CMMC 1.0 vs CMMC 2.0 : les cinq changements qui comptent vraiment

CMMC 2.0 n’était pas une simple mise à jour de CMMC 1.0 : il s’agissait d’une simplification délibérée, conçue en réponse directe aux retours du secteur selon lesquels le cadre initial était trop coûteux et trop complexe pour les PME qui constituent l’essentiel de la base industrielle de défense (Defense Industrial Base, DIB). Comprendre précisément ce qui a changé, et pourquoi, est utile à la fois pour les sous-traitants ayant bâti leur programme de conformité autour de la structure initiale de la version 1.0, et pour quiconque tente de s’y retrouver face à des références à la « CMMC » qui ne précisent pas de quelle version il s’agit.

Résumé exécutif

Idée principale : CMMC 2.0 a réduit les cinq niveaux de certification à trois, aligné chaque niveau directement sur les normes NIST existantes plutôt que sur un ensemble de contrôles propre à la CMMC, et rouvert l’option d’auto-évaluation pour le Niveau 1 et (pour certains contrats) le Niveau 2 — revenant ainsi sur l’exigence universelle d’évaluation par un tiers de la version 1.0.

Pourquoi c’est important : Si vous vous appuyez sur une documentation, sur le support marketing d’un éditeur, ou sur la compréhension d’un collègue de la « CMMC » sans précision de version, vous risquez de raisonner selon les hypothèses de CMMC 1.0 — qui ne correspondent plus au fonctionnement actuel du programme. Connaître ces cinq changements précis évite ce type de confusion et clarifie ce que votre organisation doit réellement faire aujourd’hui.

Points clés à retenir

1. CMMC 2.0 a réduit les cinq niveaux de certification à trois. Les Niveaux 1 à 5 du cadre initial ont été regroupés en Niveau 1 (Fondamental), Niveau 2 (Avancé) et Niveau 3 (Expert) — supprimant deux niveaux de granularité que les retours de la DIB jugeaient source de complexité sans réelle valeur ajoutée en matière de sécurité.
2. CMMC 2.0 a directement rattaché chaque niveau aux normes NIST existantes, au lieu d’un catalogue de contrôles propre à la CMMC. Le Niveau 2 correspond désormais directement aux 110 contrôles du NIST SP 800-171, et le Niveau 3 s’appuie sur le NIST SP 800-172 — remplaçant la structure de contrôles indépendante et spécifique à CMMC 1.0 par un alignement sur des normes que de nombreux sous-traitants avaient déjà l’habitude de mettre en œuvre au titre du DFARS 252.204-7012.
3. CMMC 2.0 a rouvert l’option d’auto-évaluation, revenant sur l’exigence universelle d’évaluation par un tiers de la version 1.0. Sous CMMC 1.0, chaque niveau de certification exigeait une évaluation par un tiers. Sous CMMC 2.0, le Niveau 1 fait toujours l’objet d’une auto-évaluation, et même le Niveau 2 autorise l’auto-évaluation pour les contrats qui n’impliquent pas les informations de sécurité nationale les plus critiques — une réduction significative des coûts et des délais pour la majorité de la DIB.
4. CMMC 2.0 a introduit des POA&M limités et assortis d’un calendrier — une possibilité totalement absente de la version 1.0. Dans le cadre initial, une organisation devait avoir pleinement mis en œuvre chaque contrôle exigé avant de pouvoir être certifiée. CMMC 2.0 autorise un Plan of Action and Milestones (plan d’action et jalons) pour un sous-ensemble de contrôles, avec un calendrier de remédiation défini, offrant aux organisations une trajectoire de certification plus réaliste, sans exiger la perfection dès le premier jour.
5. Ces changements répondent directement aux préoccupations de coût et de complexité soulevées par la DIB elle-même. Les PME — qui constituent la majorité de la chaîne d’approvisionnement de la défense — ont signalé que les coûts d’évaluation et l’exigence universelle de recours à un tiers de CMMC 1.0 représentaient une charge disproportionnée par rapport à leur taille. La simplification apportée par CMMC 2.0 a été conçue spécifiquement pour répondre à ces retours, sans affaiblir le niveau de sécurité sous-jacent.

Pourquoi CMMC 2.0 a vu le jour

Publiée en janvier 2020, CMMC 1.0 a posé la première version du cadre de certification cybersécurité du Department of Defense (DoD) — cinq niveaux, chacun exigeant une évaluation par un tiers, avec un ensemble de contrôles propre à la CMMC venant se superposer aux exigences NIST existantes. Dans la pratique, les sous-traitants de la DIB — en particulier les PME — ont jugé ce cadre plus coûteux et procéduralement plus complexe que ne le justifiait son apport en matière de sécurité. Les coûts d’évaluation, la disponibilité limitée des évaluateurs et la granularité de cinq niveaux distincts ont créé des frictions que le DoD a fini par considérer comme un frein plutôt qu’un levier à son objectif de rehausser les standards de cybersécurité de l’ensemble de la chaîne d’approvisionnement de la défense.

