CMMC Niveau 2 : ce qu'il exige et sa place entre le Niveau 1 et le Niveau 3

Le CMMC Niveau 2 est le palier de certification qui s’applique à la plus grande part des sous-traitants et sous-traitants de rang inférieur de la base industrielle de défense (BID), et c’est celui que la majorité des organisations de ce secteur doivent réellement bien comprendre. Il occupe la position intermédiaire dans la structure à trois niveaux du référentiel — plus exigeant que le Niveau 1, mais moins contraignant que le Niveau 3 — et c’est précisément cette position médiane qui justifie de le comprendre en contexte, et non isolément.

Ce guide détaille les exigences du Niveau 2, ce qui le distingue du Niveau 1 en dessous et du Niveau 3 au-dessus, ainsi que ce qu’une certification Niveau 2 indique — ou n’indique pas — à un agent contractant sur la posture de sécurité de votre organisation.

Remarque : les exigences de certification par tierce partie de la Phase 2 du CMMC ont été suspendues par le Département de la Guerre en juillet 2026, dans l’attente d’un examen du programme. Les exigences d’auto-évaluation du Niveau 2 restent en vigueur. Consultez La Phase II du CMMC est suspendue. Pas vos obligations DFARS. pour plus de détails.

Résumé

Idée principale : Le CMMC Niveau 2 exige la mise en œuvre des 110 contrôles de la norme NIST SP 800-171 afin de protéger les informations non classifiées contrôlées (CUI), vérifiée par auto-évaluation ou par certification tierce partie C3PAO selon la criticité du programme. Il s’agit d’un saut considérable par rapport aux 17 mesures de protection de base du Niveau 1, mais il n’inclut pas les contrôles renforcés de la norme NIST SP 800-172 qu’ajoute le Niveau 3 pour les programmes de sécurité nationale les plus sensibles.

Pourquoi c’est important : Choisir le mauvais niveau — ou en présumer un à tort — est l’une des erreurs les plus fréquentes et les plus coûteuses commises par les sous-traitants. Se préparer insuffisamment pour un Niveau 2 exigé par votre contrat disqualifie votre offre. Investir dans des contrôles de calibre Niveau 3 alors que votre contrat n’exige que le Niveau 2 gaspille un budget que vous n’auriez pas dû dépenser. Savoir précisément ce que couvre — et ne couvre pas — le Niveau 2 est ce qui vous permet de calibrer correctement votre investissement en conformité.

Points clés à retenir

1. Le Niveau 2 est défini par le type de données que vous traitez : les informations non classifiées contrôlées (CUI). Si votre organisation ne traite que des informations contractuelles fédérales (FCI), vous avez besoin du Niveau 1, et non du Niveau 2. Le Niveau 2 s’applique spécifiquement aux sous-traitants et sous-traitants de rang inférieur qui traitent, stockent ou transmettent des CUI dans le cadre d’un contrat du Département de la Défense (DoD).
2. Le Niveau 2 exige les 110 contrôles de la norme NIST SP 800-171 — le Niveau 1 n’en exige que 17. Il s’agit du plus grand écart au sein du référentiel CMMC. Les pratiques de protection de base du Niveau 1 couvrent l’hygiène fondamentale ; le Niveau 2 exige une mise en œuvre complète sur les 14 domaines de contrôle de la norme NIST SP 800-171, un chantier nettement plus vaste et plus rigoureux.
3. La vérification du Niveau 2 dépend de la criticité du programme — tous les contrats de Niveau 2 n’exigent pas le même type d’évaluation. Les programmes impliquant des informations critiques pour la sécurité nationale exigent une certification tierce partie par un C3PAO. Un sous-ensemble de programmes de Niveau 2 n’atteignant pas ce seuil peut en revanche se contenter d’une auto-évaluation annuelle assortie d’une attestation de la direction générale — une distinction pratique importante pour les sous-traitants qui cherchent à estimer le calendrier et le coût de leur mise en conformité.
4. Le Niveau 2 certifie la mise en œuvre de la norme NIST SP 800-171 — il n’inclut pas les contrôles renforcés du Niveau 3. Le Niveau 3, réservé aux programmes les plus prioritaires, ajoute un ensemble supplémentaire de contrôles issus de la norme NIST SP 800-172 par-dessus l’intégralité du socle du Niveau 2. Une certification Niveau 2 n’indique pas une préparation suffisante pour des programmes de Niveau 3, et les sous-traitants qui répondent à des appels d’offres pour les travaux de sécurité nationale les plus sensibles ne doivent pas présumer que le Niveau 2 suffit.
5. Le Niveau 2 ouvre l’accès à des contrats que le Niveau 1 seul ne permet pas. Tout contrat du DoD impliquant des CUI exige le Niveau 2, quelle que soit la qualité de mise en œuvre des mesures de base du Niveau 1 par un sous-traitant. Les organisations qui ne visent que le Niveau 1 sont structurellement exclues de la majorité des opportunités contractuelles substantielles du DoD, la plupart des travaux de défense impliquant des CUI à un moment ou un autre du cycle de vie du contrat.

