DFARS Class Deviation 2026-O0025, Révision 3 : Ce que cela change réellement pour le CMMC
Les sous-traitants de la défense qui suivent de près le calendrier CMMC ont eu un nouvel élément à considérer le 3 septembre 2026, lorsque le Department of War a publié la
Révision 3 de la dérogation DARS 2026-O0025
. Cette révision intègre la suspension du 13 juillet 2026 de la phase 2 du CMMC directement dans le texte du DFARS Part 240, fournissant aux responsables des contrats des instructions explicites sur la gestion des exigences CMMC dans les appels d’offres et les contrats pendant la poursuite de la revue du programme. Si vous êtes un professionnel IT, du risque ou de la conformité dans le secteur industriel de la défense, voici ce qui a changé, ce qui n’a pas changé, et pourquoi les éléments inchangés sont probablement les plus importants.
Résumé exécutif
Idée principale :
La Révision 3 formalise la suspension de la phase 2 du CMMC dans le langage contractuel, autorise la satisfaction des niveaux 1 et 2 du CMMC par auto-évaluation, et repousse la date à laquelle le CMMC devient une exigence contractuelle automatique et universelle au 10 novembre 2028, soit deux ans plus tard que prévu par le marché. Rien de tout cela ne modifie l’obligation fondamentale de protéger les informations de défense couvertes selon le DFARS 252.204-7012, et le gouvernement conserve l’entière autorité pour réaliser ses propres évaluations NIST SP 800-171 de niveau Moyen et Élevé, indépendamment du statut d’auto-évaluation du sous-traitant.
Pourquoi c’est important :
Un statut CMMC auto-évalué reste une déclaration que vous faites au gouvernement, qui est publiée dans le Supplier Performance Risk System (SPRS) et peut être vérifiée ultérieurement. Si votre auto-attestation ne tient pas lors d’une évaluation menée par le gouvernement, vous n’êtes pas seulement en situation de non-conformité. Vous vous exposez potentiellement à des poursuites au titre du False Claims Act pour une déclaration sur laquelle le gouvernement s’est appuyé lors de l’attribution, de la prolongation ou du renouvellement de votre contrat.
Cinq points clés à retenir
-
L’auto-évaluation est désormais inscrite dans le contrat, ce n’est plus une simple solution temporaire.
La Révision 3 autorise les niveaux 1 et 2 du CMMC en auto-évaluation dans les documents d’achat, et demande aux responsables des contrats de modifier en conséquence les appels d’offres en cours. Ce n’est pas une simple recommandation informelle. C’est désormais l’instruction officielle à suivre. -
Le DFARS 252.204-7012 n’a jamais été suspendu.
La clause imposant aux sous-traitants de protéger les informations de défense couvertes et de mettre en œuvre le NIST SP 800-171 reste pleinement en vigueur. Rien dans la Révision 3 ne modifie cette exigence de sécurité de fond, seulement le mécanisme de vérification. -
Le DoD a conservé son autorité d’évaluation.
La Révision 3 préserve la capacité du gouvernement à réaliser des évaluations NIST SP 800-171 de niveau Moyen et Élevé sur tout système sous-traitant concerné, qu’il soit auto-évalué ou non. Lorsque la Defense Contract Management Agency (DCMA) en réalise une, ses résultats priment sur toute autre évaluation, y compris votre propre statut d’auto-évaluation. -
L’obligation universelle du CMMC n’a pas disparu, elle a été repoussée de deux ans.
Jusqu’au 9 novembre 2028, la clause CMMC n’est insérée que lorsqu’un bureau de programme décide, au cas par cas, qu’un sous-traitant doit atteindre un niveau spécifique. À partir du 10 novembre 2028, l’insertion devient automatique pour tout contrat impliquant des FCI ou CUI. C’est la véritable date de déclenchement, pas novembre 2026, et cela indique que la phase 2 reviendra sous une forme ou une autre, plutôt que de disparaître. -
L’attribution et l’exercice d’options dépendent tous deux d’un statut CMMC à jour.
Les responsables des contrats doivent vérifier le SPRS avant l’attribution, avant l’exercice d’une option et avant la prolongation d’une période d’exécution, et doivent suspendre ces trois actions si le statut n’est plus valide. Un statut périmé en cours de contrat peut bloquer un renouvellement tout autant qu’il peut empêcher de nouveaux marchés.
