Qu'est-ce que la conformité CMMC ? Définition, niveaux et exigences

La conformité CMMC est le cadre de certification du DoD pour la protection des CUI et FCI à travers trois niveaux de maturité. Découvrez les 14 domaines de pratiques et le calendrier de déploiement.

Qu'est-ce que le CMMC ?

La Cybersecurity Maturity Model Certification (CMMC) est le cadre du Département de la Défense pour vérifier que les sous-traitants protègent effectivement les informations sensibles. Au niveau du programme, la règle finale du programme CMMC établit l'objectif du CMMC : protéger les informations contrôlées non classifiées (CUI) et les informations contractuelles fédérales (FCI) que vous traitez, stockez ou transmettez lors de l'exécution d'un contrat DoD. Selon le DFARS 204.7500, le CMMC est « un cadre d'évaluation des protections de sécurité de l'information d'un sous-traitant » qui prescrit des politiques et procédures pour inclure les exigences de niveau de certification dans les contrats DoD. Le CMMC 2.0 a simplifié le modèle original à cinq niveaux en trois niveaux, et la règle finale documente cette structure mise à jour.

Avant le CMMC, les sous-traitants attestaient eux-mêmes de leur conformité au NIST SP 800-171 avec une vérification externe limitée. Si vous soumettiez un score SPRS (Supplier Performance Risk System) gonflé et qu'un audit révélait un score réel très négatif, vous pouviez déclencher un problème au titre du False Claims Act, et pas seulement échouer à un contrôle de conformité. C'est la raison opérationnelle de l'existence du CMMC : le DoD ne se fie plus à l'auto-attestation lorsque la CUI est en jeu.

Les incidents de la chaîne d'approvisionnement ont rendu les enjeux plus clairs. En 2022, des attaquants ont frappé Viasat avec une attaque de wiper destructeur contre son réseau satellite KA-SAT, perturbant les communications de dizaines de milliers de clients à travers l'Europe et l'Ukraine, selon le rapport SentinelLabs. En 2020, la compromission de la chaîne d'approvisionnement SolarWinds a touché jusqu'à 18 000 clients, selon l' alerte CISA. Lorsque votre environnement est lié à des programmes DoD, le CMMC vous oblige à prouver que vous pouvez protéger la CUI, et pas seulement à l'affirmer.

FCI vs. CUI : Ce que protège votre niveau de certification

La conformité CMMC relie la documentation des contrôles à une preuve vérifiable de leur efficacité dans votre environnement. Le CMMC impose un modèle de certification réussite/échec. Vous démontrez soit le fonctionnement des contrôles par des preuves vérifiables, soit vous ne recevez pas la certification. Deux catégories d'informations déterminent vos exigences :

• Federal Contract Information (FCI) : Le gouvernement fournit ou génère ces informations pour votre travail contractuel, et elles ne sont pas destinées à être rendues publiques. Vous les protégez avec des mesures de protection de base selon FAR 52.204-21.
• Controlled Unclassified Information (CUI) : Des lois ou des politiques gouvernementales exigent la protection de ces informations. Vous les protégez en vous alignant sur le NIST SP 800-171.

Cette distinction détermine la portée de vos systèmes, le niveau cible et la construction de votre plan de preuves. L'ISOO des Archives nationales clarifie la hiérarchie dans le guide ISOO : « Toute CUI en possession d'un sous-traitant du gouvernement est une FCI, mais toute FCI n'est pas une CUI. » Si vous classez correctement vos données, vous pouvez définir correctement la portée, et la définition de la portée est le point de départ de la plupart des résultats CMMC.

Ensuite, confirmez si le CMMC s'applique à vos contrats et à votre rôle dans la chaîne d'approvisionnement.

À qui s'applique la conformité CMMC

Le CMMC s'applique si vous êtes un sous-traitant ou un sous-traitant secondaire de la base industrielle de défense et que vous traitez des FCI ou des CUI lors de l'exécution d'un contrat DoD. Le niveau requis dépend de la sensibilité des informations traitées et de leur circulation.

