La règle finale CMMC 2.0 : ce qu’elle a établi et où en sont les choses aujourd’hui
Le Department of Defense (DoD) a finalisé sa règle Cybersecurity Maturity Model Certification (CMMC) 2.0 en septembre 2025, en modifiant le Defense Federal Acquisition Regulation Supplement (DFARS). La règle est entrée en vigueur le 10 novembre 2025, intégrant pour la première fois des exigences de certification cybersécurité obligatoires dans les contrats du DoD.
Depuis, la situation a continué d’évoluer. Les exigences de la Phase 1 sont entrées en application dans les délais prévus. Puis, en juillet 2026, le Department of War a suspendu la phase suivante du programme de certification, dans l’attente d’un examen formel. Cette page revient sur ce que la règle finale a réellement établi, sur ce qui s’est passé depuis, et sur ce que les prestataires de la défense doivent savoir dès maintenant.
Remarque : les exigences de certification tierce de la Phase 2 du CMMC ont été suspendues par le Department of War en juillet 2026, dans l’attente d’un examen du programme. Consultez CMMC Phase II Is Suspended. Your DFARS Obligations Are Not. pour plus de détails.
Résumé exécutif
Idée principale : La règle finale CMMC 2.0, entrée en vigueur le 10 novembre 2025, a fait de la certification cybersécurité une exigence contractuelle obligatoire dans toute la base industrielle de défense, concernant plus de 337 000 prestataires et sous-traitants. Les exigences d’auto-évaluation de la Phase 1 sont en vigueur. L’exigence de certification tierce de la Phase 2, initialement prévue pour novembre 2026, est actuellement suspendue dans l’attente d’un examen du Department of War.
Pourquoi c’est important : Dire que « la règle finale arrive » n’est plus la bonne formulation — elle est en vigueur depuis près d’un an, et elle a déjà transformé la façon dont le DoD évalue la cybersécurité des prestataires. La question la plus urgente aujourd’hui est de savoir ce que la suspension de la Phase 2 implique pour votre calendrier de conformité. Et la réponse est : moins que ce que beaucoup de prestataires imaginent.
Points clés à retenir
- La règle finale a fait du CMMC une exigence contractuelle obligatoire, et non plus une simple proposition à venir. Entrée en vigueur le 10 novembre 2025, la règle a modifié le DFARS pour exiger une certification CMMC au niveau approprié comme condition d’éligibilité aux contrats et sous-contrats du DoD, remplaçant le modèle d’auto-déclaration en vigueur auparavant.
- La règle concerne l’ensemble de la chaîne d’approvisionnement de la défense, pas seulement les maîtres d’œuvre. Plus de 337 000 organisations sont concernées, dont près de 230 000 petites entreprises, avec des exigences de répercussion obligatoires (« flowdown ») qui imposent aux sous-traitants, à tous les niveaux, d’atteindre le niveau de certification correspondant aux données qu’ils traitent.
- La règle a établi un déploiement progressif sur trois ans — et seule la Phase 1 est actuellement active. Le calendrier initial prévoyait de passer des exigences d’auto-évaluation de la Phase 1, en novembre 2025, à des exigences complètes de certification tierce d’ici 2028. La Phase 2, qui devait ajouter une certification C3PAO obligatoire pour les programmes prioritaires à partir de novembre 2026, est actuellement suspendue.
- La suspension de la Phase 2 ne remet pas en cause vos obligations DFARS ou NIST 800-171 existantes. Les prestataires doivent toujours mettre en œuvre les 110 contrôles du NIST SP 800-171, tenir à jour leur documentation, et publier leurs scores actualisés dans le SPRS. Ce qui est mis en pause, c’est spécifiquement le mécanisme de certification tierce — pas le référentiel de sécurité sous-jacent.
- Des écarts de préparation subsistent largement, malgré près d’un an d’application de la règle. Les propres recherches de Kiteworks menées en 2025 ont révélé qu’environ la moitié des prestataires de la défense n’étaient pas prêts au moment de l’entrée en vigueur de la règle, en particulier les petites et moyennes entreprises reposant sur des systèmes hérités et des processus de conformité manuels — un écart que la pause de la Phase 2 offre une réelle opportunité de combler avant la reprise des exigences de certification.
