La phase II du CMMC est suspendue. Vos obligations DFARS, elles, demeurent.

Une simple annonce du Department of War vient de suspendre le seul contrôle externe qui séparait l’auto-évaluation de conformité d’un sous-traitant de la défense d’une enquête au titre du False Claims Act. Le 13 juillet 2026, le Department of War a suspendu la Phase II du CMMC – l’exigence d’évaluation par un tiers qui devait entrer en vigueur le 10 novembre 2026 – et la presse spécialisée a immédiatement présenté cette décision comme un allègement réglementaire. Ce n’en est pas un. Il s’agit d’une redistribution du risque, et les organisations qui y voient une pause sont celles qui seront les plus exposées lorsque la période de révision prendra fin.

Kirsten Davies, Chief Information Officer du Department of War, a annoncé la suspension après que des données internes ont révélé un problème de capacité insoluble : plus de 100 000 entreprises du Defense Industrial Base (DIB) avaient besoin d’une évaluation tierce par un Certified Third-Party Assessor Organization (C3PAO), alors qu’il n’existait qu’environ 100 C3PAO pour les réaliser. « Les chiffres ne collent tout simplement pas », a déclaré Davies aux journalistes, selon la couverture de Breaking Defense du 13 juillet. Les Phases 3 et 4 du CMMC ont également été suspendues, dans l’attente d’une révision de 60 jours menée par une nouvelle CMMC Reform Task Force, et le Department n’exclut pas d’annuler totalement le programme à l’issue de cette révision.

Ce que la suspension de la Phase II du CMMC change réellement pour les sous-traitants du DIB

Rien de tout cela ne modifie les obligations légales actuelles des sous-traitants de la défense. La clause DFARS 252.204-7012 impose aux contractants et sous-traitants de protéger les informations de défense couvertes bien avant l’existence du CMMC, et le communiqué du Department précise clairement que la suspension « n’élimine pas l’obligation de protéger les données fédérales ». Les 110 contrôles de la version 2 du NIST 800-171 restent inchangés. L’auto-évaluation se poursuit. Ce qui est suspendu, c’est la vérification par un tiers – et pour un responsable conformité, ce n’est pas du tout le même soulagement que ce que laissent entendre les gros titres.

Kiteworks accompagne des sous-traitants du Defense Industrial Base confrontés à ce type de revirement réglementaire, et le schéma est bien connu : une annonce de dérégulation crée un faux sentiment de sécurité, précisément au moment où le risque sous-jacent s’est aggravé, et non l’inverse.

Cette distinction est essentielle, car les équipes conformité, les responsables des contrats et les dirigeants lisent tous les mêmes gros titres, qui mettent davantage l’accent sur le soulagement que sur le risque. Un RSSI qui tire la mauvaise leçon de cette annonce risque de recommander lors de la prochaine réunion de direction de déprioriser un investissement en sécurité qu’il faudrait au contraire accélérer. Un General Counsel qui croit que les clauses CMMC existantes ont disparu risque de manquer une obligation de « flow-down » toujours en vigueur dans un sous-contrat actif.

Bien cadrer la situation dans les 48 heures suivant une telle annonce n’est pas un exercice de communication – c’est ce qui distingue une organisation qui comble ses lacunes de conformité pendant la fenêtre de 60 jours d’une autre qui les découvre lors d’une enquête au titre du False Claims Act dix-huit mois plus tard. Un audit de la gestion des risques supply chain, qui recense toutes les clauses de « flow-down » CMMC dans les sous-contrats actifs, doit être la première action du service juridique d’un contractant principal cette semaine.

Résumé des points clés

1. La Phase II du CMMC est suspendue, pas supprimée.

Le Department of War a suspendu l’exigence d’évaluation tierce le 13 juillet 2026, mais l’auto-évaluation de la Phase 1 et l’obligation DFARS 252.204-7012 restent pleinement en vigueur.

2. La suspension est due à un problème de capacité, pas à un revirement de politique.

Plus de 100 000 entreprises du Defense Industrial Base avaient besoin d’une évaluation tierce, alors qu’il n’existait qu’environ 100 C3PAO pour les réaliser – un goulet d’étranglement structurel qu’une révision de 60 jours ne peut pas résoudre.

