Conformité CMMC : niveaux, exigences et état actuel du programme

Le Cybersecurity Maturity Model Certification (CMMC) est le référentiel du Department of War (ministère de la Guerre, anciennement Department of Defense ou DoD) qui permet de vérifier que les sous-traitants de la défense protègent correctement les Controlled Unclassified Information (CUI) et les Federal Contract Information (FCI). Il s’applique à toute organisation de la base industrielle et technologique de défense (Defense Industrial Base, DIB) qui traite ces données pour le compte du ministère, et s’appuie directement sur des exigences de cybersécurité qui existaient déjà indépendamment du CMMC.

Le programme a considérablement évolué depuis sa création, et plus récemment le 13 juillet 2026, date à laquelle l’obligation de certification a été suspendue dans l’attente d’un examen global du programme. Ce guide détaille ce que le CMMC exige, comment fonctionnent ses trois niveaux et, surtout, où en est aujourd’hui le programme et ce que cela signifie concrètement pour les sous-traitants.

Résumé exécutif

Idée principale : le CMMC vérifie que les sous-traitants de la défense respectent des exigences de cybersécurité qui existent déjà en vertu de la clause DFARS 252.204-7012 et de la norme NIST SP 800-171 — il ne crée pas de nouvelles obligations de sécurité, mais met en place un mécanisme formel de vérification d’obligations que les sous-traitants portent depuis 2017. Depuis juillet 2026, le volet de certification par un tiers de ce mécanisme de vérification est suspendu dans l’attente d’un examen, mais les exigences de cybersécurité sous-jacentes, elles, ne le sont pas.

Pourquoi c’est important : les sous-traitants qui interprètent la suspension de la Phase 2 comme un signal pour relâcher leurs investissements en cybersécurité font une erreur de lecture. La conformité à NIST SP 800-171, la documentation du System Security Plan, le maintien du score SPRS et les obligations DFARS 252.204-7012 restent pleinement opposables — y compris le risque d’exposition au False Claims Act via la Civil Cyber-Fraud Initiative du ministère de la Justice (DoJ) pour les sous-traitants qui déclareraient une conformité inexacte. L’exigence de certification a bougé. La norme sous-jacente, elle, n’a pas bougé.

Points clés à retenir

1. Le CMMC vérifie la conformité à des exigences déjà existantes. Depuis 2017, la clause DFARS 252.204-7012 impose aux sous-traitants de la défense traitant des CUI de mettre en œuvre les 110 contrôles de sécurité de NIST SP 800-171. Le CMMC n’a pas créé cette obligation : il a créé un mécanisme de certification permettant de vérifier que les sous-traitants la respectent réellement, en remplacement d’un modèle d’auto-attestation jugé insuffisamment fiable par le DoD. C’est l’élément le plus important à comprendre pour interpréter tout changement affectant le programme CMMC : les évolutions des exigences de certification ne modifient pas les contrôles de sécurité que les sous-traitants doivent effectivement mettre en œuvre.
2. Le CMMC compte trois niveaux, corrélés à la sensibilité des données. Le Niveau 1 (Fondamental) s’applique aux sous-traitants traitant des FCI et exige 17 pratiques de protection de base, vérifiées par auto-évaluation annuelle. Le Niveau 2 (Avancé) s’applique aux sous-traitants traitant des CUI et exige l’ensemble des 110 contrôles de NIST SP 800-171, vérifiés soit par auto-évaluation, soit par certification tierce, selon la criticité du programme concerné. Le Niveau 3 (Expert) s’applique aux programmes les plus prioritaires et ajoute des contrôles issus de NIST SP 800-172, vérifiés par une évaluation menée par les autorités gouvernementales.
3. La Phase 2 — l’obligation de certification par un tiers — a été suspendue le 13 juillet 2026. Le Department of War a suspendu l’obligation d’évaluation par un organisme tiers certifié (Certified Third-Party Assessment Organization, C3PAO) qui devait entrer en vigueur le 10 novembre 2026. Un CMMC Reform Task Force mène un examen de 60 jours, dont les conclusions sont attendues vers la mi-septembre 2026. Les exigences d’auto-évaluation de la Phase 1, en vigueur depuis le 10 novembre 2025, restent quant à elles pleinement applicables et ne sont pas concernées.
4. La suspension ne touche ni la clause DFARS 252.204-7012, ni les obligations NIST SP 800-171. Toutes les analyses juridiques de cette pause convergent sur le même point : elle s’applique au mécanisme de certification CMMC, pas aux exigences contractuelles de cybersécurité sous-jacentes. Les sous-traitants soumis à la clause DFARS 252.204-7012 doivent continuer à mettre en œuvre NIST SP 800-171, à tenir à jour leurs System Security Plans, à publier leurs scores actuels sur le Supplier Performance Risk System (SPRS) et à corriger les écarts identifiés via des Plans of Action and Milestones (POA&M) documentés.
5. L’examen en cours est une étape intermédiaire, pas un aboutissement — et pourrait remodeler le programme plutôt que le supprimer. Les analystes juridiques et politiques qui suivent ce dossier s’accordent sur un point : un examen de 60 jours débouchant sur des recommandations n’a rien à voir avec un processus réglementaire modifiant des exigences, lequel prend au minimum plusieurs mois. Cet examen pourrait retarder davantage l’obligation C3PAO, restreindre le périmètre des contrats soumis à évaluation tierce plutôt qu’à auto-évaluation, ou restructurer le modèle d’évaluation lui-même. Il est en revanche très improbable qu’il affaiblisse la norme NIST SP 800-171 sous-jacente, celle-ci étant inscrite dans le DFARS indépendamment du CMMC.

