CMMC 2.0 : de quoi s'agit-il, qui en a besoin et comment les MSP peuvent aider leurs clients à s'y conformer

La certification CMMC (Cybersecurity Maturity Model Certification) est le référentiel mis en place par le ministère américain de la Défense afin de garantir que la base industrielle de défense, ainsi que les prestataires et sous-traitants qui composent la chaîne d'approvisionnement du ministère, maintiennent un niveau de cybersécurité adéquat pour protéger les informations sensibles en matière de défense.

Selon le rapport « State of the MSP » 2026 de Kaseya, 71 % des MSP ont fait état d’une croissance de leur chiffre d’affaires lié à la cybersécurité par rapport à l’année précédente. La conformité à la norme CMMC devient rapidement la clé d’accès au marché des contrats de défense, et alors que le ministère américain de la Défense (DoD) estime à 350 000 le nombre de fournisseurs au sein de la base industrielle de défense, le marché potentiel pour les MSP proposant des services de préparation à la norme CMMC est considérable.

La mise en œuvre de la phase 1 a débuté le 10 novembre 2025. La phase 2, qui rend la certification C3PAO obligatoire pour un ensemble plus large de marchés, débutera le 10 novembre 2026. Les organisations qui ne seront pas certifiées au moment de la publication d'un appel d'offres relevant de la phase 2 ne pourront pas se porter candidates pour ce marché. La préparation prend généralement entre 9 et 12 mois. C'est maintenant que les clients qui doivent encore agir doivent le faire.

Ce guide présente les exigences du CMMC 2.0, les entités concernées, ainsi que les éléments que les MSP doivent connaître pour aider leurs clients, et eux-mêmes, à atteindre et à maintenir la conformité.

Qu'est-ce que le CMMC et pourquoi existe-t-il ?

Le CMMC a été créé pour répondre à un problème spécifique : des informations sensibles en matière de défense, notamment les informations relatives aux contrats fédéraux (FCI) et les informations non classifiées mais soumises à des restrictions d’accès (CUI), étaient traitées par des sous-traitants du ministère de la Défense (DoD) ne disposant pas de contrôles de cybersécurité adéquats. L'exigence en vigueur (DFARS 252.204-7012, qui imposait la conformité à la norme NIST SP 800-171) reposait sur une auto-attestation. Les sous-traitants certifiaient leur conformité, souvent de manière inexacte, et les informations sensibles restaient exposées à des risques.

Le CMMC passe d'un modèle d'auto-certification à un modèle de conformité vérifiée. Les prestataires doivent soit procéder à une auto-certification (contrats de niveau 1 et certains contrats de niveau 2), soit se soumettre à une évaluation réalisée par un organisme tiers certifié (C3PAO) ou par des évaluateurs gouvernementaux (niveau 3), en fonction du degré de sensibilité des informations qu'ils traitent et du niveau CMMC requis par le contrat.

La règle définitive a été codifiée dans le titre 32 du CFR, partie 170, et est entrée en vigueur le 16 décembre 2024. La règle relative aux marchés publics qui intègre le CMMC dans les contrats du ministère de la Défense (DoD) par le biais du DFARS est entrée en vigueur le 10 novembre 2025.

CMMC 2.0 : ce qui a changé par rapport à la version 1.0

La version 1.0 du CMMC, annoncée en 2020, comportait cinq niveaux de maturité et présentait une grande complexité. Suite aux retours du secteur, le ministère américain de la Défense (DoD) a publié la version 2.0 du CMMC en 2021, qui a simplifié le cadre de référence de quatre manières significatives.

Trois niveaux au lieu de cinq. La norme CMMC 2.0 regroupe les niveaux en trois catégories correspondant aux niveaux de risque réels au sein de la chaîne d'approvisionnement de la défense : « Fondamental », « Avancé » et « Expert ».

Conformité à la norme NIST SP 800-171 au niveau 2. Le niveau 2 correspond exactement aux 110 pratiques définies dans la norme NIST SP 800-171, à laquelle la plupart des sous-traitants du secteur de la défense se conformaient déjà. Cela permet de réduire les doublons et facilite la mise en conformité pour les organisations disposant déjà de programmes NIST.

L'auto-certification est autorisée pour certains contrats de niveau 2. Les acquisitions prioritaires (contrats portant sur les informations classifiées les plus sensibles) nécessitent une évaluation par un organisme tiers agréé (C3PAO). Les acquisitions non prioritaires peuvent faire l'objet d'une auto-certification annuelle pendant la phase de déploiement progressif. Le niveau 1 fait toujours l'objet d'une auto-certification.

