L’état de la CMMC 2.0 dans la DIB : ce que révèlent 273 sous-traitants de la défense sur la conformité après la pause des évaluations
La suspension des évaluations CMMC par des tiers n’a pas abaissé le niveau d’exigence pour un seul sous-traitant de la défense. Elle a simplement rendu plus difficile la détection de l’écart entre ce que les sous-traitants déclarent et ce qu’ils peuvent réellement prouver. Cet écart représente aujourd’hui le principal risque dans la base industrielle de défense, et une nouvelle enquête menée auprès de 273 organisations en donne une mesure chiffrée.
Quelques jours après la suspension par le Department of War (DoW) des évaluations tierces de la phase II du CMMC 2.0, le 13 juillet 2026, nous avons lancé l’une des premières analyses du marché post-suspension. Tous les répondants étaient des entreprises confirmées du DoW, soumises à une obligation active de conformité CMMC 2.0. Les résultats, présentés dans le rapport « État du CMMC 2.0 dans la DIB », décrivent une base qui avance vite, investit, mais confond trop souvent mouvement et préparation réelle.
Le constat principal n’est pas l’apathie. Pas moins de 98 % des sous-traitants ont pris au moins une mesure concrète après la suspension ; seuls 2 % n’ont rien fait. Le problème, c’est la direction prise. Lorsqu’on distingue ce qu’une organisation a mis en place de la façon dont elle agit, le tableau se scinde en deux. Une grande partie de la base est en difficulté ou exposée, et un nombre frappant des entreprises les moins prêtes restent les plus confiantes. Pour tous ceux qui manipulent des CUI ou soumissionnent sur des contrats de défense, cette combinaison mène tout droit aux audits, disqualifications et règlements au titre du False Claims Act.
Kiteworks a conçu sa plateforme d’échange sécurisé de données pour répondre précisément à ce problème : prouver, preuves à l’appui, que les données sensibles circulent conformément aux exigences réglementaires. Cet article détaille les principaux enseignements du rapport et leur impact sur la planification de la conformité CMMC 2.0 pour les deux prochains trimestres.
Points clés à retenir
1. La suspension a mis en pause les évaluations, pas les obligations.
DFARS 252.204-7012, NIST SP 800-171, l’auto-évaluation de la phase 1 et le reporting SPRS restent en vigueur, et le False Claims Act s’applique toujours à toute attestation déjà réalisée par un sous-traitant.
2. La confiance dépasse les preuves dans toute la base.
Si 96 % des sous-traitants sont convaincus que leur score SPRS résisterait à un examen approfondi, seuls 29 % disposent à la fois d’une soumission SPRS à jour et d’une plateforme FedRAMP autorisée pour l’appuyer. Moins de trois sur dix peuvent réellement justifier leur déclaration.
3. Bouger n’est pas être prêt.
Un indice de signalisation de conformité, qui multiplie la posture actuelle par le comportement récent, aboutit à une moyenne de 60,0, bien en dessous des 77 qu’une simple moyenne afficherait. Seuls 2 % des sous-traitants obtiennent un score parfait sur les deux dimensions.
4. L’application des règles est déjà effective et ne nécessite pas de lanceur d’alerte.
Un règlement du Department of Justice en juin 2026, d’un montant de 507 144 $, montre comment un audit gouvernemental de routine peut transformer un score SPRS auto-attesté en accusation de fraude lorsque la réalité est bien inférieure à la déclaration.
5. Le marché se réorganise autour de la preuve.
Plus de la moitié des sous-traitants soumissionnent désormais à des appels d’offres qu’ils évitaient auparavant, plus de la moitié se sont retirés d’une soumission faute de préparation, et 89 % utilisent ou prévoient d’adopter une plateforme FedRAMP autorisée dans les six mois.
La suspension a mis en pause les évaluations, pas les règles
La plus grande erreur d’interprétation de l’annonce du 13 juillet est de croire que le CMMC a disparu. Ce n’est pas le cas. La suspension a stoppé les évaluations tierces de la phase II, l’étape de certification où un C3PAO valide les contrôles d’une organisation. Tout ce qui précède cette étape reste inchangé.
La clause DFARS 252.204-7012 impose toujours aux sous-traitants de protéger les informations de défense couvertes et de signaler les incidents cyber. NIST 800-171 définit toujours les 110 contrôles pour protéger les CUI. L’obligation d’auto-évaluation de la phase 1 demeure, et les sous-traitants doivent toujours publier et maintenir un score à jour dans le Supplier Performance Risk System. Plus important encore, le False Claims Act encadre toujours l’exactitude de chaque score déjà soumis. Une pause sur les évaluations n’est pas une pause sur la responsabilité juridique.
