Quand la CMMC 2.0 est-elle exécutoire?

Considérez-la comme exécutoire pour tout contrat qui la mentionne. Le DoD intègre progressivement la CMMC 2.0 dans ses appels d’offres en vertu de la clause DFARS 252.204-7021. En 2025 et en 2026, un nombre croissant de contrats comprennent des exigences de la CMMC 2.0, et à la fin du déploiement, tous les contrats pertinents du DoD en comprendront.

Le niveau 2 exige-t-il un C3PAO chaque année?

Non. L’évaluation par un C3PAO a lieu tous les trois ans. Une auto-attestation annuelle est faite dans les années intermédiaires, mais les preuves doivent être tenues à jour en continu.

Un POA&M peut-il couvrir des contrôles non conformes pendant l’évaluation?

Seulement dans des cas limités. La CMMC 2.0 permet un nombre restreint d’éléments de POA&M, surtout pour les contrôles à pointage plus élevé et avec des échéances de fermeture. Un POA&M est la reconnaissance structurée de lacunes connues assortie d’engagements de correction, et non une exemption générale.

La CMMC 2.0 est-elle la même chose que le NIST SP 800-171?

Non. Le niveau 2 de la CMMC 2.0 repose sur les 110 contrôles du NIST SP 800-171. La mise à jour ajoute une infrastructure d’évaluation (C3PAO, pointage, attestation) par-dessus l’ensemble de contrôles du NIST. La mise en œuvre complète du NIST SP 800-171 assure une couverture fonctionnelle des contrôles du niveau 2, et la CMMC 2.0 ajoute ensuite le processus de certification.

Glossaire de conformité

Qu’est-ce que la CMMC 2.0?

La CMMC 2.0 (Cybersecurity Maturity Model Certification, version 2.0) est le programme de certification en cybersécurité du département de la Défense des États-Unis pour ses entrepreneurs. Elle oblige les entrepreneurs de la base industrielle de défense qui traitent des renseignements contractuels fédéraux ou des renseignements non classifiés contrôlés à prouver leur posture de sécurité à l’un de trois niveaux.

Cartographiez vos contrôles de la CMMC 2.0 Voir les composantes

En une phrase : la CMMC 2.0 est le programme de certification du DoD qui vérifie la cybersécurité d’un entrepreneur avant qu’il puisse obtenir ou conserver des contrats comportant des renseignements fédéraux sensibles.

Définition

La CMMC d’origine comptait cinq niveaux de maturité. La version mise à jour se limite à trois niveaux et les aligne directement sur des publications existantes du NIST. Le niveau 1 correspond à la protection de base prévue à la clause FAR 48 CFR 52.204-21. Le niveau 2 s’aligne sur les 110 contrôles de la publication spéciale 800-171 du NIST. Le niveau 3 intègre les exigences de sécurité renforcées du NIST SP 800-172.

Les méthodes d’évaluation varient selon le niveau. Le niveau 1 est une auto-évaluation annuelle avec attestation de la direction. Le niveau 2 est une évaluation par un tiers, menée tous les trois ans par une organisation d’évaluation tierce de la CMMC (C3PAO), complétée par une auto-attestation annuelle. Le niveau 3 est une évaluation dirigée par le gouvernement, menée par le Defense Industrial Base Cybersecurity Assessment Center (DIBCAC).

Composantes principales

Renseignements contractuels fédéraux (FCI): Renseignements fournis au gouvernement ou produits pour lui dans le cadre d’un contrat et non destinés à être rendus publics. Déclenchent l’exigence du niveau 1.
Renseignements non classifiés contrôlés (CUI): Renseignements non classifiés créés ou détenus par le gouvernement qui doivent être protégés en vertu d’une loi, d’un règlement ou d’une politique pangouvernementale. Déclenchent l’exigence du niveau 2.
Niveau 1: 17 pratiques de protection de base tirées de la FAR 52.204-21. Auto-évaluation annuelle avec attestation de la direction. Exigé pour le traitement des FCI.
Niveau 2: 110 contrôles de sécurité du NIST SP 800-171. Évaluation par un tiers (C3PAO) tous les trois ans, avec auto-attestation annuelle entre les évaluations. Exigé pour le traitement des CUI.
Niveau 3: Les 110 contrôles du NIST SP 800-171 plus un sous-ensemble des contrôles renforcés du NIST SP 800-172. Évaluation dirigée par le gouvernement, menée par le DIBCAC. Exigé pour les CUI les plus sensibles.
C3PAO: Organisation d’évaluation tierce de la CMMC (CMMC Third-Party Assessor Organization), accréditée pour effectuer les évaluations de certification du niveau 2.
Plan de sécurité du système (SSP): Document qui décrit la limite du système, les contrôles mis en œuvre et la méthode de mise en œuvre. Exigé pour le niveau 2.
Plan d’action et jalons (POA&M): Document qui suit les lacunes de contrôle connues, la correction prévue et les dates des jalons. Un POA&M restreint est permis dans des conditions précises.

