Qu’est-ce que la conformité CMMC ? Définition, niveaux et exigences

La conformité CMMC est le cadre de certification du DoD pour protéger les CUI et FCI à travers trois niveaux de maturité. Découvrez les 14 domaines de pratique et le calendrier de déploiement.

Qu’est-ce que le CMMC ?

Le Cybersecurity Maturity Model Certification (CMMC) est le cadre du Department of Defense destiné à vérifier que les sous-traitants protègent réellement les informations sensibles. Au niveau du programme, la règle finale du programme CMMC établit l’objectif du CMMC : protéger les Controlled Unclassified Information (CUI) et les Federal Contract Information (FCI) que vous traitez, stockez ou transmettez dans le cadre de l’exécution d’un contrat DoD. Conformément au DFARS 204.7500, le CMMC est « un cadre d’évaluation des protections de sécurité de l’information d’un sous-traitant » qui prescrit des politiques et des procédures pour inclure les exigences de niveau de certification dans les contrats DoD. Le CMMC 2.0 a simplifié le modèle initial à cinq niveaux en trois niveaux, et la règle finale documente cette structure mise à jour.

Avant le CMMC, les sous-traitants s’auto-attestaient conformes au NIST SP 800-171 avec une vérification externe limitée. Si vous soumettiez un score Supplier Performance Risk System (SPRS) surestimé et qu’un audit révélait un score réel fortement négatif, vous pouviez déclencher un problème au titre du False Claims Act, et pas seulement un échec de contrôle de conformité. C’est la raison opérationnelle de l’existence du CMMC : le DoD ne se fie plus à l’auto-attestation lorsque des CUI sont en jeu.

Les incidents de chaîne d’approvisionnement ont rendu les enjeux plus clairs. En 2022, des attaquants ont frappé Viasat avec une attaque destructrice de type wiper contre son réseau satellite KA-SAT, perturbant les communications de dizaines de milliers de clients à travers l’Europe et l’Ukraine, selon le rapport SentinelLabs. En 2020, la compromission de la chaîne d’approvisionnement SolarWinds a touché jusqu’à 18 000 clients, selon l’ alerte CISA. Lorsque votre environnement touche à des programmes DoD, le CMMC vous pousse à prouver que vous pouvez protéger les CUI, et pas seulement à l’affirmer.

FCI vs. CUI : ce que protège votre niveau de certification

La conformité CMMC relie la documentation des contrôles à une preuve vérifiable de leur fonctionnement dans votre environnement. Le CMMC applique un modèle de certification réussite/échec. Soit vous démontrez des contrôles opérationnels au moyen de preuves vérifiables, soit vous n’obtenez pas la certification. Deux catégories d’informations déterminent vos exigences :

• Federal Contract Information (FCI) : Le gouvernement fournit ou génère ces informations pour votre travail contractuel, et elles ne sont pas destinées à être rendues publiques. Vous les protégez avec des mesures de protection de base conformément au FAR 52.204-21.
• Controlled Unclassified Information (CUI) : Des lois ou une politique gouvernementale générale imposent la protection de ces informations. Vous les protégez en vous alignant sur le NIST SP 800-171.

Cette distinction détermine la manière dont vous définissez le périmètre des systèmes, choisissez un niveau cible et construisez votre plan de preuves. L’ISOO des National Archives clarifie la hiérarchie dans les directives de l’ISOO : « Toutes les CUI en possession d’un sous-traitant du gouvernement sont des FCI, mais toutes les FCI ne sont pas des CUI. » Si vous classez correctement vos données, vous pouvez définir correctement le périmètre, et c’est là que commencent la plupart des résultats CMMC.

Ensuite, confirmez si le CMMC s’applique à vos contrats et à votre rôle dans la chaîne d’approvisionnement.

À qui s’applique la conformité CMMC

Le CMMC s’applique à vous si vous êtes un contractant ou un sous-traitant de la Defense Industrial Base et que vous manipulez des FCI ou des CUI dans le cadre de l’exécution d’un contrat DoD. Le niveau requis dépend de la sensibilité de ce que vous manipulez et de l’endroit où ces informations circulent.