Comment les trois niveaux du CMMC s’articulent entre eux

Les trois niveaux du CMMC 2.0 forment une hiérarchie directement liée à la sensibilité des données traitées par le sous-traitant — et non à la taille de l’organisation, à son chiffre d’affaires ou à toute autre caractéristique commerciale. Comprendre la place qu’occupe le Niveau 2 dans cette hiérarchie est le moyen le plus rapide de déterminer s’il constitue réellement le bon objectif pour votre organisation.

Le Niveau 1 (Fondamental) s’applique aux sous-traitants qui ne traitent que des informations contractuelles fédérales (FCI) — des informations fournies par le gouvernement, ou générées pour lui, dans le cadre d’un contrat, non destinées à une diffusion publique, mais dont la sensibilité n’atteint pas celle des CUI. Le Niveau 1 exige 17 pratiques de protection de base issues du FAR 52.204-21, vérifiées par auto-évaluation annuelle. Aucune certification tierce partie n’est exigée au Niveau 1, en aucune circonstance.

Le Niveau 2 (Avancé) s’applique aux sous-traitants qui traitent des CUI — une catégorie plus large et plus sensible, couvrant les plans techniques, les données soumises au contrôle des exportations et d’autres informations dont la protection est exigée par la loi, la réglementation ou une politique gouvernementale. Le Niveau 2 exige les 110 contrôles de sécurité définis par la norme NIST SP 800-171, vérifiés par auto-évaluation ou par certification tierce partie C3PAO selon la criticité du programme concerné.

Le Niveau 3 (Expert) s’applique aux programmes les plus prioritaires traitant les CUI les plus sensibles — généralement ceux qui attirent le plus les adversaires étatiques sophistiqués. Le Niveau 3 exige l’intégralité du socle du Niveau 2, complété par un sous-ensemble d’exigences de sécurité renforcées issues de la norme NIST SP 800-172, vérifiées par une évaluation menée par le gouvernement plutôt que par un C3PAO.

En pratique, chaque niveau est cumulatif. Le Niveau 2 ne remplace pas les exigences du Niveau 1 — il les englobe et y ajoute considérablement plus. Le Niveau 3 ne remplace pas le Niveau 2 — il s’appuie dessus. Une organisation certifiée au Niveau 2 a, de fait, déjà satisfait aux exigences du Niveau 1, celles-ci étant incluses dans l’ensemble plus large des contrôles du Niveau 2.

Ce que le Niveau 2 exige et que le Niveau 1 n’exige pas

Le passage du Niveau 1 au Niveau 2 représente un saut considérable — non pas une progression incrémentale, mais une expansion significative en portée comme en rigueur.

Les 17 pratiques du Niveau 1 couvrent l’hygiène cyber de base : identifier et authentifier les utilisateurs, limiter l’accès physique, contrôler les informations publiées publiquement. C’est un socle réel, mais peu élevé, conçu pour la catégorie d’informations gouvernementales la moins sensible.

Les 110 contrôles du Niveau 2 couvrent les 14 domaines de la norme NIST SP 800-171 : contrôle d’accès, audit et responsabilisation, sensibilisation et formation, gestion de la configuration, identification et authentification, réponse aux incidents, maintenance, protection des supports, sécurité du personnel, protection physique, évaluation des risques, évaluation de la sécurité, protection des systèmes et des communications, et intégrité des systèmes et des informations. Cela inclut des exigences que le Niveau 1 n’aborde absolument pas — une journalisation d’audit suffisante pour retracer les actions individuelles des utilisateurs, le chiffrement des CUI au repos et en transit à l’aide d’une cryptographie validée FIPS, une capacité formelle de réponse aux incidents avec des délais de signalement obligatoires, ainsi qu’une évaluation des risques documentée et menée en continu.

La charge de vérification change elle aussi de manière substantielle. Le Niveau 1 fait toujours l’objet d’une auto-évaluation. Le Niveau 2, selon la criticité du programme, peut exiger qu’un C3PAO accrédité mène une évaluation tierce partie rigoureuse — examen de la documentation, entretiens, et inspection des systèmes sur site ou à distance. Ce processus est nettement plus exigeant et plus coûteux que l’auto-évaluation requise pour le Niveau 1.

Ce que le Niveau 2 ne couvre pas et que le Niveau 3 couvre

Il est tout aussi important de comprendre les limites du Niveau 2 que ses exigences — en particulier pour les sous-traitants susceptibles de croire qu’une certification Niveau 2 signale une préparation suffisante pour tout type de travail du DoD, y compris les programmes de sécurité nationale les plus sensibles.

