Niveaux CMMC en bref : Fondamental, Avancé, Expert

Une référence rapide sur les trois niveaux de certification CMMC 2.0 : quelles données chacun couvre, combien de contrôles il exige, comment il est évalué, et qui en a besoin. Pour une explication complète des liens entre les niveaux et de ce qu’implique réellement le passage de l’un à l’autre, consultez notre guide CMMC Level 2.

Remarque : les exigences de certification par un tiers de la Phase 2 du CMMC ont été suspendues par le Département de la Guerre en juillet 2026, dans l’attente d’un examen du programme. L’auto-évaluation de Niveau 1 et l’auto-évaluation de Niveau 2 (le cas échéant) restent en vigueur. Consultez La Phase II du CMMC est suspendue. Pas vos obligations DFARS. pour plus de détails.

Comprendre les niveaux de CMMC 2.0

Les trois niveaux en un coup d’œil

	Niveau 1 — Fondamental	Niveau 2 — Avancé	Niveau 3 — Expert
Données protégées	Informations contractuelles fédérales (FCI)	Informations non classifiées contrôlées (CUI)	CUI sur les programmes les plus prioritaires
Nombre de contrôles	17 pratiques de protection de base	110 contrôles (NIST SP 800-171)	134 contrôles (110 issus de NIST SP 800-171 + 24 issus de NIST SP 800-172)
Ce qui change à ce niveau	Hygiène cybernétique de base : identification des utilisateurs, limitation des accès physiques, contrôle des informations publiques — pas encore d’exigences de chiffrement, de journalisation d’audit ou de réponse aux incidents	Tout ce qui figure au Niveau 1, plus le chiffrement (validé FIPS), une journalisation d’audit liée à chaque utilisateur, une réponse formelle aux incidents, une évaluation des risques documentée, et 10 domaines de contrôle supplémentaires que le Niveau 1 n’aborde pas du tout	Tout ce qui figure au Niveau 2, plus des exigences renforcées visant les menaces persistantes avancées : une gestion plus approfondie des risques liés à la chaîne d’approvisionnement, une capacité avancée de chasse aux menaces, et une protection renforcée contre les menaces internes
Prérequis pour ce niveau	Aucun — c’est le point d’entrée	Aucun prérequis formel, mais les organisations déjà conformes au Niveau 1 ont une longueur d’avance, puisque le Niveau 2 englobe les pratiques du Niveau 1	Aucun prérequis formel, mais le Niveau 3 suppose que la mise en œuvre complète du Niveau 2 est déjà en place et fonctionnelle — ce n’est pas un point de départ pour une organisation découvrant le CMMC
Type d’évaluation	Auto-évaluation annuelle	Auto-évaluation ou certification par un tiers C3PAO, selon la criticité du programme	Évaluation triennale menée par le gouvernement (DIBCAC)
POA&M autorisés ?	Non	Oui, pour un sous-ensemble limité de contrôles avec un calendrier défini	Oui, dans le même cadre limité que le Niveau 2
Qui en a généralement besoin	Les prestataires ne traitant que des FCI, sans CUI	Les prestataires et sous-traitants traitant des CUI — la plus grande part de la base industrielle de défense (DIB)	Les prestataires travaillant sur les programmes de sécurité nationale les plus sensibles, exposés aux menaces persistantes avancées
Pour aller plus loin	Guide CMMC Niveau 1	Guide CMMC Niveau 2	Guide CMMC Niveau 3

Comment utiliser ce tableau

Identifiez votre ligne en fonction du type de données que traite votre organisation — c’est le facteur déterminant, pas la taille de l’entreprise ni son chiffre d’affaires. Si vous ne traitez que des FCI, vous relevez du Niveau 1. Si vous traitez des CUI, vous êtes au Niveau 2, et votre contrat spécifique précisera si l’auto-évaluation ou la certification C3PAO s’applique. Le Niveau 3 concerne une petite partie de la base industrielle de défense travaillant sur les programmes de sécurité nationale les plus sensibles, et il est spécifié directement dans le contrat concerné — ce n’est pas un niveau qu’une organisation choisit de viser de son propre chef.

Les niveaux sont cumulatifs : le Niveau 2 englobe les exigences du Niveau 1 et en ajoute considérablement plus ; le Niveau 3 englobe l’intégralité de la base du Niveau 2 et y ajoute des contrôles renforcés. Une organisation certifiée à un niveau supérieur a, de fait, déjà satisfait aux niveaux inférieurs.