Les sous-traitants comprennent globalement le risque juridique, même s’ils saisissent mal les mécanismes. Selon l’enquête, 84 % se disent préoccupés par le risque lié au False Claims Act, et 92 % ont sollicité un avis juridique ou une revue de conformité depuis la suspension. C’est la bonne réaction. Le décalage se voit dans ce qui inspire confiance aux entreprises. Lorsqu’on leur demande ce qui soutient le plus leur position, 47 % citent une piste d’audit, 36 % une plateforme FedRAMP autorisée, et seulement 11 % un avis juridique. C’est la documentation qui rassure ; la vérification, elle, fait souvent défaut.
Feuille de route de la conformité CMMC 2.0 pour les sous-traitants DoD
LIRE L’ARTICLE/LE COMMUNIQUÉ
Bouger n’est pas être prêt : décryptage de l’indice de signalisation de conformité
Pour distinguer posture et performance, le rapport a construit deux indices. Le Current Compliance Maturity Score (CCMS) mesure la situation actuelle d’une organisation selon huit indicateurs de contrôles mis en œuvre. Il atteint une moyenne de 78,2 sur 100, un score honorable en apparence. Le Signal-to-Governance Score (SGS) évalue le comportement actif depuis le 13 juillet selon huit indicateurs, et s’établit à 74,9. Pris séparément, les deux semblent satisfaisants.
L’intérêt réside dans leur combinaison. Plutôt que d’en faire la moyenne, le rapport les multiplie pour obtenir un Compliance-Signaling Readiness Index (CSRI = CCMS × SGS/100). La multiplication est ici l’opération honnête, car une faiblesse dans l’une des dimensions affaiblit l’ensemble. Une entreprise dotée de contrôles solides mais inactive récemment n’est pas prête, pas plus qu’une entreprise très active mais reposant sur des bases fragiles. Le résultat est une moyenne CSRI de 60,0, avec une médiane de 65,6. Une simple moyenne des deux scores aurait donné environ 77, un chiffre flatteur qui masque l’interaction entre posture et comportement.
Si l’on classe les sous-traitants en quadrants selon un seuil exigeant de 7 sur 8 pour chaque dimension, la répartition devient concrète. Seuls 23 % sont prêts pour l’audit, solides à la fois sur la posture actuelle et le comportement récent. 28 % sont en roue libre, avec de bons contrôles mais peu d’action depuis la suspension. 18 % s’activent beaucoup mais sur une base fragile. Le groupe le plus important, 31 %, est exposé : faibles sur les deux plans. Seuls 2 % obtiennent un 8 sur 8 parfait sur les deux dimensions. Le sous-traitant type n’est pas prêt pour l’audit ; il est à un audit d’une mauvaise semaine.
La cascade confiance-preuve
L’écart entre discours et réalité apparaît clairement dans ce que le rapport nomme la cascade confiance-preuve. On part de la conviction, puis on la confronte à chaque exigence de preuve.
96 % des sous-traitants sont convaincus que leur score SPRS tiendrait face à un contrôle. Demandez qui dispose d’une soumission SPRS à jour, le chiffre tombe à 60 %. Ajoutez l’exigence d’exploiter les données sensibles sur une plateforme FedRAMP autorisée, il chute à 36 %. Exigez à la fois une soumission à jour et la plateforme autorisée, seuls 29 % répondent aux critères. Moins de trois sous-traitants sur dix peuvent réellement justifier le score dont ils se disent si sûrs.
Ce n’est pas une simple marge d’erreur. Il s’agit d’un écart de 67 points entre la confiance affichée et la preuve démontrable, et c’est précisément l’espace dans lequel interviennent les auditeurs, les responsables de contrats ou les avocats du Department of Justice. La confiance ne résiste pas à une demande de documents. Seule la preuve le permet. Les sous-traitants qui comblent cet écart sont ceux capables de produire à la demande une piste d’audit complète : qui a accédé à quel CUI, quand, depuis où, et selon quelle politique, plutôt qu’une attestation reposant sur la mémoire. C’est la raison pour laquelle un plan de sécurité du système doit s’appuyer sur des preuves vivantes, et non sur un document statique.
L’application des règles est déjà là : un règlement à 507 144 $
Si la cascade semble théorique, un cas récent la rend très concrète. Le 18 juin 2026, le Department of Justice a conclu un règlement au titre du False Claims Act avec LOGZONE Inc., Huntsville (Alabama), pour 507 144 $ concernant deux contrats Navy. L’entreprise avait auto-attesté un score SPRS de 110, soit la note parfaite. Lorsqu’une évaluation indépendante du DIBCAC a été menée, le score réel s’est avéré être de -170. L’écart entre la déclaration et la réalité a suffi à motiver l’affaire.