Ce que la règle finale a réellement établi
La règle finale CMMC 2.0 a modifié le DFARS pour faire de la certification cybersécurité une condition formelle d’éligibilité aux contrats dans toute la base industrielle de défense. Elle a remplacé l’approche antérieure d’auto-déclaration — où les prestataires affirmaient eux-mêmes leur conformité au NIST SP 800-171 — par une structure de certification vérifiée et hiérarchisée.
La règle a établi trois niveaux de certification liés à la sensibilité des données : le Niveau 1 pour les prestataires ne traitant que des Federal Contract Information, vérifié par auto-évaluation annuelle ; le Niveau 2 pour les prestataires traitant des Controlled Unclassified Information, vérifié par auto-évaluation ou certification tierce C3PAO selon la criticité du programme ; et le Niveau 3 pour les programmes les plus prioritaires, vérifié par une évaluation menée par le gouvernement. Pour un détail complet des exigences de chaque niveau, consultez notre guide de conformité CMMC.
Élément essentiel : la règle a fait de la certification une exigence de répercussion obligatoire — ce qui signifie que les maîtres d’œuvre doivent s’assurer que leurs sous-traitants, à tous les niveaux, atteignent le niveau de certification correspondant à la sensibilité des données qu’ils traitent. Cela étend considérablement la portée pratique du CMMC, bien au-delà des prestataires directs du DoD, jusqu’aux tréfonds de la chaîne d’approvisionnement de la défense.
Le calendrier progressif établi par la règle
La règle finale a mis en place un déploiement progressif sur trois ans, conçu pour laisser à la base industrielle de défense le temps de s’adapter plutôt que d’imposer une certification universelle et immédiate.
La Phase 1 est entrée en vigueur le 10 novembre 2025, exigeant une auto-évaluation de Niveau 1 et Niveau 2 pour les nouveaux appels d’offres et contrats. Cette phase reste pleinement en vigueur et n’est affectée par aucun développement ultérieur.
La Phase 2 devait ajouter des exigences obligatoires de certification tierce C3PAO pour les programmes de Niveau 2 impliquant les informations les plus critiques, à compter du 10 novembre 2026. C’est cette phase que le Department of War a suspendue en juillet 2026, dans l’attente d’un examen de 60 jours mené par un groupe de travail sur la réforme du CMMC (CMMC Reform Task Force), chargé d’évaluer le coût et la charge opérationnelle que l’exigence de certification impose aux prestataires, en particulier aux plus petits d’entre eux.
Les Phases 3 et 4 devaient étendre encore les exigences de certification et ajouter une évaluation de Niveau 3 menée par le gouvernement pour les programmes les plus prioritaires, avec une mise en œuvre complète dans toute la base industrielle de défense attendue d’ici 2028. Ces phases sont elles aussi actuellement suspendues, dans le cadre de la même mesure.
Ce qui n’a pas changé
La suspension est plus limitée que ne le laissent souvent entendre les gros titres. La clause DFARS 252.204-7012 — qui impose aux prestataires de la défense de mettre en œuvre le NIST SP 800-171 et de signaler les incidents cyber — préexiste au CMMC et n’est pas concernée par la pause. Les prestataires doivent continuer à mettre en œuvre l’intégralité des 110 contrôles requis, à tenir à jour un System Security Plan, à suivre les actions correctives via un Plan of Action and Milestones, et à publier des scores exacts dans le Supplier Performance Risk System.
La Civil Cyber-Fraud Initiative du Department of Justice continue elle aussi de poursuivre, au titre du False Claims Act, les prestataires qui présentent une conformité cybersécurité inexacte — totalement indépendamment de l’état d’avancement du programme de certification. C’est le mécanisme de vérification qui a changé. L’obligation de sécurité sous-jacente, elle, n’a pas bougé.
Ce que les prestataires de la défense doivent faire dès maintenant
Il faut considérer la période actuelle comme une opportunité, et non comme un sursis. Les prestataires qui profitent de la pause de la Phase 2 pour combler entièrement leurs écarts au regard du NIST SP 800-171 — plutôt que de reléguer ce travail au second plan parce que l’application de la certification est suspendue — seront nettement mieux positionnés lorsque les conclusions du CMMC Reform Task Force se traduiront par une reprise des exigences.