• Niveau 1 (Fondamental) : Vous ne traitez que des FCI, sans CUI impliquée. Cela correspond souvent à des fonctions de support de base où la CUI n'entre jamais dans vos systèmes.
• Niveau 2 (Avancé) : Vous traitez de la CUI telle que des données techniques, des spécifications d'ingénierie, des informations sensibles à l'acquisition ou des documents de conception. Ce niveau s'applique lorsque la CUI circule dans la chaîne d'approvisionnement, lorsque vous menez des programmes R&D avec des livrables marqués CUI, ou lorsque vous fournissez des services informatiques qui maintiennent des systèmes contenant de la CUI.
• Niveau 3 (Expert) : Vous gérez la CUI dans les programmes les plus prioritaires du DoD, où une compromission créerait un avantage significatif pour un adversaire ou où l'impact sur la mission et l'agrégation augmentent votre profil de risque.

Les niveaux CMMC sont cumulatifs : lorsque vous visez un niveau supérieur, vous répondez également aux exigences des niveaux inférieurs, et la règle finale du programme CMMC définit cette structure.

Une fois votre niveau connu, vous pouvez le relier aux clauses, évaluations et conséquences qui déterminent l'éligibilité.

Comment fonctionne la conformité CMMC : Réglementation et conséquences

Le CMMC est contraignant via le langage contractuel, et non par adoption volontaire. Deux réglementations fédérales lui donnent force de loi, et le non-respect a des conséquences qui vont au-delà d'un audit échoué. Comprendre la structure réglementaire, votre parcours d'évaluation et le coût réel de la non-conformité est la base pour définir correctement votre plan de préparation.

Le cadre réglementaire

Deux clauses DFARS intègrent le CMMC dans vos contrats.

• La clause DFARS 252.204-7021 exige que vous « ayez et mainteniez pendant toute la durée du contrat un statut CMMC actuel au niveau suivant, ou supérieur. »
• La disposition DFARS 252.204-7025 exige que vous publiiez les résultats de l'évaluation dans le SPRS avant l'attribution et identifiez les systèmes qui traiteront des FCI ou des CUI.

Ces clauses transforment le CMMC d'une recommandation en critère d'accès contractuel.

Parcours d'évaluation

Les parcours d'évaluation varient selon le niveau et la sollicitation. Vous fournissez également une affirmation annuelle de conformité continue, et le bureau du programme DoD détermine si votre contrat de niveau 2 nécessite une auto-évaluation ou une certification C3PAO.

Deux détails opérationnels déterminent souvent la pratique :

• Le niveau 2 exige 110 exigences du NIST SP 800-171, comme défini dans le NIST SP 800-171.
• Dans le parcours conditionnel, le niveau 2 autorise des Plans d'Action et Jalons (POA&M) limités lorsque vous atteignez le seuil minimal d'implémentation du programme, et les définitions DFARS 204.7501 documentent les termes de statut CMMC.

Lorsque les POA&M sont autorisés, vous avez tout de même un délai strict. Le statut conditionnel est limité dans le temps, selon les mêmes définitions DFARS 204.7501.

Conséquences de la non-conformité

Ne pas détenir le statut CMMC requis entraîne des conséquences sur trois axes : éligibilité contractuelle, exposition juridique et continuité de la performance.

• L'inéligibilité contractuelle est structurelle, non discrétionnaire. Si vous ne détenez pas le statut CMMC requis, vous ne pouvez pas obtenir d'attribution ni poursuivre l'exécution là où le contrat l'exige.
• L'exposition au False Claims Act devient votre risque juridique le plus sérieux lorsque vous déclarez la conformité pour l'éligibilité, l'attribution ou le paiement sans pouvoir l'étayer par des preuves.
• La résiliation du contrat et d'autres recours peuvent suivre si votre statut conditionnel expire et que vous ne pouvez toujours pas maintenir le statut nécessaire à la poursuite de l'exécution.

Les conséquences réglementaires sont volontairement sévères. Le DoD a conçu le CMMC pour que l'auto-attestation inexacte coûte suffisamment cher pour que les sous-traitants considèrent la collecte de preuves comme une exigence opérationnelle continue, et non comme une course avant l'évaluation.

Maintenant que vous comprenez la mécanique, vous pouvez traduire votre niveau requis en attentes de maturité que les évaluateurs valideront.

Comprendre les niveaux de maturité CMMC 2.0

Votre niveau requis est déterminé par le type d'informations que vous traitez et les programmes que vous soutenez. Chaque niveau s'appuie sur le précédent, donc une certification supérieure signifie que vous avez également satisfait à toutes les exigences des niveaux inférieurs. Voici ce que chaque niveau exige en pratique.