Ce que fait réellement la Révision 3
La Révision 3 remplace la Révision 2 de la même dérogation et opère trois changements distincts. Premièrement, elle demande aux responsables des contrats de collaborer avec les services demandeurs pour supprimer ou modifier les exigences CMMC dans les nouveaux appels d’offres et contrats existants, conformément au mémo du CIO du Department of War du 13 juillet 2026 suspendant la progression vers la phase 2 du CMMC. Ce mémo autorise l’inclusion des niveaux 1 et 2 du CMMC en auto-évaluation et exige le respect des exigences de base du NIST SP 800-171 Rev 2 selon le DFARS 252.204-7012.
Deuxièmement, et c’est le point qui modifie réellement le calendrier de conformité plutôt que la communication autour de celui-ci, la Révision 3 définit deux cas distincts pour l’insertion de la clause CMMC, 252.204-7021, dans un contrat. Jusqu’au 9 novembre 2028, la clause n’est insérée que lorsqu’un bureau de programme ou un service demandeur décide explicitement qu’un sous-traitant doit atteindre un niveau CMMC donné, au cas par cas, comme c’est le cas actuellement. À partir du 10 novembre 2028, l’insertion devient automatique dès qu’un contrat implique des systèmes qui traitent, stockent ou transmettent des Federal Contract Information ou des Controlled Unclassified Information, sans décision au cas par cas. Cette date du 10 novembre 2028 est la véritable échéance universelle, soit deux ans après la date de novembre 2026 anticipée par le marché.
Troisièmement, la révision traite d’un sujet distinct lié à un contentieux en cours : une dérogation temporaire à l’interdiction concernant les entreprises militaires chinoises prévue à l’article 10 U.S.C. 4663 pour une entité nommée, émise suite à une décision de justice fédérale. Cette disposition n’a aucun lien avec le CMMC, mais elle illustre la façon dont fonctionnent ces dérogations. Elles regroupent les modifications réglementaires en attente au moment de leur publication, et sont conçues pour être révisées à nouveau si nécessaire. La Révision 3 existe parce que la Révision 2 nécessitait une mise à jour. La Révision 4 n’est pas une hypothèse.
Pour les sous-traitants ayant déjà une clause CMMC Phase 2 dans un contrat existant, les responsables des contrats doivent la retirer par modification, soit avant la prochaine période d’option, soit lors de la prochaine modification administrative programmée. Il s’agit d’une mesure opérationnelle concrète, pas d’une simple déclaration de principe sur un site web. Si votre contrat comporte une clause Phase 2, attendez-vous à recevoir une modification, et ne supposez pas que l’absence de modification à ce jour signifie quoi que ce soit concernant vos obligations au titre du 252.204-7012.
Pourquoi l’auto-évaluation ne réduit pas votre exposition
Il est important d’être clair sur les aspects de la Révision 3 qui semblent être un soulagement mais ne le sont pas. L’auto-évaluation peut donner l’impression d’une moindre surveillance. En réalité, elle supprime le seul élément qui séparait autrefois votre déclaration interne de la confiance du gouvernement : un contrôle indépendant par un tiers. Lorsqu’un C3PAO réalise une évaluation, un intermédiaire professionnel atteste de ce qui a été testé. En auto-évaluation, il n’y en a pas. L’exactitude de votre score SPRS devient entièrement votre responsabilité, et ce score reste utilisé par les responsables des contrats pour décider de l’attribution, du renouvellement ou de la prolongation de votre contrat.
Cela importe car la Révision 3 ne touche pas à l’autorité d’évaluation du gouvernement. Le DFARS 252.240-7997 permet toujours au DoD de réaliser des évaluations NIST SP 800-171 de niveau Moyen et Élevé sur les systèmes des sous-traitants concernés, et la clause précise que lorsqu’une évaluation est conduite par la DCMA, ses résultats priment sur toute autre évaluation, y compris votre propre statut d’auto-évaluation. Si une évaluation de niveau Élevé révèle des lacunes non détectées ou mal représentées dans votre auto-évaluation, il ne s’agit pas d’un simple problème administratif. Vous disposez de 14 jours ouvrés après la conclusion de l’évaluation pour fournir des preuves supplémentaires ou contester les conclusions avant que le DoD ne publie le score résumé dans le SPRS. Passé ce délai, ce score fait foi et il est visible par les composantes du DoD prenant les décisions d’attribution.
