Ce que la suspension de la phase II du CMMC implique pour les MSP

Le 13 juillet 2026, le Department of War (DoW) a publié un communiqué intitulé « Forging the Arsenal of Freedom » (Forger l’arsenal de la liberté), annonçant la suspension immédiate des exigences de la phase II de la certification CMMC (Cybersecurity Maturity Model Certification). Si vous accompagnez des clients issus de la base industrielle de défense (DIB), c’est-à-dire le réseau d’entreprises qui fournissent le Department of War, vous avez sans doute entendu une variante de cette question tout au long de la semaine : « Est-ce que cela signifie que la mise en conformité est terminée ? »

Ce n’est pas le cas.

Un groupe de travail chargé de la réforme du CMMC dispose désormais de 60 jours pour rendre son rapport, en s’appuyant sur les commentaires recueillis dans le cadre d’une demande d’informations (RFI) publique, procédure officielle mise en place par le gouvernement pour recueillir l’avis du secteur avant de modifier une réglementation. Cependant, ce genre d’audit a tendance à être assez long, et cette date précise n’est pas garantie.

Vous préférez un résumé visuel ? Pour plus d’informations, regardez notre tutoriel vidéo « Ce que la suspension de la phase II du CMMC implique pour les MSP « .

Pourquoi cette suspension de la phase II du CMMC

Selon le communiqué, la raison invoquée par le ministère est la directive du secrétaire Pete Hegseth relative au système de transformation des acquisitions (ATS), qui privilégie la rapidité de mise en œuvre des capacités et la réduction des coûts de mise en conformité pour les petites et moyennes entreprises ainsi que pour les entreprises non traditionnelles. Le communiqué cite des données de la Small Business Administration (SBA) indiquant que les coûts liés à la mise en conformité poussaient les entreprises à quitter le DIB. Kirsten A. Davies, directrice des systèmes d’information (DSI) du DoW, est citée directement pour avoir défendu cette position.

Derrière tout cela se cache également un problème mathématique plus simple. Selon la plupart des estimations qui ont circulé depuis l’annonce, bien plus de 100 000 entreprises devaient faire l’objet d’une évaluation par un tiers, alors qu’il n’y avait qu’une centaine d’évaluateurs agréés, ce qui rendait le calendrier initial pratiquement impossible à respecter.

Ce qui change avec les modifications apportées à la suspension

La phase II est suspendue. Il s’agit de l’exigence relative aux évaluations certifiées réalisées par un organisme tiers (C3PAO, c’est-à-dire un organisme d’évaluation tiers CMMC, un cabinet externe accrédité) ou à un examen effectué par le DIBCAC (le Centre d’évaluation de la cybersécurité de la base industrielle de défense, l’organe d’évaluation interne du ministère). Toutes les étapes CMMC en cours ou à venir sont également suspendues.

Dans l’intervalle, le DoW continuera à veiller au respect des règles par le biais des auto-évaluations prévues par la norme NIST SP 800-171 Rev 2 (la norme fédérale énumérant les 110 mesures de sécurité requises pour protéger les données sensibles en matière de défense) et de ce que le communiqué qualifie d' »évaluations ciblées menées par le gouvernement ». Ces contrats seront probablement attribués principalement au niveau des maîtres d’œuvre, à un maillon plus en amont de la chaîne d’approvisionnement que la plupart des clients des MSP. Cela s’apparente davantage à un rappel que le ministère dispose toujours du pouvoir de mener des enquêtes approfondies qu’à un nouveau programme d’audit.

Les exigences qui restent en vigueur

Les exigences relatives à l’auto-évaluation de la phase I restent pleinement en vigueur : FAR (Federal Acquisition Regulation) 52.204-21, qui traite de la protection de base des informations relatives aux contrats fédéraux (FCI), et le DFARS (Defense Federal Acquisition Regulation Supplement) 252.204-7012, qui impose la protection des informations non classifiées contrôlées (CUI), la déclaration des incidents cybernétiques et la mise en œuvre des 110 contrôles prévus par la norme NIST SP 800-171. Le communiqué précise clairement que cette suspension « ne dispense pas les entreprises de leur obligation de protéger les données fédérales ».