• Niveau 1 (Fondamental) : Vous manipulez uniquement des FCI, sans CUI. Cela correspond souvent à des fonctions de support de base où les CUI n’entrent jamais dans vos systèmes.
• Niveau 2 (Avancé) : Vous manipulez des CUI telles que des données techniques, des spécifications d’ingénierie, des informations sensibles liées aux acquisitions ou des documents de conception. Vous verrez ce niveau lorsque des CUI circulent dans la chaîne d’approvisionnement, lorsque vous exécutez des programmes de R&D avec des livrables marqués CUI, ou lorsque vous fournissez des services IT qui maintiennent des systèmes contenant des CUI.
• Niveau 3 (Expert) : Vous gérez des CUI au sein des programmes DoD les plus prioritaires, où une compromission créerait un avantage significatif pour un adversaire ou où l’impact sur la mission et l’agrégation augmentent votre profil de risque.

Les niveaux CMMC sont cumulatifs : lorsque vous visez un niveau supérieur, vous répondez également aux exigences des niveaux inférieurs, et la règle finale du programme CMMC définit cette structure.

Une fois votre niveau connu, vous pouvez le faire correspondre aux clauses, évaluations et conséquences qui déterminent votre éligibilité.

Fonctionnement de la conformité CMMC : réglementations et conséquences

Le CMMC est contraignant par le langage contractuel, et non par une adoption volontaire. Deux réglementations fédérales lui donnent sa force juridique, et le non-respect entraîne des conséquences qui vont au-delà d’un audit échoué. Comprendre la structure réglementaire, votre voie d’évaluation et le coût réel de la non-conformité est la base pour définir correctement le périmètre de vos travaux de préparation.

Le cadre réglementaire

Deux clauses DFARS intègrent le CMMC dans vos contrats.

• La clause DFARS 252.204-7021 exige que vous « disposiez et mainteniez pendant toute la durée du contrat un statut CMMC en cours de validité au niveau CMMC suivant, ou supérieur ».
• La disposition DFARS 252.204-7025 exige que vous publiiez les résultats d’évaluation dans SPRS avant l’attribution et identifiiez les systèmes qui traiteront des FCI ou des CUI.

Ce sont ces clauses qui transforment le CMMC, de simple guide, en critère bloquant pour les contrats.

Voies d’évaluation

Les voies d’évaluation varient selon le niveau et l’appel d’offres. Vous fournissez également une affirmation annuelle de conformité continue, et le bureau de programme DoD détermine si votre contrat de niveau 2 exige une auto-évaluation ou une certification C3PAO.

Deux détails opérationnels déterminent souvent ce qui se passe en pratique :

• Le niveau 2 exige 110 exigences issues du NIST SP 800-171, telles que définies dans le NIST SP 800-171.
• Dans le cadre de la voie conditionnelle, le niveau 2 autorise des Plans of Action and Milestones (POA&Ms) limités lorsque vous atteignez le seuil minimal de mise en œuvre du programme, et les définitions du DFARS 204.7501 documentent les termes du statut CMMC.

Lorsque les POA&Ms sont autorisés, vous restez soumis à un délai strict. Le statut conditionnel est limité dans le temps, conformément aux mêmes définitions du DFARS 204.7501.

Conséquences de la non-conformité

Ne pas détenir le statut CMMC requis entraîne des conséquences sur trois dimensions : l’éligibilité contractuelle, l’exposition juridique et la continuité des opérations.

• L’inéligibilité contractuelle est structurelle, non discrétionnaire. Si vous ne détenez pas le statut CMMC requis, vous ne pouvez pas obtenir une attribution ni poursuivre l’exécution lorsqu’un contrat exige ce statut.
• L’exposition au False Claims Act devient votre risque juridique le plus sérieux lorsque vous déclarez être conforme pour l’éligibilité, l’attribution ou le paiement sans pouvoir l’étayer par des preuves.
• La résiliation du contrat et d’autres recours peuvent suivre si votre statut conditionnel expire et que vous ne pouvez toujours pas maintenir le statut nécessaire pour continuer à exécuter le contrat.

Les conséquences réglementaires sont volontairement sévères. Le DoD a conçu le CMMC pour rendre l’auto-attestation inexacte suffisamment coûteuse afin que les sous-traitants considèrent la collecte de preuves comme une exigence opérationnelle continue, et non comme une course de dernière minute avant l’évaluation.

Maintenant que vous comprenez le mécanisme, vous pouvez traduire votre niveau requis en attentes de maturité que les évaluateurs valideront.

Comprendre les niveaux de maturité du CMMC 2.0

Votre niveau requis est déterminé par le type d’informations que vous manipulez et les programmes que vous soutenez. Chaque niveau s’appuie sur le niveau inférieur ; ainsi, une certification plus élevée signifie que vous avez également satisfait à toutes les exigences des niveaux inférieurs. Voici ce que chaque niveau exige en pratique.

