Introduction
La CMMC est passée du stade de projet de politique à celui d’exigence contractuelle opposable. Intégrée au Defense Federal Acquisition Regulation Supplement en novembre 2025, la Cybersecurity Maturity Model Certification a désormais une date ferme pour sa prochaine phase : à partir du 10 novembre 2026, le département de la Défense peut subordonner l’attribution des contrats à une certification CMMC de niveau 2 délivrée par un tiers pour tout travail impliquant des informations non classifiées contrôlées (Controlled Unclassified Information, CUI), et à une évaluation de niveau 3 pour les contrats les plus sensibles. Ce n’est pas une question propre aux États-Unis. Toute organisation de la chaîne d’approvisionnement de la défense - y compris les sous-traitants européens, les fournisseurs de technologies et les prestataires de services qui soutiennent des programmes de défense américains - est soumise à cette exigence dès lors que des CUI transitent par ses systèmes.
Les trois niveaux en bref
- Niveau 1 : protection de base des informations relatives aux contrats fédéraux (Federal Contract Information), vérifiée par une auto-évaluation annuelle
- Niveau 2 : alignement complet sur les 110 contrôles de la NIST SP 800-171, exigeant en général, à partir de la phase 2, une évaluation par un tiers menée par une Certified Third-Party Assessment Organization (C3PAO), l’auto-évaluation restant autorisée pour une partie des contrats tous les trois ans, assortie d’affirmations annuelles
- Niveau 3 : le niveau le plus élevé, évalué par le Defense Industrial Base Cybersecurity Assessment Center (DIBCAC), réservé aux programmes les plus sensibles
Pourquoi cela compte en dehors des États-Unis
La CMMC se répercute le long de la chaîne d’approvisionnement par clause contractuelle, et non selon la géographie. Un intégrateur de systèmes, un fournisseur de services cloud ou un fabricant de composants européen qui intervient pour un maître d’œuvre américain est soumis à la même exigence qu’un sous-traitant établi aux États-Unis si des informations non classifiées contrôlées atteignent son environnement. Pour les entreprises européennes qui visent des marchés liés à la défense américaine - un objectif de croissance affiché des organisations qui se développent sur le marché américain - la préparation à la CMMC n’est plus une lointaine question de politique américaine. C’est un prérequis qui détermine si une offre est même recevable pour l’attribution une fois la phase 2 entrée en vigueur.
Le problème de la preuve derrière les 110 contrôles
Les 110 contrôles de la NIST SP 800-171 se déclinent en 320 objectifs d’évaluation distincts, et l’évaluateur d’une C3PAO attend que chacun soit étayé par des preuves, et non par une attestation. Les organisations qui préparent le niveau 2 rapportent de façon constante que documenter les journaux d’audit, les enregistrements d’accès et l’historique de configuration sur 14 familles de contrôles constitue le chantier le plus lourd de toute la certification - plus lourd que la mise en œuvre des contrôles eux-mêmes. Un contrôle qui existe mais ne peut pas produire une piste de preuves défendable pour la période d’évaluation ne sera pas validé.
Construire la piste de preuves avant l’arrivée de la phase 2
Les organisations qui considèrent les preuves CMMC comme un dossier à constituer dans les semaines précédant une évaluation C3PAO programmée sous-estiment systématiquement l’effort. Les objectifs d’évaluation qui portent sur l’historique des accès, les journaux de modifications de configuration et les registres d’incidents exigent une piste continue couvrant toute la période d’évaluation - et non un instantané fabriqué après coup. Commencer cette piste dès maintenant, avant l’échéance de novembre 2026, fait toute la différence entre une évaluation qui s’appuie sur des preuves existantes et une évaluation qui oblige à reconstituer des mois d’historique de mémoire et à partir de systèmes cloisonnés.
Pour les organisations européennes qui visent des contrats liés à la défense américaine, la préparation à la CMMC est désormais une condition d’accès au marché, et non une considération future. Découvrez comment ROOTKey construit des pistes de preuves continues et prêtes pour l’audit pour les référentiels de conformité, dont la NIST SP 800-171.