Les plans d'action et les étapes clés (POA&M) sont autorisés. Le cadre 2.0 autorise les POA&M pour une mise en conformité limitée et dans un délai défini des lacunes identifiées, offrant ainsi une voie vers l'éligibilité au contrat tout en œuvrant à la conformité totale.

Les trois niveaux du CMMC

Niveau 1, Fondamental (15 pratiques). S'applique aux organisations traitant des informations relatives aux contrats fédéraux (FCI) mais pas des informations classifiées (CUI). Nécessite la mise en œuvre des 15 pratiques de base en matière de cyberhygiène prévues par la clause 52.204-21 du FAR. Auto-attestation annuelle par un haut responsable de l’entreprise, dont les résultats sont transmis au système de gestion des risques liés aux performances des fournisseurs (SPRS). Aucune évaluation par un tiers n’est requise. Aucun accord de performance et de mesures (POA&M) n’est autorisé à ce niveau ; les 15 exigences doivent être intégralement respectées.

Remarque : les documents antérieurs relatifs au CMMC faisaient référence à 17 pratiques de niveau 1. La version définitive de la règle 32 CFR Partie 170, qui entrera en vigueur en décembre 2024, a regroupé trois exigences en matière de protection physique en une seule, portant ainsi le nombre officiel à 15.

Niveau 2, Avancé (110 pratiques). S'applique aux organisations traitant des informations non classifiées mais soumises à des contrôles (CUI). Nécessite la mise en œuvre intégrale de la norme NIST SP 800-171 Rev 2. Les acquisitions prioritaires doivent faire l'objet d'une évaluation triennale par un organisme d'évaluation externe agréé (C3PAO). Les acquisitions non prioritaires peuvent donner lieu à une auto-attestation annuelle. Le niveau 2 est celui que doivent atteindre la plupart des sous-traitants du secteur de la défense souhaitant conserver leur éligibilité aux contrats du Département de la Défense (DoD).

Niveau 3, Expert (plus de 130 pratiques). S'applique aux organisations traitant les informations classifiées (CUI) les plus sensibles dans le cadre de programmes critiques. Nécessite la mise en œuvre intégrale de la norme NIST SP 800-171 ainsi que de certaines pratiques de la norme NIST SP 800-172. Évaluation réalisée par des évaluateurs gouvernementaux de la DCSA (DIBCAC). S'applique à un petit sous-ensemble de programmes hautement sensibles.

Qui doit se conformer à la norme CMMC ?

La norme CMMC s'applique à toute organisation, qu'il s'agisse d'un maître d'œuvre ou d'un sous-traitant, qui traite des informations classifiées (FCI) ou des informations sensibles (CUI) dans le cadre de contrats avec le ministère américain de la Défense (DoD). Son champ d'application est plus large que ne le pensent initialement de nombreuses organisations.

Sous-traitants directs du ministère américain de la Défense (DoD). Entreprises ayant conclu des contrats principaux avec le DoD. La plupart devront obtenir une habilitation de niveau 1 ou de niveau 2, selon qu’elles traitent ou non des informations classifiées (CUI).

Sous-traitants. Toute entité de la chaîne d'approvisionnement qui traite des informations FCI ou CUI. La transmission des exigences est obligatoire : les maîtres d'œuvre doivent s'assurer que leurs sous-traitants respectent le niveau CMMC requis par le contrat. Une petite société d'ingénierie agissant en tant que sous-traitant de deuxième niveau dans le cadre d'un programme de défense peut être amenée à traiter des informations CUI et être soumise au niveau 2.

Fournisseurs de services gérés(MSP). Si un MSP traite, stocke ou transmet des informations classifiées (CUI) pour le compte d’un client sous-traitant du secteur de la défense, ou si ses systèmes traitent des CUI dans le cadre de la prestation de services, le MSP fait partie du périmètre des CUI et peut lui-même être soumis aux exigences du CMMC. Il s’agit là de la conséquence la plus souvent négligée pour les MSP.

L'obligation de répercussion est l'élément le plus souvent négligé. Un prestataire de services médicaux (MSP) qui n'a jamais vérifié si la prestation de ses services entraîne une obligation de traitement des informations classifiées (CUI) opère avec un risque de responsabilité non identifié, tout comme les maîtres d'œuvre dont la conformité dépend de lui.

Ce qu'exige réellement le niveau 2 du CMMC

Les 110 mesures du niveau 2, réparties dans 14 domaines, constituent un programme de sécurité complet. Les domaines les plus exigeants sur le plan opérationnel pour les PME et les sous-traitants du secteur de la défense qui partent d'un niveau de référence faible sont les suivants :

Contrôle d'accès (CA), 22 mesures. Authentification multifactorielle (MFA) pour tous les comptes, principe du moindre privilège, accès contrôlé en fonction du besoin d'en connaître, contrôles de durée de session, restrictions d'accès à distance et utilisation contrôlée des appareils mobiles.