Niveau 1 : Fondamental

Si vous ne traitez que des FCI, le niveau 1 s'aligne sur la protection de base FAR 52.204-21. Les 17 pratiques de ce niveau couvrent l'hygiène de base : limiter l'accès système aux utilisateurs autorisés, filtrer les individus avant l'accès, maintenir la sécurité physique des espaces concernés par la CUI, et garantir que les systèmes peuvent être audités et restaurés. Vous effectuez une auto-évaluation annuelle et vous ne pouvez pas utiliser de POA&M à ce niveau. L'auto-évaluation est signée par un cadre supérieur de l'entreprise, ce qui crée une responsabilité directe pour la déclaration.

Niveau 2 : Avancé

Si vous traitez de la CUI, le niveau 2 correspond directement au NIST SP 800-171 Rév. 2 et exige des preuves que les 110 contrôles sont mis en œuvre et opérationnels dans 14 domaines de pratiques. Selon votre sollicitation, vous pouvez satisfaire à cette exigence par auto-évaluation ou par évaluation tierce C3PAO ; le bureau du programme DoD détermine le parcours applicable. Le niveau 2 exige également de maintenir un Plan de Sécurité du Système (SSP) documentant la mise en œuvre de chaque contrôle dans votre environnement.

Niveau 3 : Expert

Si vous soutenez les programmes les plus prioritaires, le niveau 3 vise la défense contre les menaces persistantes avancées et s'appuie sur le niveau 2 avec des exigences renforcées issues d'un sous-ensemble du NIST SP 800-172. Les évaluateurs gouvernementaux de la Defense Contract Management Agency réalisent directement les évaluations de niveau 3. Ce niveau est réservé aux sous-traitants travaillant avec de la CUI sur des programmes où l'accès d'un adversaire créerait un risque significatif pour la sécurité nationale.

Une fois votre niveau connu, vous devez savoir quand il s'applique à vos contrats.

Calendrier de mise en œuvre du CMMC

La règle finale du programme CMMC est entrée en vigueur le 16 décembre 2024 et utilise un déploiement en quatre phases pour intégrer les exigences dans les contrats DoD sur trois ans. Aucun basculement unique n'active tous les contrats en même temps : le DoD introduit progressivement le langage CMMC selon le type de sollicitation et le niveau.

• Phase 1 (En vigueur le 16 décembre 2024) : Le DoD peut inclure des exigences d'auto-évaluation de niveau 1 ou 2 dans les sollicitations. Si votre contrat inclut déjà le langage CMMC, vous devez effectuer votre auto-évaluation, publier les résultats dans le SPRS et fournir une affirmation annuelle avant l'attribution ou comme condition contractuelle. Cette phase est active maintenant.
• Phase 2 (À partir d'environ décembre 2025) : Le DoD peut exiger des évaluations tierces C3PAO de niveau 2 dans les sollicitations. Les contrats qui autorisaient auparavant l'auto-évaluation peuvent passer à la certification indépendante. Confirmez le parcours d'évaluation de votre contrat à l'entrée des sollicitations de la phase 2 sur le marché, car les délais de planification C3PAO peuvent réduire votre fenêtre.
• Phase 3 (À partir d'environ décembre 2026) : Le DoD peut inclure des exigences de niveau 3. Si vous soutenez des programmes prioritaires, commencez dès maintenant à vous préparer au niveau 3. La planification des évaluateurs gouvernementaux via la DCMA nécessite des délais importants.
• Phase 4 (À partir d'environ décembre 2027) : Mise en œuvre complète. Le DoD peut appliquer les exigences CMMC à tous les contrats applicables. Aucune sollicitation impliquant de la CUI ne sera exemptée.

Conséquence pratique : si votre contrat inclut le langage CMMC, votre calendrier est déjà actif. Sinon, vérifiez auprès de votre officier contractuel et du titulaire principal avant votre prochaine année d'option ou soumission. Les phases peuvent affecter les contrats en cours, pas seulement les nouveaux marchés.

Avec le calendrier clarifié, vous pouvez relier votre niveau requis aux contrôles spécifiques que les évaluateurs valideront.