Niveau 1 : Fondamental

Si vous manipulez uniquement des FCI, le niveau 1 s’aligne sur les mesures de protection de base du FAR 52.204-21. Les 17 pratiques de ce niveau couvrent l’hygiène de base : limiter l’accès au système aux utilisateurs autorisés, contrôler les personnes avant l’accès, maintenir la sécurité physique des espaces pertinents pour les CUI et garantir que les systèmes peuvent être audités et restaurés. Vous effectuez une auto-évaluation annuelle et vous ne pouvez pas utiliser de POA&Ms à ce niveau. L’auto-évaluation est signée par un responsable senior de l’entreprise, ce qui crée une responsabilité directe quant à cette déclaration.

Niveau 2 : Avancé

Si vous manipulez des CUI, le niveau 2 correspond directement au NIST SP 800-171 Rev. 2 et exige des preuves que les 110 contrôles sont mis en œuvre et opérationnels dans 14 domaines de pratique. Selon votre appel d’offres, vous pouvez satisfaire à cette exigence par auto-évaluation ou par une évaluation tierce C3PAO ; le bureau de programme DoD détermine la voie applicable. Le niveau 2 exige également le maintien d’un System Security Plan (SSP) documentant la manière dont chaque contrôle est mis en œuvre dans votre environnement.

Niveau 3 : Expert

Si vous soutenez les programmes les plus prioritaires, le niveau 3 vise la défense contre les menaces persistantes avancées et s’appuie sur le niveau 2 avec des exigences renforcées issues d’un sous-ensemble du NIST SP 800-172. Les évaluateurs gouvernementaux de la Defense Contract Management Agency réalisent directement les évaluations de niveau 3. Ce niveau est réservé aux sous-traitants travaillant avec des CUI sur des programmes où l’accès par un adversaire créerait un risque significatif pour la sécurité nationale.

Une fois votre niveau connu, vous devez savoir quand il s’applique à vos contrats.

Calendrier de mise en œuvre du CMMC

La règle finale du programme CMMC est entrée en vigueur le 16 décembre 2024 et utilise un déploiement en quatre phases pour intégrer les exigences dans les contrats DoD sur trois ans. Aucun basculement unique n’applique ces exigences à tous les contrats en même temps : le DoD introduit progressivement le langage CMMC selon le type d’appel d’offres et le niveau.

• Phase 1 (entrée en vigueur le 16 décembre 2024) : Le DoD peut inclure dans les appels d’offres des exigences d’auto-évaluation de niveau 1 ou de niveau 2. Si votre contrat inclut déjà un langage CMMC, vous devez effectuer votre auto-évaluation, publier les résultats dans SPRS et fournir une affirmation annuelle avant l’attribution ou comme condition contractuelle. Cette phase est active dès maintenant.
• Phase 2 (à partir d’environ décembre 2025) : Le DoD peut exiger dans les appels d’offres des évaluations tierces C3PAO de niveau 2. Les contrats qui autorisaient auparavant l’auto-évaluation peuvent basculer vers une certification indépendante. Confirmez la voie d’évaluation de votre contrat à mesure que les appels d’offres de phase 2 arrivent sur le marché, car les délais de planification des C3PAO peuvent réduire votre fenêtre.
• Phase 3 (à partir d’environ décembre 2026) : Le DoD peut inclure des exigences de niveau 3. Si vous soutenez des programmes hautement prioritaires, commencez dès maintenant à vous préparer au niveau 3. La planification des évaluateurs gouvernementaux via la DCMA fonctionne avec de longs délais.
• Phase 4 (à partir d’environ décembre 2027) : Mise en œuvre complète. Le DoD peut appliquer les exigences CMMC à tous les contrats applicables. Aucun appel d’offres impliquant des CUI ne sera exempté.

Conséquence pratique : si votre contrat inclut un langage CMMC, votre calendrier est déjà actif. Si ce n’est pas le cas, vérifiez auprès de votre agent contractant et de votre donneur d’ordre principal avant votre prochaine année d’option ou votre prochaine soumission. L’introduction progressive par phases peut affecter les contrats en cours d’exécution, et pas seulement les nouvelles attributions.

Avec un calendrier clair, vous pouvez faire correspondre votre niveau requis aux contrôles spécifiques que les évaluateurs valideront.