Comment déterminer le niveau réellement requis pour votre organisation

La plupart des organisations ne choisissent pas leur niveau CMMC — celui-ci est déterminé par les données qu’elles traitent et précisé dans le contrat lui-même. Mais comprendre exactement ce que cela signifie pour votre organisation nécessite quelques étapes concrètes.

Étapes clés pour déterminer votre niveau CMMC

Partez du texte de votre contrat, pas de vos propres suppositions.
L’appel d’offres ou le contrat précise généralement directement le niveau CMMC requis, ou fait référence au type d’informations concernées en des termes qui correspondent à un niveau (FCI ou CUI). Si vous êtes sous-traitant, vérifiez les exigences en cascade de votre contractant principal — le niveau qui vous concerne dépend spécifiquement de ce que vous traitez, qui peut différer de ce que traite le contractant principal.
Identifiez précisément quelles données transitent par votre organisation, et non ce que vous supposez y transiter.
C’est souvent là que les organisations se trompent sur leur propre niveau. Une entreprise convaincue de ne traiter que des FCI peut découvrir, en y regardant de plus près, qu’un sous-ensemble de plans techniques, de spécifications soumises au contrôle des exportations, ou d’autres CUI transite par email, par un partage de fichiers ou via une relation avec un sous-traitant, sans que personne ne l’ait formellement classifié comme tel. Puisque la présence de CUI déclenche le Niveau 2 quel que soit le volume, seul un inventaire réel des flux de données — et non une impression générale du « type de travail que nous faisons » — permet de confirmer votre niveau de façon fiable.
Si vous êtes au Niveau 2, vérifiez si votre programme spécifique exige une auto-évaluation ou une certification par un tiers.
Tous les contrats de Niveau 2 n’imposent pas la même charge d’évaluation. Les programmes impliquant les informations de sécurité nationale les plus critiques exigent une certification C3PAO ; d’autres permettent l’auto-évaluation. Cette distinction a un impact significatif sur votre calendrier et vos coûts de conformité, et il vaut mieux la vérifier directement plutôt que de supposer par défaut que la voie la plus exigeante s’applique — ou, tout aussi risqué, de supposer que la voie la plus légère s’applique sans vérification.
N’investissez pas trop dans des contrôles de Niveau 3 dont vous n’avez pas besoin, et n’investissez pas trop peu dans les contrôles de Niveau 2 qui vous concernent réellement.
Le Niveau 3 est réservé à un petit nombre de programmes parmi les plus sensibles et est explicitement précisé lorsqu’il s’applique — une organisation ne se retrouvera jamais soumise au Niveau 3 par accident, sans qu’un contrat ne le lui indique. L’erreur la plus fréquente, et la plus coûteuse, va en réalité dans l’autre sens : des organisations supposent que le Niveau 1 suffit parce qu’elles ne considèrent pas leur activité comme « sensible », alors qu’en réalité des CUI circulent déjà dans leurs systèmes et que le Niveau 2 est la véritable exigence.
En cas de doute réel, interrogez directement l’agent contractant ou votre contractant principal.
Le niveau requis est un fait lié au contrat, pas une question d’interprétation — et se tromper, dans un sens comme dans l’autre, a un coût réel : une offre insuffisamment préparée qui se voit disqualifiée, ou un programme de conformité surdimensionné qui dépense son budget sur des exigences qui ne s’appliquent pas.

État actuel du programme

L’auto-évaluation de Niveau 1 et l’auto-évaluation de Niveau 2 (pour les contrats ne nécessitant pas de certification par un tiers) restent pleinement en vigueur. L’exigence de certification C3PAO de Niveau 2 pour les programmes les plus critiques — dont l’extension était initialement prévue dans le cadre de la Phase 2 à partir de novembre 2026 — est actuellement suspendue dans l’attente de l’examen du groupe de travail sur la réforme du Département de la Guerre, dont les conclusions sont attendues vers la mi-septembre 2026. La propre enquête de Kiteworks, menée auprès de 273 organisations de la base industrielle de défense, a révélé que cette pause n’a globalement pas ralenti les efforts de conformité — 98 % des répondants ont pris au moins une mesure concrète en réponse. Consultez L’état de préparation au CMMC 2.0 dans la DIB pour l’ensemble des résultats.

Comment Kiteworks accompagne chaque niveau CMMC

Kiteworks prend en charge près de 90 % des exigences du Niveau 2 CMMC 2.0 dès l’installation, grâce à un moteur unifié de politiques de données (Data Policy Engine), un chiffrement AES-256 reposant sur des modules cryptographiques validés FIPS 140-3, et une piste d’audit unique, consolidée et immuable couvrant l’email sécurisé, le partage de fichiers sécurisé, le transfert de fichiers géré, et le SFTP — la même base qui prend en charge les exigences de protection de base du Niveau 1 et qui contribue à l’ensemble des contrôles renforcés du Niveau 3. Kiteworks détient également l’autorisation FedRAMP Moderate, évaluée de façon indépendante depuis juin 2017.