Exigences de conformité CMMC : Les 14 domaines de pratiques

Pour le niveau 2, les 110 exigences du NIST SP 800-171 couvrent 14 domaines de pratiques. Les évaluateurs examineront, intervieweront et testeront les contrôles dans chacun d'eux. Comprendre ce que chaque domaine exige vous aide à définir correctement les preuves avant de commencer la préparation.

Identité, accès et personnel

• Contrôle d'accès : Limiter l'accès système aux utilisateurs et processus autorisés. Les artefacts requis incluent les comptes utilisateurs documentés, les attributions de rôles, les contrôles de session et les pratiques de contrôle d'accès pour l'accès à distance.
• Identification et authentification : Vérifier l'identité avant d'accorder l'accès. L'authentification multifacteur, les politiques de mot de passe et les contrôles des comptes privilégiés sont des points de contrôle courants.
• Sécurité du personnel : Filtrer les individus avant d'accorder l'accès aux systèmes CUI et gérer les risques de sécurité pendant et après l'emploi. Les listes de vérification de fin de contrat et les processus de vérification des antécédents relèvent de ce domaine.

Journalisation, surveillance et intégrité

• Audit et responsabilité : Journaliser l'activité des utilisateurs et les événements système, protéger ces journaux et les conserver pour examen. Votre configuration de rétention des journaux SIEM et votre politique de conservation sont des artefacts centraux.
• Intégrité des systèmes et de l'information : Corriger les failles système, se protéger contre les codes malveillants et surveiller les alertes de sécurité. La configuration de la protection des endpoints et les enregistrements de gestion des correctifs sont des preuves courantes.

Configuration et maintenance

• Gestion de la configuration : Établir et appliquer des configurations sécurisées pour les systèmes traitant la CUI. Les référentiels, les enregistrements de contrôle des changements et l'inventaire des logiciels satisfont à ce domaine.
• Maintenance : Contrôler les activités de maintenance sur les systèmes traitant la CUI, en particulier les sessions à distance. Journaliser toute activité de maintenance et restreindre les personnes autorisées à l'effectuer.

Protection des données et physique

• Protection des supports : Contrôler la manière dont la CUI est stockée, transportée et détruite sur des supports physiques et numériques. Les politiques de nettoyage, d'élimination et d'utilisation des supports amovibles sont requises.
• Protection physique : Limiter l'accès physique aux systèmes et environnements où la CUI est traitée. Les registres de visiteurs, les enregistrements d'accès par badge et les politiques de sécurité physique satisfont à ce domaine.

Risque, évaluation et formation

• Évaluation des risques : Évaluer périodiquement le risque opérationnel lié à l'utilisation des systèmes CUI. Un processus d'évaluation des risques documenté avec résultats et suivi des remédiations est attendu.
• Évaluation de la sécurité : Évaluer périodiquement vos contrôles, maintenir des plans d'action et surveiller la sécurité en continu. Votre SSP et votre processus POA&M soutiennent directement ce domaine.
• Sensibilisation et formation : Former le personnel aux responsabilités de sécurité et aux risques spécifiques à leur rôle. Les évaluateurs attendent des registres de formation, un suivi des complétions et des preuves de contenu adapté aux rôles.

Communications et réponse aux incidents

• Protection des systèmes et des communications : Surveiller, contrôler et protéger les données transmises sur vos systèmes. La segmentation réseau, le chiffrement en transit et les contrôles de protection des frontières sont des artefacts clés.
• Réponse aux incidents : Construire, tester et documenter votre capacité à détecter, contenir et récupérer des incidents. Les évaluateurs veulent un plan documenté, des preuves de tests et des comptes rendus post-incident. Votre documentation de planification de la réponse aux incidents et les artefacts de test sont un axe d'évaluation principal dans ce domaine.

Une fois vos exigences par domaine cartographiées, vous pouvez anticiper les points de friction qui entravent le plus souvent la préparation.

Pourquoi la conformité CMMC est difficile

Le modèle fondé sur la preuve du CMMC est simple en principe mais exigeant en pratique. La plupart des équipes qui peinent à se préparer n'échouent pas à cause de lacunes techniques exotiques, mais à cause de barrières structurelles nécessitant un investissement et une coordination soutenus. Voici les quatre points de friction les plus fréquents.