Gestion de la configuration (CM), 9 pratiques. Configuration de référence documentée, surveillance et alerte en cas de modifications de configuration, restriction de l'installation de logiciels non autorisés.

Réponse aux incidents (IR) : 3 pratiques. Plan de réponse aux incidents documenté et testé, capacité à contenir les incidents et à assurer la reprise après sinistre, et obligation de signaler les incidents au ministère de la Défense.

Évaluation des risques (ER), 3 pratiques : évaluations périodiques des risques, correction des vulnérabilités identifiées et participation au partage d'informations sur les menaces.

Protection des systèmes et des communications (SC), 16 pratiques. Segmentation du réseau isolant les informations classifiées (CUI) des systèmes non classifiés, chiffrement des informations classifiées (CUI) en transit et au repos, interfaces gérées et protections des périmètres.

Intégrité des systèmes et des informations (SI), 7 pratiques. Protection contre les logiciels malveillants grâce à des mises à jour régulières, surveillance des alertes de sécurité, gestion des correctifs pour les systèmes d'exploitation et les applications, et surveillance du système afin de détecter tout comportement anormal.

L'ampleur du niveau 2 en fait un projet de grande envergure pour les organisations partant d'un niveau de référence faible. Le point de départ consiste à réaliser un état des lieux par rapport à la norme NIST SP 800-171, afin d'identifier, parmi les 110 pratiques, celles qui sont déjà mises en œuvre, celles qui le sont partiellement et celles qui ne sont pas prises en compte. En moyenne, un sous-traitant du secteur de la défense a besoin de 9 à 12 mois pour se préparer à l'évaluation à compter du début de cet état des lieux formel.

MSP et CMMC : les complications liées à la chaîne d'approvisionnement

Les MSP occupent une place complexe au sein de l’écosystème CMMC. Si un MSP accède à des informations classifiées (CUI), les traite ou les stocke dans le cadre de la prestation de services à un sous-traitant du secteur de la défense, il peut être amené à satisfaire aux exigences du niveau 2 pour son propre environnement. Le critère pratique consiste à déterminer si les systèmes et le personnel du MSP entrent en contact avec des informations classifiées (CUI) lors de la prestation de services managed services.

Prenons un exemple concret : un prestataire de services de gestion (MSP) qui assure la surveillance et la gestion à distance pour un sous-traitant du secteur de la défense, et dont les agents RMM sont déployés sur des terminaux traitant des informations classifiées (CUI), dispose de systèmes qui peuvent être considérés comme faisant partie du périmètre des CUI. Le MSP doit déterminer si cela entraîne une obligation au titre du CMMC pour son propre environnement.

Les maîtres d'œuvre intègrent de plus en plus souvent des clauses de répercussion CMMC dans les contrats de services MSP. L'ignorance de leur portée ne constitue pas un moyen de défense, et une attestation mensongère expose à des poursuites judiciaires en vertu de la loi sur les fausses déclarations (False Claims Act).

Les MSP qui parviennent à se mettre en conformité avec la norme CMMC pour leurs propres environnements bénéficient d'un avantage concurrentiel significatif : ils deviennent le partenaire informatique privilégié des sous-traitants du secteur de la défense qui doivent démontrer que leur chaîne d'approvisionnement en MSP ne présente pas de lacunes en matière de conformité. Les MSP conformes à la norme CMMC peuvent accéder à un segment de marché que les MSP non conformes ne peuvent pas desservir, et peuvent fixer leurs tarifs en conséquence.

Se mettre en conformité avec la norme CMMC : une approche pratique

Étape 1 : Définir le périmètre de l'environnement CUI. Identifier l'ensemble des systèmes, du personnel et des processus qui traitent des informations CUI. Le périmètre CUI définit ce qui doit être mis en conformité. Réduire ce périmètre au minimum en confinant le traitement des informations CUI à une enclave bien délimitée allège considérablement la charge liée à la mise en conformité.

Étape 2 : Réaliser une analyse des écarts. Évaluer la mise en œuvre actuelle au regard des 110 pratiques définies dans la norme NIST SP 800-171. Un plan de sécurité du système (SSP) rend compte de l'état actuel de conformité. Un plan d'action et de jalons (POA&M) répertorie les écarts identifiés et les délais de correction. Ces deux documents constituent des éléments obligatoires pour l'obtention de la certification de niveau 2.

