Compréhension du processus de réglementation de la CMMC : une analyse complete de la soumission du DoD à l’OMB

Dans le domaine de la cybersécurité, peu de sujets ont suscité autant d’attention et de discussions que la Cybersecurity Maturity Model Certification (CMMC). Alors que les entrepreneurs de la défense et les parties prenantes attendent avec impatience les mises à jour, la récente soumission du Département de la Défense (DoD) à l’Office of Management and Budget (OMB) ajoute une nouvelle couche d’intrigue et d’anticipation au récit. Ce blog offre une exploration détaillée de cette évolution et de ses implications plus larges pour le secteur de la défense.

Le CMMC : Un bref aperçu

Avant de se plonger dans les développements récents, il est essentiel de comprendre la genèse et les objectifs du CMMC. Introduit en tant que norme unifiée de cybersécurité, le CMMC vise à renforcer les mécanismes de protection des informations sensibles de défense au sein de la chaîne d’approvisionnement de défense américaine. Étant donné la sophistication croissante des menaces cybernétiques, le DoD a reconnu la nécessité d’une approche globale et normalisée de la cybersécurité, ce qui a conduit à la naissance du CMMC.

La soumission monumentale à l’OMB

La décision du DoD de soumettre son plan CMMC à l’OMB n’est pas une simple étape administrative. Cela marque le point culminant de délibérations et de préparations approfondies, marquant le début officiel du processus de réglementation pour le programme CMMC. Cette soumission témoigne de l’engagement du DoD à renforcer ses défenses cybernétiques et à s’assurer que ses entrepreneurs sont alignés sur cette vision.

POINTS CLÉS

1. Le processus d’élaboration de la règle CMMC :
   La récente soumission du plan CMMC du DoD à l’OMB marque le début formel du processus de création de règles et souligne l’engagement du DoD à renforcer la cybersécurité.
2. Démystification du processus de révision de l’OMB :
   La conclusion de l’OMB dans les 90 prochains jours déterminera la forme finale du CMMC et sa mise en œuvre subséquente, menant à une règle proposée ou à une règle finale intérimaire.
3. Implications pour la DIB :
   La soumission prépare le terrain pour des changements imminents dans le paysage des contrats de défense mais renforce l’engagement du Pentagone envers des normes de cybersécurité strictes pour les entrepreneurs et les CUI.
4. Prochaines étapes pour les entrepreneurs de la défense :
   Les entrepreneurs de la défense doivent prendre des mesures proactives, y compris réaliser des auto-évaluations pour identifier les lacunes de conformité, fournir de la formation et de la sensibilisation au personnel, et rester à jour sur les développements du DoD et de l’OMB.
5. La vision plus large derrière le CMMC :
   Le CMMC vise une base industrielle de la défense dont les capacités de cybersécurité sont robustes, unifiées et résilientes face aux menaces évolutives.

Décodage du processus d’examen de l’OMB

Avec le cadre CMMC maintenant sous la responsabilité de l’OMB, à quoi les parties prenantes peuvent-elles s’attendre? Le bureau des affaires réglementaires et de l’information de l’OMB dispose d’un maximum de 90 jours pour examiner la soumission. Cette revue sera déterminante pour façonner la forme finale du CMMC et sa mise en œuvre ultérieure.

Une fois la revue terminée, la règle sera publiée dans le Federal Register, où elle pourra emprunter l’une des deux voies :

• Si l’OMB publie une proposition de règle CMMC, alors une période de commentaire public de 60 jours est requise avant que l’OMB et le DoD puissent commencer à mettre en œuvre la règle.
• ‘est le chemin le plus probable anticipé par ceux qui suivent le processus, y compris de nombreux acteurs de l’industrie. Selon cette voie, après la clôture de la période de commentaire de 60 jours, nous pouvons nous attendre à ce que le DoD commence progressivement à intégrer le CMMC dans ses exigences contractuelles, sur une période moyenne de 280 à 333 jours ouvrables, en fonction du récent historique du DoD, selon Horn.
• C Ainsi, une publication d’une proposition de règle en septembre/octobre placerait une mise en œuvre progressive du CMMC commençant au deuxième trimestre de l’exercice 2025, éventuellement au troisième trimestre.

Règle finale intérimaire

(Moins probablement) L’OMB pourrait choisir de publier une règle finale intérimaire, ce qui permettrait à l’OMB et au DoD de commencer à mettre en œuvre le CMMC dans les exigences des contrats tout en examinant les commentaires du public, c’est-à-dire en parallèle. Par conséquent, choisir une règle finale intérimaire signifie que le CMMC pourrait commencer à être ajouté aux contrats du DoD au T1 de l’AF 2024, car de telles règles prennent effet immédiatement après leur publication. Il s’agit du scénario le moins probable/anticipé, mais il est possible.

Indépendamment de la trajectoire choisie, une période de commentaires du public est certaine, offrant aux parties prenantes une plateforme pour partager leurs commentaires et leurs idées.

Implications pour l’écosystème de la sous-traitance de la défense

La soumission du DoD a mis les choses en mouvement, signalant des changements imminents dans le paysage de la sous-traitance de la défense. Bien que les contours exacts de la règle finale du CMMC restent à voir, une chose est claire : le changement est à l’horizon.

Le CMMC n’est pas simplement un obstacle réglementaire. Il incarne la vision du Pentagone d’une posture robuste en matière de cybersécurité, garantissant que les entrepreneurs qui traitent ses informations non classifiées contrôlées (CUI) respectent des normes strictes. Ces normes font écho aux directives de l’Institut national des normes et de la technologie, en particulier les normes NIST 800-171 et 800-172.

Préparation pour l’avenir : Étapes pour les entrepreneurs de la défense

Avec le processus de réglementation du CMMC en cours, les entrepreneurs de la défense doivent adopter une position proactive. Cela implique :

• Auto-évaluation : Comprendre les mesures actuelles de cybersécurité et identifier les lacunes en matière de conformité
• Formation et sensibilisation : S’assurer que le personnel et les parties prenantes connaissent les exigences du CMMC et leurs implications
• Engager des experts : Envisager des collaborations avec des experts en cybersécurité pour naviguer dans les complexités de la conformité au CMMC, y compris une Organisation d’Évaluation Tierce Partie du CMMC (C3PAO) pour effectuer une évaluation ou recommander une certification CMMC
• Rester à jour : Surveiller régulièrement les mises à jour de la DoD et OMB pour rester à jour des développements

La soumission du DoD à l’OMB marque une étape importante dans le parcours du CMMC. Alors que les entrepreneurs de la défense attendent davantage de clarté, il est impératif de reconnaître la vision plus large derrière le CMMC – un futur où les mécanismes de cybersécurité du secteur de la défense sont robustes, unifiés et résilients face aux menaces.