3. La suppression du contrôle tiers accroît l’exposition au False Claims Act.

Sans C3PAO pour détecter une auto-évaluation SPRS inexacte, la responsabilité repose désormais entièrement sur le contractant – les sanctions civiles s’élèvent actuellement à environ 13 946 à 27 894 dollars par fausse déclaration, plus des dommages triplés, et le gouvernement a déjà conclu 15 règlements liés à la cybersécurité depuis 2021 au titre du False Claims Act.

4. Les obligations de « flow-down » et les appels d’offres existants ne sont pas réinitialisés.

Les contractants principaux doivent toujours imposer les exigences CMMC Niveau 2 à leurs sous-traitants, et les contrats mentionnant le Niveau 2 restent en vigueur jusqu’à modification formelle, contrat par contrat.

5. Une fenêtre de commentaires publics se clôture le 14 août 2026.

L’appel à commentaires du Department demande directement comment les outils de sécurité commerciaux pourraient être pris en compte dans un futur cadre, ce qui en fait une opportunité à saisir maintenant plutôt qu’une raison d’attendre. Utilisez la méthodologie d’analyse des écarts CMMC dès maintenant, avant la réouverture de la file d’attente des évaluateurs, pour identifier les écarts techniques à combler pendant cette période.

L’origine du blocage et pourquoi une révision de 60 jours ne le résout pas

Commençons par les raisons de cette suspension, car elles sont plus importantes que l’annonce elle-même. Le CMMC Niveau 2 exige une évaluation triennale par un C3PAO pour les sous-traitants traitant des Covered Defense Information (CDI) ou des Controlled Unclassified Information (CUI). Ce flux d’évaluation n’a jamais été dimensionné pour absorber le volume aujourd’hui reconnu par le Department. Selon le rapport du 13 juillet de Washington Technology, la suspension du DoW s’étend à la Phase 3 du CMMC (évaluations Niveau 3 initialement prévues pour novembre 2027) et à la Phase 4, et le Department a publié un appel à commentaires (RFI) sur SAM.gov le même jour, avec des réponses attendues pour le 14 août 2026.

Ce RFI mérite d’être lu attentivement, car il indique la direction prise. Il invite les entreprises à se prononcer sur les facteurs de coût et la charge administrative liés à la conformité CMMC, sur les contrôles NIST 800-171 qui apportent réellement une réduction du risque, et – point crucial – sur la façon dont le Department pourrait reconnaître les outils de cybersécurité commerciaux et les services managés dans un futur cadre de conformité, au lieu d’exiger une évaluation tierce distincte pour chaque point.

Ce n’est pas un programme supprimé. C’est un programme repensé autour de la capacité technique démontrable, appuyée par des outils, sur laquelle l’auto-évaluation doit désormais reposer seule.

Le ratio 100 000 pour 100 cité par Davies est un problème structurel, pas temporaire. Former et accréditer de nouveaux C3PAO prend des années, pas les 60 jours prévus pour cette révision. Lorsque la Phase II reprendra – et les responsables du DoW ont bien précisé qu’ils n’excluent pas d’annuler le programme, mais n’ont pas non plus confirmé sa poursuite – le même goulet d’étranglement subsistera, compressé dans la fenêtre fixée par la Reform Task Force.

Les organisations qui profitent de cette pause pour renforcer leur préparation technique passeront en priorité. Celles qui y voient un prétexte pour se désengager devront, à la reprise, se battre avec toutes les autres pour accéder aux rares évaluateurs disponibles. La checklist de conformité CMMC fournit l’inventaire structuré qui transforme « renforcer la préparation technique » en une liste d’actions documentées et hiérarchisées, et non en une simple intention.

Ce n’est pas le premier report du CMMC, et l’historique compte

Ceux qui voient dans cette suspension la preuve que le CMMC est voué à l’échec devraient regarder comment le programme en est arrivé là. Le Department avait initialement lancé le CMMC 1.0 en 2020 avec cinq niveaux de maturité et un déploiement progressif contrat par contrat.

Cette version a été abandonnée en 2021 au profit du CMMC 2.0, une structure simplifiée à trois niveaux alignée sur le NIST 800-171, après des critiques du secteur sur le coût et la complexité. Le processus de réglementation 2.0 lui-même a pris environ trois ans, passant par les circuits réglementaires 32 CFR et 48 CFR avant la publication de la règle finale du CMMC en 2024 et l’entrée en vigueur des exigences d’auto-évaluation de la Phase 1 en novembre 2025.