État du programme : la suspension de la Phase 2 en juillet 2026

Le 13 juillet 2026, le Department of War (DoW, anciennement et toujours communément appelé Department of Defense, ou DoD) a annoncé la suspension immédiate des exigences de la Phase 2 du CMMC. Le mémo, signé par la Chief Information Officer du DoW Kirsten Davies et référencé 26-P-1023, a stoppé l’obligation qui devait imposer des évaluations obligatoires par un C3PAO dans les nouveaux appels d’offres et contrats à partir du 10 novembre 2026. La suspension a également gelé tous les jalons de mise en œuvre du CMMC à venir — ce qui signifie que les Phases 3 et 4 du déploiement initialement prévu en quatre phases sont, elles aussi, à l’arrêt.

Le ministère a simultanément annoncé la création d’un CMMC Reform Task Force, chargé de mener un examen complet du programme sur 60 jours. Cet examen fait suite à des préoccupations exprimées de façon répétée par les sous-traitants de la défense de petite et moyenne taille, concernant le coût et la charge opérationnelle de la certification tierce, et reflète les priorités plus larges du ministère au titre de son Acquisition Transformation System, axées sur la rapidité d’accès aux capacités et la réduction des barrières à l’entrée pour les sous-traitants petits, moyens et non traditionnels. Une Request for Information publique sollicite les retours de l’industrie sur le coût, la mise en œuvre et l’efficacité du cadre de certification actuel, les réponses étant attendues pour le 14 août 2026. Le Task Force devrait remettre ses conclusions à la Chief Information Officer du DoW vers la mi-septembre 2026.

Ce que la suspension change : pendant la durée de l’examen, les nouveaux appels d’offres et contrats sont limités aux exigences d’auto-évaluation des Niveaux 1 et 2 du CMMC. L’obligation de certification tierce obligatoire par un C3PAO, qui devait entrer en vigueur le 10 novembre 2026, est suspendue. Les program managers ne peuvent actuellement pas inclure les exigences des Phases 2, 3 ou 4 dans les nouveaux contrats.

Ce que la suspension ne change pas : les exigences d’auto-évaluation de la Phase 1, en vigueur depuis le 10 novembre 2025, restent pleinement applicables. Les sous-traitants soumis à la clause DFARS 252.204-7012 doivent continuer à mettre en œuvre les 110 contrôles de NIST SP 800-171, à tenir à jour des System Security Plans exacts et à publier leurs scores sur SPRS. Les sous-traitants soumis aux exigences d’auto-évaluation de Niveau 1 ou Niveau 2 au titre de la clause DFARS 252.204-7021 doivent continuer à confirmer leur conformité chaque année. La Civil Cyber-Fraud Initiative du ministère de la Justice continue par ailleurs de poursuivre, au titre du False Claims Act, les sous-traitants qui déclareraient une conformité cybersécurité inexacte — un risque juridique totalement indépendant de la pause sur la certification CMMC.

Ce que les sous-traitants doivent faire dès maintenant : considérer la mi-septembre 2026 comme une étape de mise à jour de l’information, et non comme une échéance ou un aboutissement. Continuer à tenir à jour les auto-évaluations, la documentation SSP et les scores SPRS comme si le calendrier initial de certification restait d’actualité, dans la mesure où un examen débouchant sur des recommandations relève d’un processus différent d’une procédure réglementaire modifiant les exigences — laquelle prend au minimum plusieurs mois, même une fois les recommandations formulées. Continuer à corriger les écarts identifiés via des POA&M documentés. Ne pas interpréter cette pause comme un signal invitant à réduire les investissements en cybersécurité : le niveau de sécurité que le DoD cherche à vérifier n’a pas changé, seul le mécanisme de vérification est actuellement en cours d’examen.