Pourquoi c’est important

Le programme est une étape obligatoire de l’approvisionnement pour les entrepreneurs et sous-traitants du DoD. Les contrats qui n’exigeaient auparavant qu’une auto-attestation exigent de plus en plus une auto-évaluation de niveau 1 avec attestation, une certification C3PAO de niveau 2 ou une évaluation DIBCAC de niveau 3. Les entrepreneurs qui n’atteignent pas le niveau exigé perdent leur admissibilité aux contrats visés.

Pour les FSG qui desservent des clients entrepreneurs du DoD, le cadre a des effets sur deux plans. Premièrement, le FSG, à titre de prestataire de services, doit maintenir une posture de contrôle compatible avec le niveau exigé du client, puisqu’il fait partie de la limite du système du client. Deuxièmement, le FSG offre souvent le soutien en conformité comme service facturable.

Le Programme canadien de certification en cybersécurité (PCCSC) est conçu en harmonie avec la CMMC 2.0 et repose sur la même base de contrôles du NIST SP 800-171, de sorte qu’un seul ensemble de preuves peut servir aux deux programmes.

Comment Lavawall® vous aide avec la CMMC 2.0

Lavawall® traite la CMMC 2.0 comme un cadre de première classe. Il fait correspondre les 110 contrôles du NIST SP 800-171 aux preuves que la plateforme recueille déjà : état des correctifs, posture de configuration, application de l’AMF, journalisation d’audit, contrôles d’accès privilégié, artéfacts de réponse aux incidents et indicateurs de risque de la chaîne d’approvisionnement.

Le modèle de prestation multilocataire permet d’appliquer rapidement aux nouveaux locataires des profils de contrôle standard des niveaux 1 et 2, et la génération de SSP et de POA&M en marque partagée facilite la production de livrables prêts pour le client.

Commencez la cartographie des preuves de la CMMC 2.0 →

Questions fréquentes

Quand la CMMC 2.0 est-elle exécutoire?: Considérez-la comme exécutoire pour tout contrat qui la mentionne. Le DoD intègre progressivement la CMMC 2.0 dans ses appels d’offres en vertu de la clause DFARS 252.204-7021. En 2025 et en 2026, un nombre croissant de contrats comprennent des exigences de la CMMC 2.0, et à la fin du déploiement, tous les contrats pertinents du DoD en comprendront.
Le niveau 2 exige-t-il un C3PAO chaque année?: Non. L’évaluation par un C3PAO a lieu tous les trois ans. Une auto-attestation annuelle est faite dans les années intermédiaires, mais les preuves doivent être tenues à jour en continu.
Un POA&M peut-il couvrir des contrôles non conformes pendant l’évaluation?: Seulement dans des cas limités. La CMMC 2.0 permet un nombre restreint d’éléments de POA&M, surtout pour les contrôles à pointage plus élevé et avec des échéances de fermeture. Un POA&M est la reconnaissance structurée de lacunes connues assortie d’engagements de correction, et non une exemption générale.
La CMMC 2.0 est-elle la même chose que le NIST SP 800-171?: Non. Le niveau 2 de la CMMC 2.0 repose sur les 110 contrôles du NIST SP 800-171. La mise à jour ajoute une infrastructure d’évaluation (C3PAO, pointage, attestation) par-dessus l’ensemble de contrôles du NIST. La mise en œuvre complète du NIST SP 800-171 assure une couverture fonctionnelle des contrôles du niveau 2, et la CMMC 2.0 ajoute ensuite le processus de certification.