C’est ce schéma qui mérite l’attention : chaque version précédente de ce programme a été révisée en réponse à un problème d’implémentation similaire à celui qui motive aujourd’hui la suspension de la Phase II. La complexité du CMMC 1.0 a mené à son remplacement. Le manque de capacité d’évaluation du CMMC 2.0 entraîne la suspension de la Phase II. Dans les deux cas, l’objectif – protéger les informations non classifiées circulant dans la supply chain de la défense – n’a jamais disparu.

Le mécanisme change, pas l’obligation. Lire la suspension d’aujourd’hui à la lumière de cet historique doit inciter à la prudence, et non à l’optimisme, quant à la fin du contrôle tiers plutôt qu’à une nouvelle itération.

Pourquoi la suppression du contrôle tiers augmente l’enjeu de l’auto-évaluation

Voici l’aspect qui a été occulté sous les titres « CMMC est mort » : supprimer un contrôle tiers ne retire pas le risque du système. Cela transfère tout le risque sur la véracité de l’attestation du contractant.

Le CMMC Niveau 1 et les exigences transitoires de la Phase 1 ont toujours reposé sur l’auto-évaluation, avec publication des résultats dans le Supplier Performance Risk System (SPRS) et validation par un dirigeant de l’entreprise.

Dans le dispositif de la Phase II (désormais suspendue), un C3PAO devait vérifier de façon indépendante la note auto-déclarée avant qu’elle ne devienne déterminante pour l’attribution d’un contrat. Avec la suspension, une note SPRS inexacte n’est plus détectée par un tiers lors du cycle d’évaluation – c’est une déclaration faite directement au gouvernement fédéral, sans vérification, que le False Claims Act peut examiner.

Les mécanismes de cette exposition sont bien établis et antérieurs au CMMC. L’initiative Civil Cyber-Fraud du Department of Justice, lancée en octobre 2021, utilise le False Claims Act pour poursuivre les fausses déclarations liées à la cybersécurité de la part de contractants et de bénéficiaires de subventions, et la disposition « qui tam » du texte permet à un particulier – employé mécontent, concurrent, ancien sous-traitant – de porter plainte directement et de partager tout recouvrement.

Les sanctions civiles s’élèvent actuellement à environ 13 946 à 27 894 dollars par fausse déclaration, indexées sur l’inflation, en plus de dommages triplés. Le gouvernement n’hésite pas à agir : le DOJ a conclu un règlement de 8,4 millions de dollars contre Raytheon et son successeur Nightwing en 2025 pour fausse conformité au NIST 800-171, et une affaire en cours contre Georgia Tech allègue que l’université a soumis une fausse note d’évaluation cybersécurité au DoD – précisément le type de défaillance qu’un contrôle C3PAO aurait pu détecter.

Ce calcul ne nécessite pas de violation effective. Il suffit qu’une note auto-déclarée ne résiste pas à l’examen – et sans C3PAO pour détecter l’écart, le contractant est la seule ligne de défense. Un audit formel des risques, mené selon le référentiel NIST 800-171 et documenté avec la même rigueur probatoire qu’un C3PAO, reste la meilleure façon de vérifier qu’une note SPRS auto-déclarée résistera à un contrôle externe.

C’est pourquoi présenter cette suspension comme « moins de pression » inverse la logique du risque. Moins de pression tierce sur le papier signifie plus de responsabilité première en pratique. Un responsable conformité qui comprenait son exposition le 12 juillet doit la percevoir encore plus nettement le 14 juillet, pas moins.

Les obligations contractuelles de « flow-down » ne sont pas réinitialisées par le calendrier du Department

Un autre point passé sous silence : la suspension décidée par le DoW concerne les exigences d’audit interne du Department, pas les obligations entre contractants principaux et sous-traitants, ni les exigences déjà présentes dans les appels d’offres. Les contractants principaux dont les sous-contrats comportent des clauses de « flow-down » CMMC Niveau 2 doivent toujours les appliquer dans la supply chain – la suspension du contrôle tiers du Department ne les libère pas de leur obligation contractuelle envers leurs sous-traitants, ni ces derniers de leur obligation envers le principal.

