32 CFR vs 48 CFR : les deux règles derrière « la règle CFR CMMC »

Les personnes qui recherchent « la règle CFR CMMC » cherchent en réalité l’une de deux règles bien distinctes — et les confondre est une erreur fréquente aux conséquences réelles. Le 32 CFR Part 170 est la règle qui a créé le programme CMMC : les niveaux, les contrôles, les types d’évaluation. Le 48 CFR, via la clause DFARS 252.204-7021, est la règle qui rend ce programme opposable dans les marchés du DoD — donnant aux contracting officers le pouvoir d’exiger un niveau CMMC précis et de le vérifier avant l’attribution d’un contrat.

Ces deux règles sont finales, en vigueur, et toutes deux essentielles à comprendre — mais elles répondent à des questions différentes, et une ressource consacrée à l’une ne vous apprendra pas grand-chose sur l’autre. Cette page propose une orientation rapide entre les deux, avec des liens vers le guide détaillé correspondant à votre besoin réel.

Remarque : les exigences de certification tierce de la Phase 2 du CMMC ont été suspendues par le Department of War en juillet 2026, en attendant une révision du programme. Les deux règles décrites ci-dessous restent en vigueur ; la pause concerne spécifiquement le calendrier de certification. Consultez CMMC Phase II Is Suspended. Your DFARS Obligations Are Not. pour plus de détails.

Résumé exécutif

Idée principale : « La règle CFR CMMC » n’est pas une règle unique — c’est un raccourci employé pour désigner soit le 32 CFR (qui établit le programme CMMC lui-même), soit le 48 CFR (qui rend ce programme opposable dans l’attribution des contrats du DoD). Les deux sont finales et en vigueur. Savoir laquelle vous concerne réellement déterminera si vous devez comprendre les niveaux de certification et les contrôles, ou les mécanismes d’acquisition et de soumission d’offres.

Pourquoi c’est important : Si vous essayez de déterminer quel niveau CMMC s’applique à votre organisation, c’est le 32 CFR qu’il vous faut. Si vous essayez de comprendre pourquoi une offre a été rejetée à cause d’un enregistrement SPRS, c’est le 48 CFR qu’il vous faut. Chercher au mauvais endroit fait perdre du temps et peut vous faire passer à côté de l’exigence précise qui vous concerne réellement.

Points clés à retenir

1. Le 32 CFR Part 170 a créé le programme CMMC lui-même. Finalisé en octobre 2024 et entré en vigueur le 16 décembre 2024, il établit les trois niveaux de certification, les contrôles requis à chaque niveau, les types d’évaluation et les règles de délimitation du périmètre — c’est-à-dire le contenu même de la conformité CMMC.
2. Le 48 CFR a rendu le CMMC opposable dans le processus contractuel. Via la clause DFARS 252.204-7021, entrée en vigueur le 10 novembre 2025, il donne aux contracting officers le pouvoir d’exiger un niveau CMMC précis dans un appel d’offres et de vérifier le statut de conformité via SPRS avant d’attribuer un contrat.
3. Le 32 CFR répond à « que suppose la conformité » ; le 48 CFR répond à « comment la conformité est-elle vérifiée au moment de l’attribution ». Ces règles sont séquentielles et complémentaires — l’une définit le standard, l’autre en fait une condition pour faire affaire — et non des réglementations concurrentes ou redondantes.
4. Les deux règles sont finales et en vigueur, indépendamment de la pause de la Phase 2. La suspension de juillet 2026 a mis en pause le calendrier de certification tierce obligatoire de la Phase 2 — elle n’a annulé ni le 32 CFR ni le 48 CFR, qui restent tous deux les règles régissant la structure et l’application du CMMC.
5. La plupart des questions concrètes sur « la règle CFR CMMC » portent en réalité sur une règle précise, pas sur les deux à la fois. Si votre question concerne les niveaux, les contrôles ou ce que vous devez mettre en œuvre, c’est le 32 CFR qu’il vous faut. Si elle concerne les soumissions, l’éligibilité contractuelle ou SPRS, c’est le 48 CFR.