• Charge de coût (surtout pour les petites entreprises). Si votre maturité en sécurité est faible, vous devrez peut-être modifier vos outils, votre documentation et vos flux de preuves, ce qui nécessite un investissement significatif.
• Opérationnalisation des preuves. Si vous ne pouvez pas produire de journaux, tickets, configurations et preuves de contrôles cohérents dans le temps, vous aurez du mal à réussir.
• Dépendances aux fournisseurs cloud. Si vos fournisseurs cloud traitent de la CUI, leur statut d'autorisation et la frontière de responsabilité partagée peuvent bloquer votre certification.
• Complexité de la définition de la portée. Une portée trop large inclut des systèmes inutiles dans l'évaluation ; une portée trop étroite omet des flux réels de CUI.

Aucune de ces barrières n'est insurmontable, mais toutes nécessitent un temps de planification que vous ne pourrez pas rattraper si vous commencez tard. Démarrer tôt votre évaluation des écarts et votre SSP est le moyen le plus fiable d'éviter que les défis structurels ne deviennent des risques d'éligibilité.

Erreurs courantes lors de la mise en œuvre de la conformité CMMC

La plupart des échecs proviennent d'une coordination faible ou d'une documentation obsolète, et pas seulement de lacunes de contrôle. Voici les erreurs qui font le plus souvent échouer les évaluations :

• Le piège du « seulement politique ». Si vous présentez des politiques sans artefacts prouvant le fonctionnement des contrôles, vous ne réussirez pas une évaluation fondée sur la preuve.
• Collecte de preuves à la dernière minute. Si vous cherchez des captures d'écran juste avant l'évaluation, vous signalez un manque de maturité et affaiblissez la confiance dans votre SSP.
• Considérer les POA&M comme un plan. Si vous considérez les POA&M comme votre stratégie, vous risquez de perdre le statut conditionnel au lieu de combler les vraies lacunes de contrôle.
• Utiliser le même C3PAO pour la préparation et la certification. Si vous engagez un C3PAO pour la préparation, vous ne pouvez pas utiliser la même organisation pour l'évaluation de certification.

Le point commun à toutes ces erreurs est le timing. Les équipes qui traitent la préparation CMMC comme un programme opérationnel permanent plutôt qu'une course avant l'évaluation évitent tous ces pièges. Les bonnes pratiques ci-dessous expliquent comment structurer ce programme phase par phase.

Bonnes pratiques pour la conformité CMMC

La préparation CMMC n'est pas un projet avec une date de fin : c'est un programme opérationnel continu. Les cinq phases ci-dessous vous offrent une méthode structurée pour construire ce programme, de l'évaluation initiale des écarts à la formation du personnel qui détermine si votre équipe réussit la partie entretien de l'évaluation.

• Phase 1 : Évaluer votre posture actuelle. Réalisez une évaluation des écarts par rapport au NIST SP 800-171 et examinez chaque contrat et soumission pour confirmer le niveau CMMC requis. Si vous utilisez des services cloud, validez tôt le statut d'autorisation et les responsabilités partagées. Commencez votre SSP dès le départ, pas comme livrable post-évaluation.
• Phase 2 : Constituer une équipe de préparation transversale. Vous avez besoin de la direction pour les affirmations et les ressources, de l'IT pour la mise en œuvre technique, et de responsables conformité pour la documentation et les flux de preuves. Attribuez des responsables nommés à chaque domaine de contrôle et rendez la responsabilité récurrente, pas ponctuelle.
• Phase 3 : Mettre en œuvre la collecte continue de preuves. Considérez votre SSP comme un document vivant, pas un livrable pré-audit. Mettez en place des flux de conservation pour les artefacts attendus par les évaluateurs, et vérifiez comment votre configuration de rétention des journaux SIEM soutient votre dossier de preuves.
• Phase 4 : Définir la portée avec précision. Documentez précisément les flux et frontières de la CUI. Une portée précise réduit les coûts et concentre vos contrôles là où ils sont les plus importants.
• Phase 5 : Former le personnel sur les contrôles documentés. Les évaluateurs vont Examiner, Interviewer et Tester. Votre personnel doit pouvoir expliquer le fonctionnement des contrôles en pratique, notamment autour de l' accès au moindre privilège et de la gestion des incidents, car la documentation seule ne suffit pas à réussir la partie entretien.

Une fois la discipline de processus en place, vous pouvez associer les outils aux attentes en matière de preuves sans chercher à masquer les lacunes.