La même logique s’applique aux appels d’offres et contrats qui mentionnent déjà le CMMC Niveau 2 comme condition d’attribution ou d’exécution. Selon Breaking Defense du 13 juillet, Davies a demandé aux chefs de programme et responsables des contrats de modifier ou d’amender les appels d’offres contenant les exigences suspendues de la Phase II « dès que possible » – ce qui confirme que ces exigences ne disparaissent pas, mais sont formellement révisées, dans le calendrier du Department, contrat par contrat. Tant qu’un contrat ou sous-contrat n’a pas été modifié, la clause CMMC Niveau 2 y figure toujours.

Pour un General Counsel ou un VP of Contracts, c’est ce détail qui doit déclencher l’action cette semaine : auditer tous les appels d’offres et sous-contrats actifs pour repérer la présence de clauses Phase II, et ne pas supposer qu’elles ont disparu sous prétexte d’une annonce nationale du Department.

Les bonnes pratiques de gestion des risques supply chain – en particulier la tenue d’un registre actualisé et auditable du statut de conformité de chaque sous-traitant – permettent de réaliser cet audit en quelques jours plutôt qu’en semaines. Les organisations sans inventaire documenté de conformité des sous-traitants doivent en faire une priorité immédiate, en parallèle de la révision des clauses contractuelles.

L’argument PME mis en avant par le DoW pour justifier la suspension

La justification publique de la suspension s’appuie fortement sur les petites et moyennes entreprises, et il est important de comprendre ce cadrage pour anticiper la suite. La Small Business Administration a publiquement salué la suspension le jour même, évoquant des coûts de conformité pouvant atteindre 600 000 dollars pour certaines petites entreprises et avertissant que le cadre actuel du CMMC poussait des acteurs hors du Defense Industrial Base au lieu d’attirer de nouveaux entrants.

C’est la logique politique derrière la suspension : préserver le socle de sécurité tout en supprimant une barrière de coût qui réduisait la supply chain au lieu de la sécuriser.

Ce cadrage a deux implications pour une PME ou une ETI qui doit décider de la suite. D’un côté, la question du RFI sur la reconnaissance des outils commerciaux offre l’opportunité de défendre l’intégration de la stack de sécurité existante d’une petite entreprise dans le futur cadre, en remplacement ou en complément de la Phase II.

D’un autre côté, une entreprise qui interprète cette suspension comme un feu vert pour couper totalement ses dépenses de sécurité sera moins préparée, et non plus compétitive, lorsque la file d’attente des évaluateurs rouvrira – et elle rouvrira pour tous en même temps, PME comme grands groupes. Les plateformes de MFT et de messagerie sécurisée déjà alignées sur les contrôles NIST 800-171 sont précisément le type d’outils commerciaux visés par le RFI – les petites entreprises capables de documenter la couverture de leurs outils disposent d’une voie directe pour influencer la façon dont la Reform Task Force évaluera leur posture de conformité.

Pourquoi « privilégier l’hygiène cyber tangible à la paperasse administrative » est un recadrage, pas un recul

Le langage du Department indique clairement la direction prise, et il faut le prendre au pied de la lettre plutôt que d’y voir de la communication. Les responsables du DoW présentent régulièrement l’objectif de la Reform Task Force comme le maintien « d’un socle de sécurité strict » tout en supprimant les barrières de coût – ils veulent « une hygiène cyber tangible plutôt que de la paperasse administrative ».

Concrètement, cela signifie que le Department accorde désormais plus de valeur aux preuves techniques démontrables qu’aux documents d’évaluation.

Ce recadrage doit orienter les priorités des sous-traitants du DIB pendant cette période. Une auto-évaluation reposant sur des contrôles de sécurité opérationnels documentés – et pas seulement sur une checklist remplie – est intrinsèquement plus défendable lors d’une enquête au titre du False Claims Act, plus résiliente face aux futures propositions de la Reform Task Force, et mieux positionnée pour répondre à la question explicite du RFI sur la reconnaissance des outils commerciaux au lieu d’exiger une vérification tierce pour chaque point.

La solution d’échange de données sécurisé de Kiteworks est conçue précisément pour offrir ce niveau de préparation technique démontrable aux organisations gérant des CUI et CDI. La plateforme couvre près de 90 % des exigences CMMC Niveau 2 en standard sur des domaines tels que le contrôle d’accès, la gestion de la configuration, l’audit et la traçabilité, et la protection physique, avec une appliance virtuelle durcie, un chiffrement validé FIPS 140-3 Niveau 1 et une autorisation FedRAMP Moderate – l’autorisation FedRAMP High étant en cours pour l’offre Secure Gov Cloud.

