CMMC 2.0 / NIST SP 800-171 :

Vue d'ensemble

Le CMMC 2.0 est le programme de vérification à plusieurs niveaux du ministère de la Défense, qui s'appuie sur la norme NIST SP 800-171, révision 2, et remplace une décennie d'auto-attestation des prestataires par des preuves évaluées de manière indépendante attestant que les informations non classifiées contrôlées sont effectivement protégées. La règle définitive du Defense Federal Acquisition Regulation Supplement (DFARS) mettant en œuvre ce programme est entrée en vigueur le 10 novembre 2025 et sera déployée en quatre phases jusqu’en novembre 2028. 

Concrètement, le niveau 1 (FCI uniquement) consiste en une auto-évaluation portant sur 15 pratiques de base en matière de sécurité ; le niveau 2 (CUI) exige la mise en œuvre des 110 contrôles de la norme NIST SP 800-171, dont la conformité est le plus souvent vérifiée tous les trois ans par un organisme tiers d’évaluation certifié (C3PAO) ; enfin, le niveau 3 ajoute 24 exigences renforcées issues de la norme NIST SP 800-172, évaluées directement par le Centre d’évaluation de la cybersécurité de la base industrielle de défense (DIBCAC) du ministère américain de la Défense (DoD) pour les programmes les plus sensibles. 

Pourquoi est-ce important ? 

Le ministère américain de la Défense (DoD) estime que bien plus de 80 000 prestataires et sous-traitants devront obtenir une certification de niveau 2 ou 3. Le statut CMMC est désormais une condition préalable à l'attribution d'un marché, et non plus une simple formalité administrative : les responsables des marchés publics peuvent exiger un statut CMMC à jour ainsi qu'un score SPRS (Supplier Performance Risk System) avant même d'examiner une offre. 

La famille « Protection des systèmes et des communications », §3.13, comporte des obligations cryptographiques directes ; elle figure systématiquement parmi les familles les plus difficiles à satisfaire pour les prestataires, car les évaluateurs établissent une distinction très nette entre un algorithme de chiffrement qui se contente d’être conforme à la norme FIPS et un module cryptographique ayant fait l’objet d’une validation formelle selon la norme FIPS dans le cadre du programme de validation des modules cryptographiques du NIST. 

En quoi cela s'applique-t-il à la cryptographie ? 

La norme NIST SP 800-171 aborde la cryptographie principalement à travers les familles de contrôles « Protection des systèmes et des communications » (§3.13) et « Identification et authentification » (§3.5). Les principaux domaines de contrôle ayant des implications cryptographiques directes sont les suivants : 

Préparation à l'audit 

Les évaluations CMMC de niveau 2, qu’elles soient réalisées en interne ou par un organisme C3PAO, mettent l’accent sur la mise en œuvre vérifiée des 110 mesures de contrôle plutôt que sur la documentation seule. Principaux domaines examinés par les évaluateurs : 

• Preuves de conformité à la norme FIPS :L'organisation est-elle en mesure dedémontrer que les modules cryptographiques assurant la confidentialité des informations classifiées (CUI) ont fait l'objet d'une validation formelle selon la norme FIPS 140-2 ou 140-3, et ne se contentent pas d'être basés sur des algorithmes approuvés ? 

• Documentation relative à la gestion des clés :Les procédures de génération, de distribution, de stockage et de destruction des clés cryptographiques sont-ellesdocumentées et systématiquement respectées, conformément au §3.13.10 ? 

• Chiffrement des données CUI aux frontières du système :les données CUI sont-elleschiffrées au repos et en transit à toutes les frontières du système, y compris dans les environnements cloud et sur les terminaux distants ? 

• Preuves d'authentification des appareils et des utilisateurs :l'organisation est-elle en mesure dedémontrer qu'elle utilise des identifiants uniques, basés sur des certificats, à la place de mots de passe partagés pour les systèmes traitant des informations classifiées (CUI) ? 

• Plan de sécurité du système et exactitude du POA&M :le SSP reflète-t-ilfidèlement les contrôles cryptographiques mis en œuvre, les éventuelles lacunes étant-elles répertoriées dans un plan d'action et un calendrier de mise en œuvre à jour ? 

• Dossier de preuves prêt pour l'évaluation :les preuves sont-ellessuffisamment organisées et à jour pour résister à une évaluation complète de niveau 2 réalisée par un tiers et portant sur l'ensemble des 110 contrôles ? 

TRANSMETTEZ CELA À LA DIRECTION

La norme CMMC 2.0 a mis fin à la décennie durant laquelle nous pouvions attester nous-mêmes de notre conformité à la norme NIST SP 800-171. Depuis le 10 novembre 2025, le niveau 2 exige qu’un organisme indépendant (C3PAO) vérifie l’ensemble des 110 contrôles, y compris la cryptographie validée selon la norme FIPS et la gestion documentée des clés, avant que nous puissions soumissionner pour des contrats du ministère de la Défense (DoD) portant sur des informations classifiées (CUI). La perte de cette certification entraîne la perte pure et simple de notre éligibilité à ces contrats.

Les deux domaines de contrôle qui font le plus souvent l'objet d'une non-conformité lors d'une évaluation DIBCAC ou C3PAO relèvent de la cryptographie : les modules validés selon la norme FIPS et la gestion documentée du cycle de vie des clés. Si nous ne pouvons pas prouver que notre cryptographie est validée, et pas seulement conforme, nous ne réussissons pas l'évaluation. Il s'agit d'une lacune qui peut être comblée si nous nous y attaquons dès maintenant, mais qui s'avérera très coûteuse si nous la découvrons en cours de période d'évaluation.