Points clés à retenir

Si vous traitez des FCI ou CUI du DoD, le CMMC est le cadre contraignant pour vérifier votre posture de cybersécurité par une certification fondée sur la preuve, et non par auto-attestation. 

Vous réussissez lorsque vous mettez en place une collecte continue de preuves, une définition précise de la portée, une préparation menée comme un programme transversal, et des outils produisant les artefacts opérationnels exigés par les évaluations CMMC.

FAQ

Qu'est-ce que la conformité CMMC ?

La conformité au CMMC signifie qu’un contractant ou sous-traitant du DoD a satisfait aux exigences de cybersécurité liées à son niveau de certification spécifique, soit par auto-évaluation, soit par certification tierce, et maintient ce statut pendant toute la durée de son contrat. 

La conformité n’est pas un événement ponctuel : elle nécessite une attestation annuelle, une collecte continue de preuves et un Plan de sécurité du système à jour. Si votre statut CMMC expire ou ne peut être vérifié, vous n’êtes pas éligible pour obtenir ou poursuivre l’exécution d’un contrat DoD impliquant des FCI ou des CUI.

Quelle est la différence entre le niveau 1 et le niveau 2 de CMMC ?

Si votre environnement évalué ne traite que des FCI, le Niveau 1 se concentre sur des mesures de protection de base alignées sur la FAR 52.204-21, et vous le satisfaites généralement par une auto-évaluation annuelle appuyée par des éléments simples tels que des listes de comptes, des registres de formation et des paramètres de configuration. 

Si des CUI entrent dans le périmètre, le Niveau 2 exige la mise en œuvre de l’ensemble des 110 exigences du NIST SP 800-171, la tenue d’un SSP et la production de preuves objectives du fonctionnement des contrôles. Votre contrat détermine l’auto-évaluation ou l’évaluation par un tiers.

Un contractant peut-il utiliser des POA&M pour réussir une évaluation CMMC ?

Vous ne devez pas considérer les POA&Ms comme votre stratégie. Lorsque le programme autorise les POA&Ms, vous ne pouvez les utiliser que dans des conditions spécifiques et généralement uniquement pour des écarts limités après avoir atteint le seuil minimal de mise en œuvre du programme. 

Vous devez toujours documenter chaque écart dans votre SSP, présenter un plan de remédiation financé et limité dans le temps, et conserver des éléments de suivi tels que des tickets, des modifications de configuration et des résultats de validation. Si vous manquez la fenêtre conditionnelle, vous pouvez perdre le statut et l’éligibilité.

Que se passe-t-il si mon fournisseur cloud n'est pas correctement autorisé pour le CUI ?

Si votre fournisseur cloud traite, stocke ou transmet des CUI pour votre contrat, vous pouvez rencontrer un obstacle majeur lors de la préparation. Vous devez vous assurer que la posture d'autorisation du fournisseur est alignée sur les attentes du DoD, et disposer d'un modèle clair de responsabilité partagée pour les contrôles tels que la journalisation, les revues d'accès et la gestion des incidents. 

Si le fournisseur ne peut pas répondre à ces attentes, il peut être nécessaire de réarchitecturer le périmètre ou de déplacer les charges de travail.

Comment l'affirmation annuelle crée-t-elle une responsabilité personnelle ?

Lorsque vous signez une affirmation annuelle, vous associez votre nom à une déclaration de conformité qui peut être liée à l'éligibilité, l'attribution ou le paiement d'un contrat. Si votre organisation ne peut pas étayer cette déclaration par des preuves, vous vous exposez au risque en vertu du False Claims Act. 

Vous vous protégez en maintenant votre SSP à jour, en conservant des preuves actuelles et en veillant à ce que la direction examine le périmètre et les risques avant de signer.

Les exigences CMMC s'étendront-elles au-delà des contrats DoD ?

Vous devez vous attendre à ce que les exigences de protection du CUI continuent de se standardiser dans les travaux fédéraux, même si le langage contractuel varie selon l'agence. Si vous opérationnalisez dès maintenant les contrôles alignés sur NIST SP 800-171, vous réduisez les reprises ultérieures car vous appliquez déjà les processus attendus par les auditeurs : gestion des données ciblées, gouvernance des accès, conservation des journaux et réponse aux incidents reproductible. 

CMMC formalise ces exigences pour le DoD, mais la discipline de contrôle s'applique également à d'autres programmes fédéraux.