Ne sont pas non plus concernés : Les notes attribuées dans le cadre du système de gestion des risques liés à la performance des fournisseurs (SPRS), les déclarations annuelles, les exigences du règlement américain sur le commerce international des armes (ITAR), les plans de remédiation, les plans de sécurité des systèmes et la répercussion des exigences sur les sous-traitants. La CUI est en soi une catégorie très large, et l’ITAR est l’une des nombreuses normes qui en relèvent. Le CMMC a tenté de regrouper tous ces éléments au sein d’une seule certification, et c’est ce regroupement qui a été suspendu. Les exigences qui s’y rapportent sont toutes toujours en vigueur.

Lorsqu’il existe un risque lié à la conformité

La suspension a supprimé une étape de vérification, mais elle n’a pas supprimé l’obligation sous-jacente. Ce qui manque, pour l’instant, c’est ce tiers qui aurait vérifié votre travail avant qu’un problème ne se présente.

Une auto-évaluation inexacte ou une déclaration non étayée peut néanmoins entraîner des risques sur le plan contractuel et administratif, ainsi qu’au titre de la loi fédérale sur les fausses déclarations (False Claims Act, FCA), qui tient une entreprise, et souvent la personne ayant approuvé la déclaration, personnellement responsable en cas de fraude délibérée à l’encontre de programmes publics. Les contrats répercutent déjà cette exigence des donneurs d’ordre vers les sous-traitants, et cette clause devrait évoluer : au lieu d’exiger la preuve d’un audit achevé, elle s’apparentera davantage à « Veuillez nous transmettre votre auto-déclaration, nous nous réservons le droit de procéder à un audit ultérieurement. » Mentir à ce sujet, surtout après avoir reçu des fonds publics, peut entraîner des conséquences civiles et pénales. Il est déjà de notoriété publique que plusieurs entreprises du secteur de la défense ont fait l’objet de poursuites en vertu de la loi sur les fausses déclarations (False Claims Act) pour des allégations de conformité qui n’ont pas tenu la route.

Mesures concrètes à l’intention des MSP

• Poursuivez la mise en œuvre des plans de remédiation : cette nouvelle ne justifie pas de les suspendre.
• Vérifiez que les scores SPRS et les affirmations annuelles reflètent toujours la situation réelle de votre client.
• Vérifiez le périmètre, notamment quels systèmes clients sont en contact avec des informations CUI ou FCI, et lesquels d’entre eux vous gérez directement.
• Veillez à ce que les justificatifs soient à jour, notamment les pistes d’audit, les registres de conformité des correctifs et les journaux d’accès, au cas où un contrôle du maître d’œuvre serait effectué.
• Expliquez clairement à vos clients que »suspendu » n’est pas la même chose que « résolue ».

Comment NinjaOne facilite la mise en conformité avec les normes CMMC et FedRAMP

Le programme FedRAMP (Federal Risk and Authorization Management Program, qui régit l’agrément des plateformes logicielles autorisées à traiter des données fédérales) n’est pas le même programme que le CMMC, et cette suspension ne le concerne pas. Cependant, le fait de montrer à un évaluateur que votre plateforme fonctionne déjà sur une infrastructure agréée par FedRAMP a tendance à faciliter cette discussion. NinjaOne est la seule plateforme de surveillance et de gestion à distance (RMM) actuellement disponible sur le marché à avoir obtenu l’autorisation « Modérée » de FedRAMP.

Au fond, NinjaOne aide les MSP à mettre en œuvre et à démontrer les contrôles techniques exigés par la norme NIST SP 800-171 : automatisation des correctifs, contrôle d’accès basé sur les rôles (RBAC), authentification forte (MFA) et rapports centralisés pour tous les environnements clients que vous gérez.

haque entreprise faisant partie du secteur industriel de la défense reste légalement tenue de fournir, sur simple demande, ses documents attestant de sa conformité : registres, pistes d’audit et auto-attestation justifiant son score SPRS, qu’un évaluateur tiers se présente ou non pour les vérifier. C’est précisément pour cette raison qu’une plateforme conçue pour garantir que ces justificatifs restent à jour et facilement accessibles revêt aujourd’hui une importance capitale.