Deux points méritent l’attention. D’abord, l’affaire a été révélée par un audit gouvernemental de routine, sans lanceur d’alerte. Les dispositions qui tam du False Claims Act font souvent parler d’elles, mais ce règlement montre que le gouvernement n’a pas besoin d’un informateur pour repérer un score gonflé, il lui faut un tableur et un évaluateur. Ensuite, l’application s’est faite via la Civil Cyber-Fraud Initiative du DOJ, le mécanisme conçu pour responsabiliser les sous-traitants en cas de fausse déclaration en cybersécurité. La suspension des évaluations n’a en rien ralenti cette initiative.
La leçon pour les 96 % confiants est directe. Un score auto-attesté est une déclaration juridique, et l’écart entre une auto-évaluation optimiste et une évaluation indépendante se mesure en dollars. Les organisations qui considèrent le scoring SPRS comme un exercice documentaire plutôt qu’une affirmation étayée par des preuves prennent le même risque, qu’elles en aient conscience ou non. Mieux vaut investir dans le POA&M et les contrôles sous-jacents que dans un règlement judiciaire.
L’illusion de connaissance derrière la confiance
Pourquoi tant de sous-traitants sont-ils confiants dans une position qu’ils ne peuvent pas totalement justifier ? Le rapport pointe une illusion de connaissance, une confiance fondée sur une compréhension incomplète de ce que la suspension a réellement changé.
La bonne nouvelle, c’est que très peu de sous-traitants pensent que tout le cadre a été suspendu : seuls 3 % croient que toutes les exigences sont en pause. La mauvaise nouvelle se trouve dans les détails importants. 48 % ignorent que l’auto-évaluation de la phase 1 se poursuit. 57 % ne savent pas que certaines évaluations menées par le gouvernement continuent. Ce ne sont pas des détails anodins ; ce sont les obligations les plus susceptibles de déclencher une action d’application dans la période actuelle.
Le constat le plus révélateur concerne ce que la confiance ne prédit pas. Sur un test de connaissances à quatre questions, les sous-traitants se déclarant « très confiants » ont obtenu une moyenne de 2,48 sur 4, identique à ceux qui étaient seulement « assez confiants », également 2,48. Confiance et connaissance étaient totalement décorrélées. Près de la moitié des très confiants, 49 %, ont obtenu moins de 3 sur 4. Un haut niveau de certitude ne va donc pas de pair avec une bonne compréhension, ce qui conduit précisément à signer des attestations inappropriées. Pour combler cet écart, il faut considérer la conformité CMMC 2.0 comme un programme continu, et non comme une simple étape de certification repoussée.
Le marché se réorganise autour de la preuve
Pendant que les équipes conformité clarifient les obligations, le business avance déjà. La suspension a modifié les comportements de soumission dans toute la base, et la tendance va vers la preuve comme arme concurrentielle.
Plus de la moitié des sous-traitants, 55 %, soumissionnent désormais à des appels d’offres qu’ils évitaient auparavant, voyant dans la suspension une opportunité. Parallèlement, 52 % se sont retirés d’une soumission faute de préparation, et 38 % ont perdu un contrat ou ont été disqualifiés à cause d’une exigence de niveau 2. La répartition n’est pas homogène. Les sous-traitants de rang 2 et au-delà perdent des appels d’offres à un taux de 55 %, soit presque le double des 31 % signalés par les primes. Plus on s’éloigne de la relation prime, plus le marché exige la capacité à prouver sa posture CMMC Niveau 2. Les entreprises de l’aéronautique et de la défense sont les plus protégées, avec seulement 16 % de pertes. Elles investissent généralement plus dans la conformité et entretiennent des relations clients plus étroites.
C’est cette exposition des sous-traitants qui explique l’anxiété autour du flow-down. L’inquiétude concernant les exigences contractuelles de flow-down atteint 86 % dans toute la base, grimpant à 92 % chez les sous-traitants de rang 1 et à 89 % chez ceux de rang 2 et plus, contre 79 % pour les primes. Le flow-down fait du supply chain risk management d’un prime un problème pour chaque sous-traitant, et ce sont les plus petits qui en souffrent le plus. Les données externes confirment l’enjeu : le rapport Verizon 2026 Data Breach Investigations fait état d’une hausse de 60 % des violations impliquant des tiers, représentant 48 % de toutes les violations, et le Global Cybersecurity Outlook 2026 du World Economic Forum indique que 65 % des grandes organisations considèrent désormais le risque lié aux tiers et à la supply chain comme leur principal défi, contre 54 % auparavant.