Le Niveau 3 ajoute des exigences de sécurité renforcées issues de la norme NIST SP 800-172, conçues spécifiquement pour contrer les menaces persistantes avancées — des adversaires sophistiqués, souvent affiliés à des États, disposant des ressources et de la patience nécessaires pour cibler les informations de défense les plus précieuses sur de longues périodes. Ces exigences renforcées vont au-delà du socle de la norme NIST SP 800-171 dans des domaines tels que la capacité avancée de chasse aux menaces, une gestion plus rigoureuse des risques liés à la chaîne d’approvisionnement, et une protection renforcée contre les menaces internes.

Le Niveau 3 modifie également qui mène l’évaluation. Plutôt qu’un C3PAO, la vérification du Niveau 3 est menée par le gouvernement — ce qui reflète la sensibilité accrue des programmes que ce niveau protège. Une certification Niveau 2, aussi rigoureusement obtenue soit-elle, n’indique pas une préparation suffisante pour ce palier, et les sous-traitants ne doivent pas présenter une certification Niveau 2 comme suffisante pour un programme exigeant spécifiquement le Niveau 3.

En pratique, seule une petite partie des contrats de la BID exige le Niveau 3 — ceux impliquant les informations de sécurité nationale les plus sensibles et les plus critiques. La plupart des sous-traitants traitant des CUI constateront que le Niveau 2 est à la fois nécessaire et suffisant pour les travaux qu’ils visent.

Déterminer quel niveau s’applique à votre organisation

Le niveau exigé pour un contrat donné est déterminé par le type de données concernées et est généralement précisé dans le contrat ou l’appel d’offres lui-même, et non laissé à l’appréciation du sous-traitant. Vérifiez les exigences de répercussion (« flow-down ») de votre donneur d’ordre principal ou les termes de votre contrat direct pour connaître le niveau spécifiquement exigé.

Pour un programme de Niveau 2 en particulier, confirmez si votre contrat relève du sous-ensemble autorisant l’auto-évaluation ou s’il exige une certification tierce partie complète par un C3PAO — cette distinction a un impact important sur le calendrier et le coût de votre mise en conformité, et elle n’est pas toujours évidente sans un examen attentif des exigences spécifiques du programme. Pour le déroulé détaillé de la préparation et de la réalisation d’une évaluation de Niveau 2, consultez notre Guide d’évaluation CMMC Niveau 2. Pour la séquence complète, de l’analyse initiale des écarts jusqu’à la certification, consultez notre Feuille de route CMMC 2.0, et pour une liste de contrôle opérationnelle, domaine par domaine, des contrôles exigés par le Niveau 2, consultez notre Liste de contrôle de conformité CMMC 2.0.

Comment Kiteworks accompagne la conformité au CMMC Niveau 2

Kiteworks prend en charge nativement près de 90 % des exigences du CMMC 2.0 Niveau 2, en consolidant les canaux par lesquels transitent les CUI — e-mail sécurisé, partage sécurisé de fichiers, transfert de fichiers managé, SFTP, formulaires de données sécurisés et API — au sein d’une plateforme unique et gouvernée, dotée d’un moteur de politique de données unifié.

Le chiffrement AES-256 au niveau des fichiers et des disques, associé à des modules cryptographiques validés FIPS 140-3 et à des clés de chiffrement détenues par le client, répond directement aux exigences de protection des systèmes et des communications du Niveau 2. Une piste d’audit unique, consolidée et immuable, couvrant l’ensemble des canaux, constitue la base probante des exigences d’audit et de responsabilisation du Niveau 2, offrant à la documentation d’auto-évaluation comme aux évaluateurs C3PAO un enregistrement unifié plutôt que des fragments dispersés entre systèmes déconnectés. Kiteworks détient également l’autorisation FedRAMP Modérée, évaluée de manière indépendante depuis juin 2017, offrant un héritage de contrôles documenté qui réduit spécifiquement le périmètre d’évaluation pour la certification Niveau 2.

Pour découvrir comment Kiteworks accompagne votre organisation sur la voie de la certification CMMC Niveau 2, planifiez une démonstration personnalisée.

Ressources complémentaires

• Article de blog Conformité CMMC pour les petites entreprises : défis et solutions
• Article de blog Guide de conformité CMMC pour les fournisseurs de la BID
• Article de blog Exigences d’audit CMMC : ce que les évaluateurs doivent constater pour juger votre préparation au CMMC
• Guide Cartographie de conformité CMMC 2.0 pour les communications de contenu sensible
• Article de blog Le coût réel de la conformité CMMC : ce que les sous-traitants de défense doivent budgétiser

Retour au glossaire Risques & Conformité