32 CFR Part 170 : la règle qui définit le CMMC

Le 32 CFR Part 170 est la règle du Department of Defense qui a formellement établi le programme CMMC au sein du Titre 32 (Défense nationale) du Code of Federal Regulations. Publiée au Federal Register en octobre 2024 et entrée en vigueur le 16 décembre 2024, c’est la règle qui répond à la question : « qu’implique réellement la conformité CMMC ? »

Cette règle définit les trois niveaux de certification — Niveau 1 (Fondamental), Niveau 2 (Avancé) et Niveau 3 (Expert) — et associe chacun à la sensibilité des données traitées par l’organisation. Elle précise les contrôles applicables à chaque niveau, en s’appuyant sur le NIST SP 800-171 pour le Niveau 2 et le NIST SP 800-172 pour les compléments du Niveau 3. Elle définit les types d’évaluation disponibles à chaque niveau, y compris les critères applicables aux C3PAO accrédités menant les certifications tierces. Enfin, elle établit les règles de délimitation du périmètre qui déterminent quels systèmes et données, au sein d’une organisation, relèvent réellement des exigences CMMC.

Si votre question porte sur le niveau applicable à votre organisation, sur les contrôles à mettre en œuvre, ou sur le déroulement du processus d’évaluation, c’est bien le 32 CFR qui vous intéresse. Pour le détail complet, consultez notre guide sur les exigences du 32 CFR, et pour une analyse niveau par niveau, notre guide sur le CMMC Niveau 2.

48 CFR : la règle qui rend le CMMC opposable dans les marchés publics

Le 48 CFR régit les réglementations fédérales en matière d’acquisition, et les amendements pertinents pour le CMMC — en particulier la clause DFARS 252.204-7021 — sont ceux qui rendent les exigences du 32 CFR opposables au moment de l’attribution d’un contrat. Cette règle est entrée en vigueur le 10 novembre 2025.

Là où le 32 CFR définit ce qu’implique la conformité, le 48 CFR donne aux contracting officers le mécanisme concret pour agir : mentionner un niveau CMMC requis directement dans un appel d’offres, vérifier le statut de certification d’un contractant dans le Supplier Performance Risk System (SPRS), et refuser l’attribution du contrat si ce statut n’est pas à jour. Cette règle a également introduit le CMMC Unique Identifier, qui relie une offre précise à un enregistrement SPRS spécifique et vérifiable.

Si votre question porte sur les soumissions, l’éligibilité contractuelle, la raison pour laquelle un contracting officer s’intéresse à votre score SPRS, ou ce qui se passe si votre enregistrement de conformité devient obsolète, c’est bien le 48 CFR qui vous concerne. Pour le détail complet, y compris le fonctionnement précis du scoring SPRS et de l’éligibilité contractuelle en pratique, consultez notre guide sur le 48 CFR et le CMMC.

Pourquoi cette confusion existe

Dans le langage courant, les deux règles sont souvent désignées comme « la règle CMMC » ou « la règle CFR », sans référence précise — ce qui est compréhensible, la plupart des gens découvrant ces textes via des discussions secondaires (webinaires, articles de presse, contenus d’éditeurs) plutôt que via le texte du Federal Register lui-même. Cette confusion est renforcée par le calendrier : le 32 CFR et le 48 CFR ont été finalisés à environ un an d’écart, mais sont fréquemment évoqués ensemble, puisqu’ils forment à eux deux le tableau réglementaire complet — l’un définissant le standard, l’autre en assurant l’application.

La solution pratique est simple : lorsque vous rencontrez « la règle CFR CMMC » dans un article, un webinaire ou une conversation, vérifiez si la référence précise (32 CFR ou 48 CFR) est indiquée, et si ce n’est pas le cas, demandez-vous quelle question sous-jacente est réellement abordée — les exigences de conformité, ou l’application contractuelle — car cela révèle généralement de quelle règle il s’agit.

Comment Kiteworks accompagne la conformité aux deux règles

Kiteworks prend en charge près de 90 % des exigences du Niveau 2 du CMMC 2.0 dès l’installation — répondant directement aux exigences du 32 CFR — grâce à un moteur unifié de politiques de données (Data Policy Engine) qui centralise les contrôles d’accès, le chiffrement et la journalisation d’audit à travers l’e-mail sécurisé, le partage de fichiers sécurisé, le transfert de fichiers managé, et SFTP. Le chiffrement AES-256 avec des modules cryptographiques validés FIPS 140-3, ainsi qu’une piste d’audit unique, consolidée et immuable, fournissent aux organisations des preuves actualisées et exportables, tant pour l’auto-évaluation que pour la certification C3PAO au titre du 32 CFR.

Cette même base de preuves permet de maintenir un enregistrement SPRS précis et défendable au titre du 48 CFR — contribuant à garantir que le statut de conformité vérifié par un contracting officer dans SPRS reflète une posture de sécurité réellement à jour et bien documentée, plutôt qu’une reconstitution effectuée dans l’urgence.

Pour découvrir comment Kiteworks accompagne votre organisation dans sa conformité aux deux règles, planifiez une démonstration personnalisée.

Retour au glossaire Risque & Conformité