Exigences de conformité CMMC : les 14 domaines de pratique

Pour le niveau 2, les 110 exigences du NIST SP 800-171 se répartissent sur 14 domaines de pratique. Les évaluateurs examineront, interrogeront et testeront les contrôles dans chacun d’eux. Comprendre ce que chaque domaine exige vous aide à définir correctement le périmètre des preuves avant le début des travaux de préparation.

Identité, accès et personnel

• Contrôle d’accès : Limitez l’accès au système aux utilisateurs et processus autorisés. Les artefacts requis incluent les comptes utilisateurs documentés, les attributions de rôles, les contrôles de session et les pratiques de contrôle d’accès pour l’accès à distance.
• Identification et authentification : Vérifiez l’identité avant d’accorder l’accès. L’authentification multifacteur, les politiques de mot de passe et les contrôles des comptes privilégiés sont des points de contrôle d’évaluation courants.
• Sécurité du personnel : Contrôlez les personnes avant d’accorder l’accès aux systèmes CUI et traitez les risques de sécurité pendant et après l’emploi. Les checklists de départ et les processus de vérification des antécédents relèvent de ce domaine.

Journalisation, surveillance et intégrité

• Audit et responsabilité : Journalisez l’activité des utilisateurs et les événements système, protégez ces journaux et conservez-les pour examen. Votre configuration de rétention des journaux SIEM et votre politique de conservation sont des artefacts centraux.
• Intégrité des systèmes et des informations : Traitez les failles système, protégez contre le code malveillant et surveillez les alertes de sécurité. La configuration de la protection des endpoints et les enregistrements de gestion des correctifs sont des demandes de preuves courantes.

Configuration et maintenance

• Gestion de la configuration : Établissez et appliquez des configurations sécurisées pour les systèmes traitant des CUI. Les référentiels, les enregistrements de contrôle des changements et l’inventaire logiciel satisfont à ce domaine.
• Maintenance : Contrôlez les activités de maintenance sur les systèmes qui traitent des CUI, en particulier les sessions à distance. Journalisez toute activité de maintenance et limitez les personnes autorisées à l’effectuer.

Données et protection physique

• Protection des supports : Contrôlez la manière dont les CUI sont stockées, transportées et détruites sur des supports physiques et numériques. Des politiques de nettoyage, d’élimination et d’utilisation des supports amovibles sont requises.
• Protection physique : Limitez l’accès physique aux systèmes et aux environnements où des CUI sont traitées. Les registres de visiteurs, les journaux d’accès par badge et les politiques de sécurité physique satisfont à ce domaine.

Risque, évaluation et formation

• Évaluation des risques : Évaluez périodiquement le risque opérationnel lié à l’utilisation des systèmes CUI. Un processus d’évaluation des risques documenté avec résultats et suivi des remédiations est attendu.
• Évaluation de la sécurité : Évaluez périodiquement vos contrôles, maintenez des plans d’action et surveillez la sécurité de manière continue. Votre SSP et votre processus POA&M soutiennent directement ce domaine.
• Sensibilisation et formation : Formez le personnel à ses responsabilités de sécurité et aux risques propres à son rôle. Les évaluateurs attendent des enregistrements de formation, un suivi des achèvements et des preuves de contenu basé sur les rôles.

Communications et réponse aux incidents

• Protection des systèmes et des communications : Surveillez, contrôlez et protégez les données transmises à travers vos systèmes. La segmentation réseau, le chiffrement en transit et les contrôles de protection périmétrique sont des artefacts clés.
• Réponse aux incidents : Développez, testez et documentez votre capacité à détecter, contenir et restaurer après des incidents. Les évaluateurs veulent un plan documenté, des preuves de tests et des comptes rendus post-action. Votre documentation de planification de la réponse aux incidents et vos artefacts de test constituent un axe principal de l’évaluation dans ce domaine.

Une fois les exigences de vos domaines cartographiées, vous pouvez planifier les points de friction qui font le plus souvent dérailler la préparation.

Ce qui rend la conformité CMMC difficile

Le modèle fondé sur les preuves du CMMC est simple en principe, mais exigeant en pratique. La plupart des équipes qui rencontrent des difficultés de préparation n’échouent pas à cause de lacunes techniques exotiques ; elles échouent à cause de barrières structurelles qui nécessitent un investissement et une coordination durables pour être surmontées. Voici les quatre points de friction qui apparaissent le plus régulièrement.

