CMMC 2.0 / NIST SP 800-171 :

Vue d'ensemble

Le CMMC 2.0 est le programme de vérification à plusieurs niveaux du ministère américain de la Défense, qui s'appuie sur la norme NIST SP 800-171, révision 2. Il remplace l'auto-attestation des prestataires par des preuves évaluées de manière indépendante, démontrant que les informations non classifiées contrôlées sont effectivement protégées. La règle définitive du DFARS mettant en œuvre ce programme est entrée en vigueur le 10 novembre 2025 et sera déployée en quatre phases jusqu'en novembre 2028.

Le niveau 1 (FCI uniquement) consiste toujours en une auto-évaluation par rapport à 15 pratiques de base en matière de sécurité ; le niveau 2 (CUI) exige la mise en œuvre de l’ensemble des 110 contrôles de la norme NIST SP 800-171, dont la conformité est le plus souvent vérifiée tous les trois ans par un organisme tiers d’évaluation certifié (C3PAO) ; et le niveau 3 ajoute 24 exigences renforcées issues de la norme NIST SP 800-172, évaluées directement par le Centre d’évaluation de la cybersécurité de la base industrielle de défense (DIB) du département de la Défense (DoD) pour les programmes les plus sensibles. Pour les fournisseurs d’ software s et de SaaS, les informations CUI transitent régulièrement par les couches applicatives, et pas seulement par l’infrastructure, ce qui fait entrer les contrôles cryptographiques dans le champ d’application de l’ software elle-même.

Pourquoi c'est important

Le ministère américain de la Défense (DoD) estime que bien plus de 80 000 prestataires et sous-traitants devront obtenir une certification de niveau 2 ou 3, et le statut CMMC constitue désormais une condition préalable à l'attribution d'un marché : les responsables des marchés publics peuvent exiger un statut CMMC à jour ainsi qu'un score attribué par le « Supplier Performance Risk System » avant même d'examiner une offre.

La famille « Protection des systèmes et des communications » (paragraphe 3.13) est systématiquement l’une des plus difficiles à satisfaire pour les fournisseurs d’ software s, car les évaluateurs établissent une distinction très nette entre un algorithme de chiffrement qui se contente d’être conforme à la norme FIPS et un module cryptographique formellement validé selon la norme FIPS dans le cadre du programme CMVP. Un fournisseur qui a développé son propre système de chiffrement à l’aide d’algorithmes approuvés, sans faire valider le module lui-même, échoue à ce contrôle, quelle que soit la robustesse de sa mise en œuvre.

En quoi cela s'applique-t-il à la cryptographie ? 

La norme CMMC 2.0 / NIST SP 800-171 aborde la cryptographie à travers plusieurs domaines de contrôle étroitement liés. Les principaux domaines ayant des implications cryptographiques directes sont les suivants :

Préparation à l'audit

Les évaluations et les contrôles, qu'ils soient menés en interne, réalisés par une autorité de régulation ou examinés par un évaluateur indépendant, se concentrent sur les preuves concrètes plutôt que sur les simples déclarations de principe. Voici les principaux domaines sur lesquels les contrôleurs et les évaluateurs s'attardent généralement :

• Preuves de validation FIPS : Le fournisseur est-il en mesure de démontrer que les modules cryptographiques assurant la confidentialité des informations classifiées (CUI), y compris ceux intégrés à son propre système « software », ont fait l’objet d’une validation formelle selon les normes FIPS 140-2 ou 140-3, et ne se contentent pas d’être basés sur des algorithmes approuvés ?
• Documentation relative à la gestion des clés : les procédures de génération, de distribution, de stockage et de destruction des clés cryptographiques sont-elles documentées et systématiquement respectées, conformément au §3.13.10 ?
• Chiffrement des données CUI aux frontières du système : les données CUI sont-elles chiffrées au repos et en transit à toutes les frontières du système, y compris dans les propres bases de données de l’ softwareet dans tous les environnements cloud dans lesquels il opère ?
• Preuves d'authentification des appareils et des utilisateurs : l'organisation est-elle en mesure de démontrer qu'elle utilise des identifiants uniques, basés sur des certificats, à la place de mots de passe partagés pour les systèmes et applications traitant des informations classifiées (CUI) ?
• Plan de sécurité du système et exactitude du POA&M : le plan de sécurité du système (SSP) reflète-t-il fidèlement les contrôles cryptographiques mis en œuvre, les éventuelles lacunes étant-elles répertoriées dans un plan d'action et de jalons (POA&M) à jour ?
• Dossier de preuves prêt pour l'évaluation : les preuves sont-elles suffisamment organisées et à jour pour résister à une évaluation complète de niveau 2 réalisée par un tiers et portant sur l'ensemble des 110 contrôles ?

TRANSMETTEZ CELA À LA DIRECTION

La norme CMMC 2.0 a mis fin à la décennie durant laquelle nous pouvions attester nous-mêmes de notre conformité à la norme NIST SP 800-171. Depuis le 10 novembre 2025, le niveau 2 exige qu’un organisme C3PAO indépendant vérifie l’ensemble des 110 contrôles, y compris la cryptographie validée selon la norme FIPS et la gestion documentée des clés, avant que nous puissions vendre des « software » (systèmes d’information) traitant des informations classifiées (CUI) dans le cadre de contrats avec le ministère de la Défense (DoD). La perte de cette certification entraîne la perte pure et simple de l’éligibilité aux contrats.

La lacune qui entraîne le plus souvent l’échec de l’évaluation d’un fournisseur d’ software s est toujours la même : une cryptographie conforme aux algorithmes approuvés, mais qui n’a jamais fait l’objet d’une validation par le CMVP. Si notre application chiffre des informations CUI à l’aide d’une bibliothèque que nous avons nous-mêmes développée ou intégrée, sans module validé en arrière-plan, nous ne satisfaisons pas aux exigences du §3.13.11, quelle que soit la qualité de la mise en œuvre. Il s’agit d’une lacune qui peut être comblée si nous y remédions dès maintenant, mais qui s’avérera coûteuse si nous la découvrons en cours d’évaluation.