sur le papier mais obsolète en pratique.
Pour découvrir comment Kiteworks facilite la production des preuves de conformité derrière votre publication SPRS, demandez une démonstration personnalisée.
Questions fréquentes
La règle 48 CFR a modifié le DFARS en y ajoutant la clause 252.204-7021, qui donne aux officiers contractants l’autorité explicite d’exiger un niveau de certification CMMC spécifique dans un appel d’offres et de vérifier directement le statut de conformité d’un contractant via le Supplier Performance Risk System (SPRS) avant d’attribuer un contrat. Elle est en vigueur depuis le 10 novembre 2025. Là où le 32 CFR, antérieur, définissait les exigences de la certification CMMC, le 48 CFR est ce qui rend cette exigence opposable au moment de l’attribution du contrat.
Les officiers contractants ont pour consigne de traiter une publication SPRS obsolète exactement comme une absence de publication — ce qui signifie qu’un contractant peut être disqualifié d’un appel d’offres même si ses contrôles de cybersécurité sont réellement solides, simplement parce que son score d’auto-évaluation ou son attestation annuelle n’est pas à jour. Les scores d’auto-évaluation de Niveau 2 sont valables trois ans, mais nécessitent une attestation annuelle de conformité continue dans l’intervalle ; l’omission de cette attestation suffit à rendre un score par ailleurs valide effectivement obsolète du point de vue de l’éligibilité contractuelle.
Un identifiant unique CMMC (CMMC UID) est généré lorsqu’un contractant publie ses résultats d’évaluation dans le SPRS, et il est référencé par les soumissionnaires dans leurs propositions de contrats DoD afin de relier une offre précise à un dossier de conformité précis et vérifiable. Il comble une faille qui permettrait autrement à un contractant d’affirmer sa conformité dans une proposition sans qu’un officier contractant puisse la vérifier facilement — le CMMC UID lui donne un moyen direct de confirmer que le statut revendiqué correspond bien à ce qui figure dans le SPRS.
Les deux. Les exigences obligatoires de répercussion (flowdown) impliquent que les contractants principaux sont responsables de s’assurer que les sous-traitants, à tous les niveaux, détiennent le niveau CMMC adapté aux CUI ou FCI qu’ils manipuleront. Un sous-traitant dont la publication SPRS est obsolète ou absente peut compromettre la propre capacité du contractant principal à exécuter le contrat, ce qui fait du statut SPRS des sous-traitants une responsabilité de vigilance de la chaîne d’approvisionnement pour les contractants principaux gérant leur réseau, et non plus seulement une question de conformité interne propre à chaque sous-traitant.
Non. La suspension de la Phase 2 annoncée par le Department of War en juillet 2026 a mis en pause l’exigence de certification obligatoire par tierce partie (C3PAO), qui devait entrer en vigueur en novembre 2026. Les exigences de la Phase 1 appliquées en vertu du 48 CFR et de la clause DFARS 252.204-7021 — auto-évaluation, publication SPRS, attestations annuelles et autorité des officiers contractants de refuser une attribution — sont entrées en vigueur le 10 novembre 2025 et restent pleinement applicables, sans être affectées par la pause de la Phase 2.
Ressources complémentaires
- Article de blog Conformité CMMC pour les petites entreprises : défis et solutions
- Article de blog Guide de conformité CMMC pour les fournisseurs de la DIB
- Article de blog Exigences d’audit CMMC : ce que les évaluateurs doivent constater pour juger votre préparation au CMMC
- Guide Cartographie de conformité CMMC 2.0 pour les communications de contenu sensible
- Article de blog Le coût réel de la conformité CMMC : ce que les contractants de la défense doivent budgétiser