Pour découvrir comment Kiteworks répond au niveau CMMC spécifique de votre organisation, planifiez une démonstration personnalisée.

Questions fréquentes

Le niveau requis dépend du type de données que traite votre organisation, et il est généralement précisé directement dans votre contrat ou dans les exigences en cascade de votre contractant principal. Les organisations ne traitant que des informations contractuelles fédérales (FCI) relèvent du Niveau 1. Celles traitant des informations non classifiées contrôlées (CUI) relèvent du Niveau 2. Le Niveau 3 ne concerne qu’une petite partie des programmes de sécurité nationale les plus sensibles et est précisé dans le contrat concerné, sans être choisi de manière indépendante.

Supposer que le Niveau 1 suffit sans avoir réellement établi l’inventaire des données qui transitent par l’organisation. Une entreprise peut croire qu’elle ne traite que des informations contractuelles fédérales, alors qu’en réalité des CUI — plans techniques, spécifications soumises au contrôle des exportations, ou autres données sensibles — transitent par email, par un partage de fichiers ou via une relation avec un sous-traitant, sans avoir été formellement identifiées comme telles. Puisque la moindre quantité de CUI déclenche le Niveau 2, quel que soit le volume, seul un véritable inventaire des flux de données permet de confirmer un niveau de façon fiable, et non une impression générale du type de travail effectué par l’organisation. L’erreur inverse — surinvestir dans des contrôles de Niveau 3 non requis — est moins fréquente, car le Niveau 3 est toujours explicitement précisé dans un contrat, plutôt que quelque chose qu’une organisation pourrait supposer par erreur s’appliquer à elle.

Le Niveau 1 exige 17 pratiques de protection de base. Le Niveau 2 exige 110 contrôles issus de la norme NIST SP 800-171. Le Niveau 3 exige 134 contrôles — les 110 du Niveau 2 auxquels s’ajoutent 24 contrôles renforcés supplémentaires issus de la norme NIST SP 800-172. Chaque niveau est cumulatif, ce qui signifie qu’une organisation de Niveau 3 a, de fait, déjà satisfait aux Niveaux 1 et 2, ceux-ci étant inclus dans son ensemble de contrôles plus large.

Passer du Niveau 1 au Niveau 2 signifie ajouter des catégories entières d’exigences que le Niveau 1 n’aborde absolument pas — le chiffrement reposant sur une cryptographie validée FIPS, une journalisation d’audit qui trace les actions de chaque utilisateur, une capacité formelle de réponse aux incidents, une évaluation des risques documentée et continue, ainsi que la couverture de 10 domaines de contrôle supplémentaires de la norme NIST SP 800-171, au-delà de ce que couvrent les 17 pratiques du Niveau 1. Il s’agit d’un saut considérable, tant en portée qu’en rigueur, et non d’un ajout progressif. Passer du Niveau 2 au Niveau 3 signifie ajouter un ensemble plus restreint d’exigences renforcées issues de la norme NIST SP 800-172, visant spécifiquement à se défendre contre les menaces persistantes avancées — une gestion plus approfondie des risques liés à la chaîne d’approvisionnement, une capacité avancée de chasse aux menaces, et une protection renforcée contre les menaces internes — en plus d’une mise en œuvre complète du Niveau 2, censée être déjà en place et opérationnelle.

Le Niveau 1 est toujours vérifié par une auto-évaluation annuelle — aucune exigence de certification par un tiers n’existe à ce niveau. Le Niveau 2 dépend de la criticité du programme : les contrats impliquant les informations de sécurité nationale les plus critiques exigent une certification par un tiers C3PAO, tandis que d’autres contrats de Niveau 2 peuvent permettre l’auto-évaluation. Le Niveau 3 exige une évaluation triennale menée par le gouvernement, réalisée par le Defense Industrial Base Cybersecurity Assessment Center (DIBCAC), et non par un C3PAO.

Non. Le Niveau 1 n’autorise pas les POA&M — les 17 pratiques doivent être entièrement mises en œuvre avant la certification. Les Niveaux 2 et 3 autorisent tous deux un POA&M pour un sous-ensemble limité de contrôles, avec un calendrier de remédiation défini, offrant ainsi aux organisations une voie documentée pour combler des lacunes spécifiques sans exiger une mise en œuvre complète dès le premier jour.

Retour au Glossaire des Risques et de la Conformité