Étape 3 : Combler les lacunes. Traitez en priorité les lacunes les plus critiques, notamment celles liées au contrôle d’accès, à la réponse aux incidents et à l’intégrité des systèmes et des informations, qui concernent les vecteurs d’attaque les plus probables. Les outils automatisés permettent de traiter simultanément un grand nombre de contrôles : la gestion des correctifs couvre les exigences en matière d’intégrité des systèmes et des informations (SI), le déploiement de l’authentification multifactorielle (MFA) couvre les exigences en matière de contrôle d’accès (AC), l’EDR couvre les exigences relatives aux logiciels malveillants et à la surveillance dans le domaine de l’intégrité des systèmes et des informations (SI), et le SIEM couvre les exigences en matière de journalisation d’audit dans plusieurs domaines.

Étape 4 : Sélectionnez la procédure d’évaluation. Déterminez si l’auto-attestation de niveau 2 est autorisée pour le contrat concerné ou si une évaluation par un organisme C3PAO est requise. À compter du 10 novembre 2026, la certification C3PAO deviendra obligatoire pour les appels d’offres de niveau 2 concernés. Préparez les justificatifs de conformité : le SSP, le POA&M et les preuves techniques issues des outils de sécurité démontrant la mise en œuvre des contrôles.

Étape 5 : Maintenir la conformité. La certification CMMC n'est pas une certification ponctuelle. Les auto-déclarations annuelles ou les évaluations triennales menées par un organisme C3PAO exigent un maintien continu de la conformité : surveillance permanente, gestion des correctifs, tests du plan d'intervention en cas d'incident et production de preuves entre les évaluations.

Comment « Compliance Manager GRC » soutient le CMMC

Compliance Manager GRC propose un parcours structuré vers la conformité au CMMC qui tient compte à la fois de la charge liée à l'évaluation et des exigences en matière de preuves à fournir de manière continue.

La plateforme comprend un modèle d'évaluation dédié au niveau 2 du CMMC, conforme aux 110 exigences de la norme NIST SP 800-171 Rev 2, y compris la fiche d'évaluation des risques du DoD. Le SSP et le POA&M, deux documents de certification obligatoires, sont générés et suivis au sein de la plateforme. À mesure que les lacunes sont comblées, des preuves sont enregistrées pour chaque contrôle.

L'intégration directe avec VSA et Datto RMM permet d'importer directement dans le dossier « Compliance Manager GRC » les preuves techniques issues de la conformité aux correctifs, de l'état de santé des terminaux et des données de configuration, réduisant ainsi la charge de travail manuelle liée à la documentation de la mise en œuvre des contrôles. Datto EDR fournit des preuves relatives à la protection contre les logiciels malveillants et aux contrôles de surveillance du système. L'intégration avec « IT Glue » transfère automatiquement les rapports de conformité finalisés vers la documentation de chaque client, garantissant ainsi la mise à jour des preuves prêtes pour l'audit entre deux évaluations.

Pour les MSP qui proposent la préparation à la certification CMMC en tant que service, l’architecture multi-clients d’ Compliance Manager GRCpermet de gérer les évaluations de plusieurs clients sous-traitants du secteur de la défense à partir d’une seule console.

Découvrez « Compliance Manager GRC » pour le CMMC

Points clés à retenir

• La norme CMMC 2.0 est une exigence contractuelle, et non un cadre facultatif. La mise en œuvre de la phase 1 a débuté le 10 novembre 2025. La phase 2, qui rendra obligatoire la certification C3PAO pour les contrats de niveau 2 concernés, débutera le 10 novembre 2026. Les organisations qui ne seront pas certifiées au moment de la publication d'un appel d'offres relevant de la phase 2 ne pourront pas soumissionner pour ce marché.
• Le niveau 2 (l'exigence la plus courante) correspond aux 110 pratiques de la norme NIST SP 800-171, réparties dans 14 domaines. Une évaluation des écarts, suivie d'une période de mise en conformité de 9 à 12 mois, constitue le parcours type pour se préparer à l'évaluation.
• Les prestataires de services informatiques (MSP) travaillant pour des sous-traitants du secteur de la défense peuvent eux-mêmes être soumis à la norme CMMC si la prestation de leurs services entraîne une obligation de traitement d’informations classifiées (CUI). Définir précisément le champ d’application de cette norme et se mettre en conformité constitue un avantage concurrentiel sur un segment de marché auquel les MSP non conformes n’ont pas accès.
• La mise en conformité est un processus continu. Les auto-déclarations annuelles ou les évaluations C3PAO triennales nécessitent une gestion continue des correctifs, une surveillance, des tests de réponse aux incidents et la production de preuves entre les évaluations officielles.