La demande se concentre sur l’autorisation indépendante
Si la preuve est la nouvelle monnaie, les sous-traitants investissent dans la forme la plus solide : l’autorisation indépendante par un tiers. C’est le signal prospectif le plus clair des données.
89 % des sous-traitants utilisent ou prévoient d’adopter une plateforme FedRAMP autorisée dans les six mois. 93 % estiment que l’autorisation indépendante par un tiers est essentielle ou importante, rejetant l’auto-attestation comme base suffisante pour manipuler des CUI. Et 96 % ont fait appel à un C3PAO, dont 32 % continueront volontairement même si les évaluations sont suspendues. Les sous-traitants n’attendent pas que le gouvernement relance la machine ; ils construisent la preuve dès maintenant.
Ils s’impliquent aussi dans le processus réglementaire. 93 % prévoient de répondre à la Request for Information du DoW, clôturée le 14 août 2026. Les attentes vont plutôt vers un retour que vers une suppression : 58 % pensent que la phase II reviendra sous une forme modifiée, et seuls 4 % estiment qu’elle disparaîtra totalement. Parallèlement, 70 % ont atteint ou prévoient d’atteindre la préparation complète à la conformité dans les six mois, un objectif ambitieux alors que seuls 23 % sont prêts pour l’audit aujourd’hui, rappelant que l’écart entre l’intention et la préparation démontrée est le fil rouge de tout ce rapport. Les organisations qui y parviendront seront celles qui traiteront la conformité NIST 800-171 comme un système vivant, et non comme un effort ponctuel.
Tous les sous-traitants ne font pas face au même risque
La base n’est pas homogène, et le CSRI rend ces différences visibles. Par secteur, l’aéronautique et la défense mènent avec un indice de préparation de 66,2, suivis par les services IT et cloud à 61,9, les télécommunications à 59,3, et tous les autres secteurs à 52,2. Les entreprises les plus proches de la mission sont, sans surprise, les mieux préparées à le prouver.
La fracture la plus marquée est géographique. Les sous-traitants nord-américains (n=163) affichent un CSRI de 64,7, contre 53,9 pour les européens (n=104). L’Europe est le segment le plus exposé de l’étude : 44 % se retrouvent dans le quadrant Exposé et seuls 15 % sont prêts pour l’audit. Sur les mesures concrètes, seuls 43 % des sous-traitants européens disposent d’une soumission SPRS à jour, contre 70 % en Amérique du Nord, alors que 94 % des répondants européens restent confiants. C’est l’écart confiance-preuve dans sa forme la plus extrême, et un avertissement pour les primes ayant une supply chain internationale. La posture de souveraineté des données d’un sous-traitant et sa préparation CMMC ne sont pas équivalentes, et l’enquête montre que le segment étranger nécessite le plus d’attention.
Ce que cela implique pour la gestion des CUI
Le fil conducteur de tous ces constats est qu’une attestation sans preuve est un risque, et que la solution passe par un système générant des preuves pour les données sensibles. Le coût d’une erreur n’est pas théorique. Le rapport IBM Cost of a Data Breach 2026 identifie la compromission de la supply chain comme le principal facteur d’augmentation des coûts, à 227 250 $ par violation, auxquels s’ajoutent 201 112 $ pour non-conformité, pour un coût moyen mondial de 4,99 millions de dollars par violation. Pour un sous-traitant de la défense, un échec de conformité et une violation de données sont souvent un seul et même événement.
C’est là que la plateforme Kiteworks secure data exchange répond au problème. Kiteworks fonctionne sur une architecture à locataire unique, prend en charge le CMMC Niveau 2, et est FedRAMP High In Process et FedRAMP Moderate Authorized. Chaque fichier, e-mail, formulaire et transfert contenant des CUI passe par une couche gouvernée, le Kiteworks Control Plane, qui enregistre qui a accédé à quoi, quand et selon quelle politique. C’est la différence entre dire à un auditeur que votre score SPRS est défendable et lui montrer les journaux d’audit qui le prouvent. Les 47 % de sous-traitants qui misent sur une piste d’audit ont raison sur le principe ; la plateforme utilisée détermine la solidité de cette piste.