Annoncée en novembre 2021 et finalisée via le 32 CFR Part 170 fin 2024, CMMC 2.0 a été conçue précisément pour répondre à ces retours : moins de niveaux, un alignement direct sur des normes que les sous-traitants devaient déjà respecter au titre du DFARS, et un retour à l’auto-évaluation lorsque le profil de risque le permet.

Les cinq changements, en un coup d’œil

Ce qui n’a pas changé

Il est utile de préciser ce que CMMC 2.0 n’a pas modifié, car une partie substantielle du cadre est restée inchangée. L’objectif sous-jacent — vérifier que les sous-traitants de la DIB protègent correctement les Federal Contract Information (FCI) et les Controlled Unclassified Information (CUI) — n’a pas changé. Le critère de sensibilité des données déterminant le niveau requis n’a pas changé non plus : les FCI relèvent toujours du niveau fondamental, les CUI toujours du niveau avancé. Enfin, l’exigence sous-jacente du DFARS 252.204-7012 de mettre en œuvre le NIST SP 800-171 est antérieure aux deux versions de la CMMC et demeure la norme dont l’une et l’autre vérifient, en définitive, la conformité.

Où en sommes-nous aujourd’hui

Le chapitre le plus marquant de l’évolution récente de la CMMC n’est pas un changement de cadre entre la version 1.0 et la 2.0 : c’est la suspension, le 13 juillet 2026, par le Department of War (DoW), de l’exigence de certification par un tiers de la Phase 2, dans l’attente des conclusions d’un groupe de travail sur la réforme (Reform Task Force) attendues vers la mi-septembre 2026.

L’enquête menée par Kiteworks en août 2026 auprès de 273 organisations confirmées travaillant avec le DoW révèle que la DIB n’est pas restée passive pendant cette suspension : 98 % des répondants ont pris au moins une mesure concrète en réaction, et les réaffectations budgétaires se sont orientées vers l’infrastructure de conformité plutôt que vers son abandon. La même étude met également en lumière un véritable écart de confiance qu’il convient de connaître : 96 % des répondants se disaient confiants dans le fait que leur score SPRS auto-déclaré résisterait à un contrôle, mais seuls 60 % de ce groupe disposaient réellement d’une soumission SPRS à jour, et 29 % seulement disposaient à la fois d’un score à jour et d’une plateforme autorisée FedRAMP en appui. Pour l’intégralité des résultats, y compris le règlement du DOJ de juin 2026 dans l’affaire LOGZONE au titre du False Claims Act et une check-list d’auto-évaluation de la préparation, consultez State of CMMC 2.0 Preparedness in the DIB.

Pour connaître le statut actuel de cette suspension et ce qu’elle affecte ou non, consultez CMMC Phase II Is Suspended. Your DFARS Obligations Are Not.

Comment Kiteworks facilite la conformité CMMC 2.0

Kiteworks couvre nativement près de 90 % des exigences du Niveau 2 de CMMC 2.0 — le niveau requis par la majorité des organisations de la DIB dans le cadre actuel — grâce à un Data Policy Engine unifié qui consolide les contrôles d’accès, le chiffrement et la journalisation d’audit sur l’ensemble des canaux : e-mail sécurisé, partage de fichiers sécurisé, transfert de fichiers géré et SFTP.

Le chiffrement AES-256, associé à des modules cryptographiques validés FIPS 140-3, répond directement aux exigences de protection des systèmes et des communications du NIST SP 800-171. Une piste d’audit unique, consolidée et immuable offre aux sous-traitants le type de preuve en temps réel — exactement la fonctionnalité que 47 % des répondants à l’enquête DIB de Kiteworks ont identifiée comme celle qui renforcerait le plus leur confiance dans leur propre auto-attestation — dont dépendent aussi bien l’auto-évaluation que la certification par un C3PAO. Kiteworks détient également l’autorisation FedRAMP Moderate, évaluée de manière indépendante depuis juin 2017, répondant ainsi à l’indicateur de préparation le plus faible relevé dans cette même enquête : seuls 35 % des répondants utilisaient déjà une plateforme autorisée FedRAMP.

Pour découvrir comment Kiteworks peut accompagner la conformité CMMC 2.0 de votre organisation, quel que soit le niveau applicable, planifiez une démonstration personnalisée.

 

Retour au Glossaire des Risques & Conformité