Ce que le CMMC exige

Les exigences du CMMC s’organisent autour du type de données traitées par un sous-traitant et, par conséquent, du niveau de certification applicable.

Les Federal Contract Information (FCI) sont des informations non destinées à une diffusion publique, fournies par le gouvernement ou générées pour son compte dans le cadre d’un contrat visant à développer ou fournir un produit ou un service. Les sous-traitants traitant uniquement des FCI relèvent du CMMC Niveau 1.

Les Controlled Unclassified Information (CUI) sont des informations sensibles dont la protection est requise par la loi, un règlement ou une politique gouvernementale, sans toutefois atteindre le seuil de classification. Les CUI recouvrent notamment les schémas techniques, les données soumises au contrôle des exportations et certaines informations sensibles liées aux achats. Les sous-traitants traitant des CUI relèvent du CMMC Niveau 2.

Les trois niveaux du CMMC :

Niveau 1 (Fondamental). S’applique aux sous-traitants traitant des FCI. Exige la mise en œuvre de 17 pratiques de protection de base, alignées sur la clause FAR 52.204-21. Vérifié par auto-évaluation annuelle — aucun audit tiers requis à ce niveau, quel que soit le résultat de l’examen de la Phase 2.

Niveau 2 (Avancé). S’applique aux sous-traitants qui traitent, stockent ou transmettent des CUI. Exige la mise en œuvre de l’intégralité des 110 contrôles de sécurité définis par NIST SP 800-171. La méthode de vérification dépend de la criticité du programme : les programmes prioritaires impliquant des informations critiques pour la sécurité nationale exigent une certification tierce par un C3PAO accrédité (actuellement suspendue au titre de la pause de juillet 2026) ; les programmes non prioritaires exigent une auto-évaluation annuelle (non affectée par la pause).

Niveau 3 (Expert). S’applique aux programmes les plus prioritaires traitant les CUI les plus sensibles. Ajoute un sous-ensemble d’exigences de sécurité renforcées issues de NIST SP 800-172, en complément du socle du Niveau 2. Vérifié par une évaluation menée par les autorités gouvernementales. Le Niveau 3 concerne un nombre plus restreint de contrats et n’a pas été directement affecté par la suspension de la Phase 2 de juillet 2026, qui visait spécifiquement l’obligation C3PAO du Niveau 2.

Comment le CMMC s’articule avec NIST SP 800-171 et le DFARS

Comprendre le lien entre ces trois éléments permet de saisir pourquoi la pause sur la Phase 2 ne réduit en rien les obligations des sous-traitants.

La clause DFARS 252.204-7012, en vigueur depuis 2017, impose aux sous-traitants de la défense traitant des informations de défense couvertes de mettre en œuvre une sécurité adéquate — définie comme la conformité à NIST SP 800-171 — et de signaler rapidement tout incident cyber. Cette clause existe indépendamment du CMMC et n’a fait l’objet d’aucune suspension, modification ou pause récente.

NIST SP 800-171 est la norme technique — 110 contrôles de sécurité répartis en 14 familles — qui définit ce que recouvre la « sécurité adéquate » exigée par la clause DFARS 252.204-7012. C’est le travail de sécurité concret que les sous-traitants doivent accomplir : contrôle d’accès, réponse aux incidents, chiffrement, journalisation des audits, gestion des configurations, et bien plus. Le CMMC n’a pas créé ces exigences ; elles existaient déjà plusieurs années avant sa mise en place.

Le CMMC constitue la couche de vérification et de certification qui vient s’ajouter au socle DFARS/NIST 800-171. Son objectif est de passer d’un modèle d’auto-attestation — jugé insuffisamment fiable par le DoD, compte tenu de cas documentés de sous-traitants ayant certifié une conformité qu’ils n’avaient pas réellement mise en œuvre — à un modèle vérifié, reposant soit sur une auto-évaluation rigoureuse avec notation SPRS, soit sur une évaluation tierce indépendante. La pause de juillet 2026 n’affecte que le volet d’évaluation tierce de cette couche de vérification, et non la clause DFARS sous-jacente ni les contrôles NIST 800-171 qu’elle impose.

C’est pourquoi toutes les analyses juridiques et politiques de cette pause convergent vers le même constat : c’est le calendrier de certification qui a bougé, pas les exigences de sécurité.

Ce qu’implique concrètement la protection des CUI

Les 110 contrôles de NIST SP 800-171 se traduisent par des capacités techniques et organisationnelles précises, que les sous-traitants doivent mettre en œuvre et être en mesure de démontrer, que la vérification s’effectue par auto-évaluation ou par certification tierce.

Contrôle d’accès. L’accès aux CUI doit être limité aux utilisateurs et systèmes autorisés, avec des mécanismes d’authentification adaptés à la sensibilité des informations, et un accès journalisé et auditable.