• Charge de coût (en particulier pour les petites entreprises). Si vous en êtes aux premiers stades de votre maturité de sécurité, vous pouvez avoir besoin de changements d’outillage, de documentation et de workflows de preuves continus nécessitant un investissement significatif.
• Opérationnalisation des preuves. Si vous ne pouvez pas produire des journaux, tickets, configurations et preuves de contrôles cohérents dans le temps, vous aurez du mal à réussir.
• Dépendances vis-à-vis des fournisseurs cloud. Si vos fournisseurs cloud traitent des CUI, leur statut d’autorisation et la frontière de responsabilité partagée peuvent bloquer votre certification.
• Complexité du périmètre. Un périmètre trop large fait entrer des systèmes inutiles dans l’évaluation ; un périmètre trop étroit manque les flux réels de CUI.

Aucune de ces barrières n’est insurmontable, mais toutes exigent un temps de planification que vous ne pourrez pas récupérer si vous commencez tard. Commencer tôt votre analyse des écarts et votre SSP est le moyen le plus fiable d’empêcher que des défis structurels ne deviennent des risques d’éligibilité.

Erreurs courantes de mise en œuvre de la conformité CMMC

La plupart des échecs proviennent d’une coordination faible ou d’une documentation obsolète, et pas seulement de lacunes de contrôle. Voici les erreurs qui font le plus souvent dérailler les évaluations :

• Le piège du « tout politique ». Si vous présentez des politiques sans artefacts prouvant que les contrôles fonctionnent, vous ne satisferez pas à une évaluation fondée sur les preuves.
• Collecte de preuves à la dernière minute. Si vous vous précipitez pour obtenir des captures d’écran juste avant l’évaluation, vous signalez un manque de maturité et affaiblissez la confiance dans votre SSP.
• Traiter les POA&Ms comme un plan. Si vous considérez les POA&Ms comme votre stratégie, vous risquez de dépasser le délai du statut conditionnel au lieu de combler de véritables lacunes de contrôle.
• Utiliser le même C3PAO pour la préparation et la certification. Si vous engagez un C3PAO pour un accompagnement à la préparation, vous ne pouvez pas utiliser la même organisation pour l’évaluation de certification.

Le point commun à tous ces éléments est le timing. Les équipes qui traitent la préparation au CMMC comme un programme opérationnel permanent plutôt que comme une poussée avant évaluation évitent tous les points de cette liste. Les bonnes pratiques ci-dessous expliquent comment structurer ce programme phase par phase.

Bonnes pratiques de conformité CMMC

La préparation au CMMC n’est pas un projet avec une ligne d’arrivée : c’est un programme opérationnel continu. Les cinq phases ci-dessous vous donnent une manière structurée de construire ce programme, depuis l’analyse initiale des écarts jusqu’à la formation du personnel qui détermine si votre équipe réussit la partie entretien d’une évaluation.

• Phase 1 : Évaluez votre posture actuelle. Réalisez une analyse des écarts par rapport au NIST SP 800-171 et examinez chaque contrat et chaque offre pour confirmer le niveau CMMC dont vous avez besoin. Si vous utilisez des services cloud, validez tôt le statut d’autorisation et les responsabilités partagées. Commencez votre SSP dès le départ, et non comme un livrable post-évaluation.
• Phase 2 : Constituez une équipe de préparation transverse. Vous avez besoin de la direction pour les affirmations et les ressources, de l’IT pour la mise en œuvre technique et de responsables conformité pour la documentation et les workflows de preuves. Attribuez des responsables nommés à chaque domaine de contrôle et faites de la responsabilité un processus récurrent, non ad hoc.
• Phase 3 : Mettez en œuvre une collecte continue des preuves. Traitez votre SSP comme un document vivant, et non comme un livrable pré-audit. Mettez en place des workflows de conservation pour les artefacts attendus par les évaluateurs et confirmez comment votre configuration de rétention des journaux SIEM soutient votre démonstration de preuves.
• Phase 4 : Définissez précisément le périmètre. Documentez avec précision les flux et les frontières des CUI. Un périmètre précis réduit les coûts et concentre vos contrôles là où ils comptent le plus.
• Phase 5 : Formez le personnel aux contrôles documentés. Les évaluateurs vont Examiner, Interviewer et Tester. Votre personnel doit être capable d’expliquer comment les contrôles fonctionnent en pratique, en particulier autour de l’ accès au moindre privilège et de la gestion des incidents, car la documentation seule ne permet pas de réussir la partie entretien.

Une fois la discipline de processus en place, vous pouvez faire correspondre les outils aux attentes en matière de preuves sans tenter de masquer les lacunes.