C’est là que le False Claims Act entre en jeu, non comme une certitude, mais comme un risque à prendre au sérieux. Un statut CMMC auto-attesté constitue une déclaration sur laquelle le gouvernement s’appuie. Si cette déclaration s’avère matériellement inexacte et que le gouvernement peut démontrer que vous auriez dû savoir qu’elle l’était, c’est précisément le type de situation que le False Claims Act vise à sanctionner. L’amende civile pour une fausse déclaration, ajustée à l’inflation en juillet 2025, varie de 14 308 $ à 28 619 $ par déclaration, appliquée à chaque fausse déclaration soumise, et non par contrôle non respecté. Le Department of Justice a signalé plus de 6,8 milliards de dollars de recouvrements au titre du False Claims Act pour l’exercice 2025, un record pour ce texte. Ce chiffre englobe toutes les catégories d’application du FCA, pas seulement les cas de cybersécurité, mais il donne une idée de l’appétit actuel du gouvernement pour l’application de la loi. Personne ne souhaite découvrir les conséquences d’une telle situation lors d’une évaluation gouvernementale sur un contrat déjà attribué.
La suspension n’est pas une abrogation
Un point mérite d’être souligné : la Révision 3 présente ses dispositions CMMC comme la mise en œuvre d’un mémo CIO spécifique, lié à une date précise, concernant une étape de transition déterminée. Il s’agit du langage d’une suspension, pas d’un changement de règle. La règle du programme CMMC au 32 CFR Part 170 reste inchangée. L’exigence pour les sous-traitants manipulant des informations non classifiées contrôlées d’atteindre un statut CMMC vérifié n’a pas disparu ; seuls le calendrier et le mécanisme de vérification ont évolué.
Les sous-traitants qui interprètent cela comme « la fin du CMMC » risquent d’être pris de court lorsque les exigences de la phase 2 réapparaîtront dans les contrats, que ce soit via une nouvelle dérogation, une règle finale ou un autre mémo du CIO. Se préparer dès maintenant à un véritable niveau 2 CMMC, tant que l’auto-évaluation est possible, vous place en avance plutôt qu’en retard.
Une exigence indépendante a été ajoutée dans la même dérogation
Tout dans la Révision 3 ne concerne pas le CMMC. La révision met également en œuvre le nouveau DFARS 240.374, qui interdit d’attribuer un contrat à une entité qui vend, concède sous licence ou transfère autrement des informations personnelles identifiables (PII) couvertes des employés du Department of Defense, y compris les membres des forces armées, à quiconque autre que le gouvernement fédéral. Les exceptions sont limitées : transferts nécessaires à l’exécution du contrat, transferts autorisés par une dérogation ou transferts autorisés par la loi. La clause correspondante, 252.240-7992, est insérée dans les appels d’offres et contrats, y compris pour les produits et services commerciaux, sauf dérogation.
Cette exigence découle de la section 803 du NDAA pour l’exercice 2024 et de la section 836 du NDAA pour l’exercice 2025. Elle ne dépend ni d’un niveau CMMC, ni d’une auto-évaluation, ni d’un calendrier du DoD. Elle est déjà en vigueur et vérifiable, ce qui justifie d’en faire un sujet de conformité à part entière, plutôt que de l’intégrer à la discussion globale sur le CMMC.
Conséquences pour votre posture de conformité
La conclusion pratique est que le fond du travail n’a pas changé. Vous devez toujours mettre en œuvre les 110 contrôles du NIST SP 800-171 Rev 2. Vous devez toujours disposer de preuves documentées, pas seulement d’une case cochée dans le SPRS, car une évaluation gouvernementale peut intervenir à tout moment et la clause correspondante ne demande pas si vous avez un statut d’auto-évaluation ou de C3PAO. Vous devez toujours avoir un plan de sécurité du système qui résisterait à une revue documentaire et à une validation du type d’une évaluation de niveau Moyen ou Élevé.