Les propres recherches de Kiteworks, menées avant l’entrée en vigueur de la règle, avaient révélé qu’environ la moitié des prestataires de la défense n’étaient pas prêts, en particulier les petites structures reposant sur des systèmes hérités et des processus de conformité manuels. Si cette description correspondait à votre organisation fin 2025, la pause actuelle constitue une réelle marge de manœuvre pour combler cet écart avant la reprise des exigences de certification — pas une raison de mettre ce travail de côté. Pour une approche structurée afin de bien utiliser ce temps, consultez notre feuille de route CMMC 2.0 et notre check-list de conformité CMMC 2.0.
Comment Kiteworks accompagne la conformité à la règle finale
Kiteworks prend en charge près de 90 % des exigences CMMC 2.0 de Niveau 2 dès l’installation, en consolidant sur une seule plateforme gouvernée les canaux par lesquels transitent généralement les CUI et FCI — e-mail sécurisé, partage sécurisé de fichiers, transfert de fichiers managé, et SFTP — avec chiffrement AES-256, des modules cryptographiques validés FIPS 140-3, et des clés de chiffrement détenues par le client.
Chaque événement d’accès, sur chaque canal, est consigné dans une piste d’audit unique, immuable et consolidée — la base de preuves qui appuie aujourd’hui la documentation d’auto-évaluation, et qui appuiera demain la certification tierce lorsque les exigences de la Phase 2 reprendront. Kiteworks détient également l’autorisation FedRAMP Moderate, évaluée de manière indépendante depuis juin 2017, offrant aux prestataires un héritage de contrôles documenté qui réduit le périmètre d’évaluation, quel que soit le parcours de vérification applicable à leur programme.
Pour découvrir comment Kiteworks accompagne la conformité de votre organisation aux exigences actuelles et à venir de la règle finale, planifiez une démonstration personnalisée.
Foire aux questions
La règle finale CMMC 2.0, modifiant le DFARS, est entrée en vigueur le 10 novembre 2025. Elle a formellement établi la certification cybersécurité obligatoire comme condition d’éligibilité aux contrats du DoD, remplaçant le modèle antérieur d’auto-déclaration, et a lancé un déploiement progressif visant à étendre l’ensemble des exigences à toute la base industrielle de défense d’ici 2028.
Non. La règle finale elle-même reste en vigueur, et les exigences d’auto-évaluation de la Phase 1 sont pleinement actives. Ce qui a été suspendu en juillet 2026, c’est spécifiquement la Phase 2 — l’exigence de certification tierce C3PAO obligatoire, qui devait débuter le 10 novembre 2026. Le Department of War a suspendu cette exigence précise dans l’attente d’un examen de 60 jours, mais le cadre sous-jacent de la règle finale, ainsi que les obligations DFARS 252.204-7012 et NIST SP 800-171 des prestataires, restent pleinement en vigueur.
La règle concerne plus de 337 000 organisations dans toute la base industrielle de défense, dont près de 230 000 petites entreprises, en raison des exigences de répercussion obligatoires qui étendent les obligations de certification aux sous-traitants de tous les niveaux de la chaîne d’approvisionnement, et pas seulement aux maîtres d’œuvre titulaires de contrats directs avec le DoD.
Continuer à mettre en œuvre et à documenter les contrôles NIST SP 800-171 sous-jacents, comme si les exigences de certification suivaient toujours le calendrier initial. La suspension met en pause le mécanisme de vérification tierce, pas les obligations de sécurité elles-mêmes, et les études montrent qu’une part importante des prestataires de la défense reste mal préparée, alors même que la règle finale est en vigueur depuis près d’un an. Les prestataires qui profitent de la période actuelle pour combler leurs véritables lacunes — plutôt que de considérer la pause comme une raison de relâcher leurs efforts — seront mieux positionnés lorsque les exigences de la Phase 2 reprendront, sous une forme ou une autre.
Ressources complémentaires
- Article de blog Conformité CMMC pour les petites entreprises : défis et solutions
- Article de blog Guide de conformité CMMC pour les fournisseurs de la base industrielle de défense
- Article de blog Exigences d’audit CMMC : ce que les évaluateurs recherchent pour juger votre préparation
- Guide Cartographie de conformité CMMC 2.0 pour les communications de contenus sensibles
- Article de blog Le coût réel de la conformité CMMC : ce que les prestataires de la défense doivent budgétiser