Chiffrement. Les CUI doivent être protégées par une cryptographie validée FIPS, aussi bien au repos qu’en transit. La norme de validation actuelle est FIPS 140-3.

Audit et responsabilité. Les systèmes traitant des CUI doivent générer des journaux d’audit suffisants pour permettre la surveillance, l’analyse, l’investigation et le signalement des incidents de sécurité — et ces journaux doivent être protégés contre tout accès ou modification non autorisés.

Gestion des configurations. Les organisations doivent établir et maintenir des configurations de référence pour les systèmes traitant des CUI, et encadrer toute modification apportée à ces configurations.

Réponse aux incidents. Les sous-traitants doivent maintenir une capacité opérationnelle de réponse aux incidents et signaler tout incident cyber impliquant des informations de défense couvertes dans un délai de 72 heures, conformément à la clause DFARS 252.204-7012.

System Security Plan (SSP) et Plan of Action and Milestones (POA&M). Tout sous-traitant soumis à la clause DFARS 252.204-7012 doit tenir à jour un SSP documentant la mise en œuvre de chacun des 110 contrôles, ainsi qu’un POA&M précisant les délais de remédiation pour tout contrôle non encore pleinement en place. Ces documents constituent les éléments sur lesquels s’appuient à la fois la notation d’auto-évaluation et l’évaluation tierce — et c’est leur exactitude que scrute la Civil Cyber-Fraud Initiative du DoJ lorsqu’elle engage des poursuites au titre du False Claims Act.

Comment Kiteworks accompagne la conformité CMMC

Kiteworks est conçu autour des exigences techniques précises que NIST SP 800-171 impose aux organisations traitant des CUI — indépendamment de la façon dont évolue la couche de certification CMMC.

Sur le chiffrement : Kiteworks applique un chiffrement AES-256 au niveau du fichier comme du disque, avec un chiffrement validé FIPS 140-3 Niveau 1 et des clés de chiffrement détenues par le client. TLS 1.2 constitue le socle minimal pour toutes les données en transit, avec TLS 1.3 disponible. Cela répond directement à la famille de contrôles System and Communications Protection (SC) de NIST 800-171.

Sur le contrôle d’accès et la journalisation des audits : un Data Policy Engine unifié applique des contrôles d’accès basés sur les rôles et les attributs sur l’ensemble des canaux — e-mail sécurisé, partage de fichiers sécurisé, transfert de fichiers géré sécurisé, SFTP, et formulaires de données sécurisés. Chaque événement d’accès est consigné dans une piste d’audit unique, immuable et consolidée — ce qui répond directement à la famille de contrôles Audit and Accountability (AU) et fournit aux sous-traitants des preuves exportables, prêtes pour l’évaluateur, que la vérification s’effectue par auto-évaluation ou par revue C3PAO.

Sur l’héritage FedRAMP : Kiteworks détient l’autorisation FedRAMP Moderate, évaluée de façon indépendante par Coalfire et surveillée en continu depuis juin 2017. Le référentiel FedRAMP Moderate et la norme NIST SP 800-171 partageant un chevauchement substantiel de contrôles, les sous-traitants utilisant une plateforme autorisée FedRAMP héritent de preuves documentées pour une part significative de leur périmètre de contrôles CMMC — ce qui réduit le périmètre d’évaluation, qu’il s’agisse d’une auto-évaluation ou d’une future revue C3PAO. Kiteworks a également obtenu l’autorisation FedRAMP High In Process pour son offre Secure Gov Cloud, répondant ainsi aux exigences de contrôle les plus strictes du gouvernement pour ses données non classifiées les plus sensibles — le standard requis par les agences et leurs sous-traitants pour l’ITAR, l’EAR et les niveaux supérieurs du CMMC 2.0.

Kiteworks couvre nativement près de 90 % des exigences du CMMC Niveau 2, offrant aux sous-traitants un socle technique documenté qui reste pertinent quelle que soit l’issue de l’examen en cours du programme — car les contrôles NIST 800-171 sous-jacents, auxquels la plateforme répond, ne font pas partie de ce qui est examiné.

Pour découvrir comment Kiteworks répond à vos exigences spécifiques de conformité CMMC, planifiez une démonstration personnalisée.

Ressources complémentaires

• Article de blog Conformité CMMC pour les petites entreprises : défis et solutions
• Article de blog Guide de conformité CMMC pour les fournisseurs de la DIB
• Article de blog Exigences d’audit CMMC : ce que les évaluateurs recherchent pour juger votre niveau de préparation
• Guide Cartographie de conformité CMMC 2.0 pour les communications de contenus sensibles
• Article de blog Le coût réel de la conformité CMMC : ce que les sous-traitants de la défense doivent budgétiser