Points clés à retenir

Si vous manipulez des FCI ou des CUI du DoD, le CMMC est le cadre contraignant permettant de vérifier votre posture de cybersécurité au moyen d’une certification fondée sur les preuves, et non d’une auto-attestation. 

Vous réussissez lorsque vous mettez en place une collecte continue des preuves, définissez précisément le périmètre, gérez la préparation comme un programme transverse et utilisez des outils qui produisent les artefacts opérationnels exigés par les évaluations CMMC.

FAQ

Qu’est-ce que la conformité CMMC ?

La conformité au CMMC signifie qu’un contractant ou sous-traitant du DoD a satisfait aux exigences de cybersécurité liées à son niveau de certification spécifique, soit par auto-évaluation, soit par certification tierce, et maintient ce statut pendant toute la durée de son contrat. 

La conformité n’est pas un événement ponctuel : elle exige une attestation annuelle, une collecte continue de preuves et un Plan de sécurité du système à jour. Si votre statut CMMC expire ou ne peut pas être vérifié, vous n’êtes pas admissible à remporter ou à poursuivre l’exécution d’un contrat du DoD impliquant des FCI ou des CUI.

Quelle est la différence entre le niveau 1 et le niveau 2 du CMMC ?

Si votre environnement évalué ne traite que des FCI, le niveau 1 se concentre sur des mesures de protection de base alignées sur FAR 52.204-21, et vous le satisfaites généralement au moyen d’une auto-évaluation annuelle étayée par des éléments probants simples comme des listes de comptes, des dossiers de formation et des paramètres de configuration. 

Si des CUI entrent dans le périmètre, le niveau 2 exige que vous mettiez en œuvre l’ensemble des 110 exigences de NIST SP 800-171, mainteniez un SSP et produisiez des preuves objectives du fonctionnement des contrôles. Votre contrat détermine s’il s’agit d’une auto-évaluation ou d’une évaluation par un tiers.

Un contractant peut-il utiliser des POA&M pour réussir une évaluation CMMC ?

Vous ne devez pas considérer les POA&M comme votre stratégie. Lorsque le programme autorise les POA&M, vous ne pouvez les utiliser que dans des conditions spécifiques et généralement uniquement pour des écarts limités après avoir atteint le seuil minimal de mise en œuvre du programme. 

Vous devez toujours documenter chaque écart dans votre SSP, présenter un plan de remédiation financé et limité dans le temps, et conserver des éléments de suivi tels que des tickets, des modifications de configuration et des résultats de validation. Si vous manquez la fenêtre conditionnelle, vous pouvez perdre votre statut et votre éligibilité.

Que se passe-t-il si mon fournisseur cloud n’est pas correctement autorisé pour les CUI ?

Si votre fournisseur cloud traite, stocke ou transmet des CUI pour l’exécution de votre contrat, vous pouvez rencontrer un blocage majeur pendant la phase de préparation. Vous avez besoin que le niveau d’autorisation du fournisseur soit aligné sur les attentes du DoD, et vous avez besoin d’un modèle clair de responsabilité partagée pour des contrôles tels que la journalisation, les revues d’accès et la gestion des incidents. 

Si le fournisseur ne peut pas répondre à ces attentes, vous devrez peut-être redéfinir l’architecture du périmètre ou déplacer les charges de travail.

Comment l’attestation annuelle crée-t-elle une responsabilité personnelle ?

Lorsque vous signez une attestation annuelle, vous associez votre nom à une déclaration de conformité qui peut être liée à l’éligibilité contractuelle, à l’attribution ou au paiement. Si votre organisation ne peut pas étayer cette déclaration par des preuves, vous pouvez créer une exposition au titre du False Claims Act. 

Vous vous protégez en maintenant votre SSP exact, en gardant les preuves à jour et en veillant à ce que la direction examine le périmètre et le risque avant de signer.

Les exigences CMMC s’étendront-elles au-delà des contrats du DoD ?

Vous devez vous attendre à ce que les exigences de protection des CUI continuent de se standardiser dans l’ensemble des activités fédérales, même lorsque le libellé contractuel diffère selon les agences. Si vous opérationnalisez dès maintenant des contrôles alignés sur le NIST SP 800-171, vous réduisez les reprises plus tard, car vous exécutez déjà les processus que les auditeurs attendent : traitement des données dans un périmètre défini, gouvernance des accès, conservation des journaux et réponse aux incidents reproductible. 

Le CMMC formalise ces exigences pour le DoD, mais la discipline de contrôle se transpose bien à d’autres programmes fédéraux.