Des actions concrètes découlent de ces données. Recoupez votre score SPRS auto-attesté avec ce qu’un évaluateur indépendant trouverait, contrairement à ce qu’a fait le sous-traitant de l’Alabama. Regroupez la gestion des CUI sur une plateforme FedRAMP autorisée, pour que le niveau de preuve de 36 % devienne votre standard, pas votre plafond. Étendez les exigences de préparation à vos sous-traitants, là où la DIB est la plus vulnérable. Et considérez la suspension des évaluations comme le moment de bâtir la preuve, non comme une excuse pour arrêter. Les sous-traitants qui interprètent correctement la suspension seront prêts au retour de la phase II.
Le rapport « État du CMMC 2.0 dans la DIB » va plus loin sur les indices, le modèle de quadrant, les analyses par segment et la perspective d’application que ne le permet ce résumé. Pour consulter l’ensemble des données et situer votre organisation par rapport à 273 pairs, téléchargez et lisez le rapport complet.
Foire aux questions
Non. La suspension a uniquement interrompu les évaluations tierces de la phase II. La clause DFARS 252.204-7012, le référentiel NIST 800-171, l’obligation d’auto-évaluation de la phase 1 et le reporting du score SPRS restent en vigueur. Le False Claims Act continue de régir l’exactitude de toute attestation déjà soumise par un sous-traitant, donc l’exposition juridique n’a pas été suspendue avec les évaluations. Les sous-traitants doivent profiter de cette période pour renforcer leurs preuves, et une checklist de conformité CMMC est un moyen pratique de vérifier que rien n’a été oublié.
Il s’agit de la différence entre le niveau de confiance ressenti par les sous-traitants et ce qu’ils peuvent réellement prouver. Dans l’enquête, 96 % étaient convaincus que leur score SPRS tiendrait, mais seuls 29 % disposaient à la fois d’une soumission SPRS à jour et d’une plateforme FedRAMP autorisée pour l’étayer. C’est dans cet écart que se jouent les actions d’application, car les auditeurs et les avocats du Department of Justice évaluent les preuves, pas la confiance. Pour le combler, il faut bâtir une piste d’audit vivante, et non se reposer sur une documentation basée sur la mémoire.
Le règlement conclu en juin 2026 par le Department of Justice avec un sous-traitant de défense d’Alabama, pour 507 144 $ sur un score SPRS auto-attesté de 110 alors qu’une évaluation indépendante du DIBCAC l’a noté à -170, montre que les auto-évaluations gonflées comportent un risque financier et juridique réel. Fait important, l’affaire a été révélée lors d’un audit gouvernemental de routine, sans lanceur d’alerte, et elle a été traitée via la Civil Cyber-Fraud Initiative du DOJ. Cette initiative s’est poursuivie malgré la suspension des évaluations. Les sous-traitants doivent recouper leurs scores SPRS avec ce qu’un évaluateur indépendant trouverait, avant que le gouvernement ne le fasse à leur place.
Le marché évalue la capacité à prouver la préparation, et ce jugement est plus sévère pour les entreprises les plus éloignées de la relation prime. Les sous-traitants de rang 2 et plus perdent des appels d’offres à un taux de 55 %, presque le double des 31 % des primes, et l’inquiétude liée au flow-down atteint 92 % chez les sous-traitants de rang 1. Les primes transmettent leurs obligations de supply chain risk management via des clauses contractuelles de flow-down, si bien qu’une petite entreprise hérite de la même charge de preuve avec moins de ressources. Centraliser la gestion des CUI sur une plateforme compatible CMMC Niveau 2 est l’un des moyens les plus rapides pour un sous-traitant de combler cet écart.
Kiteworks unifie l’échange de données sensibles, le partage de fichiers, les e-mails, le transfert de fichiers géré et les formulaires web sur une plateforme à locataire unique compatible CMMC Niveau 2, FedRAMP High In Process et FedRAMP Moderate Authorized. Chaque interaction avec des CUI génère des preuves prêtes pour l’audit via le Kiteworks Control Plane, permettant au sous-traitant de démontrer, et non simplement d’affirmer, la gouvernance des données sensibles. Cette capacité transforme une attestation SPRS d’une simple déclaration en une affirmation défendable. Vous pouvez visualiser la correspondance entre la plateforme et le référentiel grâce aux ressources conformité CMMC 2.0 et à la documentation conformité FedRAMP plus large.
Ressources complémentaires
- Article de blog
Conformité CMMC pour les petites entreprises : défis et solutions - Article de blog
Guide de conformité CMMC pour les fournisseurs de la DIB - Article de blog
Exigences d’audit CMMC : ce que les évaluateurs attendent pour évaluer votre préparation CMMC - Guide
Cartographie de la conformité CMMC 2.0 pour les communications de contenu sensible - Article de blog
Le vrai coût de la conformité CMMC : à quoi doivent s’attendre les sous-traitants de la défense