La meilleure stratégie pour les équipes conformité aujourd’hui consiste à considérer l’auto-évaluation comme une opportunité de combler les lacunes avec moins de pression externe, et non comme une raison de ralentir. Cette fenêtre est étroite, et la Révision 3 elle-même indique qu’elle ne restera pas ouverte indéfiniment.
Comment Kiteworks vous aide
Kiteworks offre aux sous-traitants du secteur de la défense un moyen d’étayer leur score SPRS auto-attesté par des preuves concrètes, et non une simple déclaration sur papier. La plateforme est FedRAMP High In Process, FedRAMP Moderate Authorized depuis 2017, couvre 90 % des exigences CMMC 2.0 niveau 2 en standard, et est validée FIPS 140-3. Pour un sous-traitant qui se prépare à une évaluation NIST SP 800-171 de niveau Moyen ou Élevé par le DoD, cela signifie que la journalisation d’audit, le contrôle des accès et les pratiques de chiffrement sont déjà documentés et en place, et non assemblés dans l’urgence après une notification du gouvernement. Les mêmes fonctions de gouvernance des données, de contrôle des sorties et de journalisation d’audit s’appliquent directement à la nouvelle exigence DFARS 240.374 sur les données des employés, offrant aux sous-traitants une visibilité sur la circulation des informations personnelles identifiables et une traçabilité documentée en cas de questionnement. L’écart entre une déclaration auto-évaluée et une vérification gouvernementale est précisément là où Kiteworks aide les sous-traitants à combler la distance.
Foire aux questions
La Révision 3 du DFARS supprime-t-elle les exigences CMMC ?
Non. La Révision 3 formalise la suspension temporaire de la transition vers la phase 2 du CMMC et autorise les auto-évaluations pour les niveaux 1 et 2 du CMMC. Elle n’abroge pas la règle du programme CMMC au 32 CFR Part 170, et les responsables des contrats doivent toujours vérifier un statut CMMC à jour avant toute attribution, exercice d’option ou prolongation de la période d’exécution.
Le DFARS 252.204-7012 est-il affecté par cette dérogation ?
Non. La Révision 3 préserve explicitement le DFARS 252.204-7012, qui impose aux sous-traitants de protéger les informations de défense couvertes et de mettre en œuvre le NIST SP 800-171. Cette obligation s’applique indépendamment de la phase CMMC en vigueur.
Le DoD peut-il toujours évaluer mon entreprise si j’ai seulement soumis une auto-évaluation ?
Oui. Le DFARS 252.240-7997 maintient l’autorité du DoD à réaliser des évaluations NIST SP 800-171 de niveau Moyen et Élevé sur tout système sous-traitant concerné. Lorsqu’une évaluation est réalisée par la DCMA, ses résultats priment sur votre propre statut d’auto-évaluation.
Combien de temps un statut CMMC auto-évalué reste-t-il valide selon la Révision 3 ?
Un statut Conditionnel de niveau 2 ou 3 est valable 180 jours. Un statut Final de niveau 2 ou 3 est valable jusqu’à 3 ans, et un statut Final de niveau 1 est valable 1 an, chacun nécessitant une attestation annuelle de conformité continue.
Que se passe-t-il si une évaluation gouvernementale révèle des lacunes que mon auto-évaluation a manquées ?
Vous disposez de 14 jours ouvrés après la conclusion de l’évaluation pour fournir des preuves supplémentaires ou contester les conclusions. Passé ce délai, le DoD publie le score résumé dans le SPRS, qui devient la référence pour les décisions d’attribution et d’option.
Quand le CMMC devient-il une exigence obligatoire dans tous les contrats DoD ?
Pas avant le 10 novembre 2028. Avant cette date, la clause CMMC n’est insérée que lorsqu’un bureau de programme décide explicitement qu’un sous-traitant doit atteindre un niveau donné. À partir du 10 novembre 2028, l’insertion devient automatique pour tout contrat impliquant des systèmes qui traitent, stockent ou transmettent des FCI ou CUI.
La Révision 3 contient-elle des éléments sans rapport avec le CMMC ?
Oui. Elle met également en œuvre le nouveau DFARS 240.374, qui interdit l’attribution d’un contrat à toute entité transférant des informations personnelles identifiables couvertes des employés du DoD à des tiers, sauf dans des circonstances limitées. Cette exigence suit son propre calendrier, indépendamment du CMMC.