Cela ne remplace pas une évaluation C3PAO, et aucune organisation ne doit le prétendre – les propres directives d’équivalence FedRAMP du Department existent justement pour encadrer les fournisseurs qui outrepassent ce point. En revanche, cela fournit des journaux d’audit et des contrôles d’accès qui permettent d’appuyer une note SPRS auto-déclarée sur des éléments concrets, indépendamment de la date de la prochaine évaluation C3PAO.

La documentation de conformité NIST 800-171 sur laquelle repose cette couverture est exactement le type de preuve que le RFI laisse entendre que la Reform Task Force souhaite voir reconnue – une preuve technique organisée et vérifiable, et non de la paperasse d’évaluation.

Ce que les équipes conformité doivent vraiment faire avant la fin des 60 jours

Considérez cette période comme une fenêtre de travail, pas une pause. Cinq actions doivent figurer sur la liste du responsable conformité cette semaine :

1. Vérifiez à nouveau votre score SPRS sur la base de preuves concrètes, et non en partant du principe que l’auto-attestation sera moins contrôlée. Si une déclaration de conformité ne peut pas être prouvée par des logs, des enregistrements de configuration ou de la documentation, il s’agit d’un risque, pas d’un atout. C’est l’action la plus impactante pendant la période de révision, car c’est le premier point qu’une enquête au titre du False Claims Act vérifierait.

2. Auditez tous les appels d’offres et sous-contrats actifs pour repérer la présence de clauses CMMC Niveau 2 qui n’ont pas encore été modifiées, et confirmez auprès de votre responsable des contrats ou du contractant principal si les obligations de « flow-down » s’appliquent toujours. N’attendez pas de notification ; la modification se fait contrat par contrat, sans garantie que votre accord ait déjà été traité.

3. Préparez une réponse au RFI du DoW, à remettre avant le 14 août 2026, surtout si votre organisation utilise déjà des outils de sécurité commerciaux alignés sur le NIST 800-171 – c’est un canal officiel et daté pour influencer la façon dont la Reform Task Force prendra en compte des outils comme les vôtres, et il ferme dans environ un mois.

4. Comblez les écarts techniques dès maintenant, tant que la file d’attente des évaluateurs est suspendue, plutôt que d’attendre la reprise de la Phase II et de vous retrouver en concurrence avec 100 000 autres entreprises pour une centaine d’évaluateurs. Combler un écart en août coûte bien moins cher, en argent comme en risque, que de le découvrir lors d’une fenêtre de réévaluation compressée. L’application du chiffrement, les contrôles d’accès basés sur les attributs et la journalisation d’audit immuable sont les trois domaines techniques où les écarts auto-évalués échouent le plus souvent lors d’un contrôle externe – commencez par ceux-ci.

5. Documentez votre traçabilité et vos preuves de contrôle d’accès dans un format que vous pourriez transmettre à un enquêteur du False Claims Act ou à un futur C3PAO sans avoir à tout reconstituer dans l’urgence. Une preuve assemblée après réception d’une assignation est beaucoup moins solide qu’une preuve déjà existante. Un plan de réponse aux incidents documenté, qui relie chaque contrôle IR du NIST 800-171 à une procédure testée, donne à votre dossier d’audit une crédibilité supplémentaire qu’une simple checklist ne peut pas offrir.

Les organisations qui sortiront gagnantes de cette fenêtre de 60 jours ne sont pas celles qui se sont relâchées. Ce sont celles qui ont profité du laps de temps entre les annonces pour combler leurs écarts.

Pour en savoir plus sur la façon de combler les écarts de conformité CMMC 2.0 Niveau 2 pendant la suspension des évaluations tierces, réservez votre démo sans attendre !

Ressources complémentaires

• Article de blog
  Conformité CMMC pour les petites entreprises : défis et solutions
• Article de blog
  Guide de conformité CMMC pour les fournisseurs du DIB
• Article de blog
  Exigences d’audit CMMC : ce que les évaluateurs attendent pour juger votre préparation
• Guide
  Cartographie de la conformité CMMC 2.0 pour les communications de contenu sensible
• Article de blog
  Le vrai coût de la conformité CMMC : à quoi doivent s’attendre les sous-traitants de la défense