CMMC, la certification exigée par la défense américaine
Le cadre par lequel le Department of War vérifie que ses fournisseurs protègent effectivement l’information qu’il leur confie, quelle que soit leur nationalité.
Qu’est-ce que le CMMC
Le Cybersecurity Maturity Model Certification est le cadre par lequel le Department of War, anciennement Department of Defense, vérifie que ses fournisseurs protègent effectivement l’information qu’il leur confie.
Son origine tient en une phrase : les déclarations sur l’honneur ne suffisaient plus. Les entreprises affirmaient se conformer, les incidents montraient le contraire, et la vérification est devenue une condition contractuelle.
Les deux types d’information qui déclenchent tout
C’est la section à lire avant toutes les autres. Sans elle, impossible de déterminer votre niveau, et donc impossible de savoir ce qui vous est demandé.
- FCI, Federal Contract Information
- L’information fournie par le gouvernement, ou produite pour lui dans le cadre d’un contrat, qui n’est pas destinée à être rendue publique. Un bon de commande, un échéancier de livraison, une correspondance contractuelle.
- CUI, Controlled Unclassified Information
- De l’information non classifiée, mais dont la diffusion est encadrée par le gouvernement américain. Des spécifications techniques, des plans, des données d’ingénierie.
La règle qui en découle est simple :
Vous ne manipulez ni l’une ni l’autre : le CMMC ne s’applique pas à vous.
Vous manipulez du FCI : niveau 1.
Vous manipulez du CUI : niveau 2 au minimum.
Votre premier travail n’est donc pas technique. Il consiste à identifier quelle information de défense circule réellement dans vos systèmes, et où. Beaucoup d’entreprises découvrent à cette étape qu’elles en détiennent plus qu’elles ne le pensaient, ou beaucoup moins.
Les trois niveaux
| Niveau | Exigences | Provenance | Qui évalue | Rythme |
|---|---|---|---|---|
| Niveau 1 Cyber-hygiène de base | 15 exigences | Clause FAR 52.204-21 | L’entreprise elle-même (auto-évaluation) | Chaque année, avec attestation - déclaration score SPRS |
| Niveau 2 Protection du CUI | 110 exigences | NIST SP 800-171, révision 2 | L’entreprise elle-même (auto-évaluation), ou un organisme tiers accrédité (C3PAO) | Chaque année, avec attestation si auto-évaluation. Tous les trois ans, si évaluation par C3PAO. |
| Niveau 3 Protections avancées | 24 exigences additionnelles au niveau 2 | NIST SP 800-172 | Le gouvernement américain | Tous les trois ans. Exige au préalable un niveau 2 évalué par tierce partie (C3PAO). |
Où en est le déploiement
Les motifs invoqués par les autorités américaines sont un fardeau jugé excessif pour les petites entreprises, une capacité d’évaluation insuffisante au regard du nombre de fournisseurs à évaluer, et le constat que les exigences écartaient de la base industrielle des entreprises innovantes. Une revue du programme est en cours et son issue est ouverte.
Les exigences techniques n’ont pas disparu : c’est le mécanisme de vérification qui est en révision. Le travail de fond reste à faire, et il peut aujourd’hui se faire sans la pression et le coût d’une évaluation externe. C’est une fenêtre, pas une dispense.
Est-ce que ça s’applique à une entreprise canadienne ?
Oui. Les autorités américaines l’énoncent sans ambiguïté : lorsque des exigences CMMC figurent dans un appel d’offres, elles s’appliquent à toutes les entreprises qui exécutent le contrat qui en résulte, américaines comme étrangères.
Ces exigences se répercutent en cascade sur les sous-traitants. Et le niveau applicable dépend, là encore, du type d’information manipulée et non du rang dans la chaîne : un sous-traitant de troisième rang qui traite du CUI relève du même niveau qu’un fournisseur de premier rang.
Les entreprises étrangères ne sont pas exclues de l’écosystème d’évaluation américain.
Ce que cela implique concrètement
Identifier l’information de défense présente dans vos systèmes, et où elle se trouve.
En déduire votre niveau.
Mesurer l’écart entre vos pratiques actuelles et les exigences de ce niveau.
Mettre en œuvre les correctifs et, surtout, documenter : c’est la documentation qui est évaluée.
Déposer votre résultat et maintenir votre attestation dans le temps.
Quatre idées reçues
| Ce qu’on entend souvent | Ce qu’il en est |
|---|---|
| « Je suis trop petit pour être visé » | Le déclencheur est le type d’information manipulée, pas la taille de l’entreprise. Une entreprise de douze personnes qui traite du CUI est visée ; une entreprise de trois cents qui n’en traite pas ne l’est pas. |
| « Je ne suis que sous-traitant de troisième rang » | Les exigences se répercutent en cascade tout au long de la chaîne. Le rang ne protège de rien : c’est encore la nature de l’information qui décide. |
| « C’est suspendu, j’attends de voir » | Ce qui est suspendu, c’est l’évaluation par tierce partie, la partie coûteuse. Les auto-évaluations et les obligations contractuelles de protection restent en vigueur. La période actuelle est le meilleur moment pour bâtir le socle, pas pour s’arrêter. |
| « Mon fournisseur informatique s’en occupe » | Une part importante des exigences relève de la gouvernance et non de la technique : politiques, attribution des rôles, formation, gestion des accès, constitution des preuves. Aucun fournisseur externe ne peut les produire à votre place. |
ISO 27001
ISO/IEC 27001 est une norme internationale de management de la sécurité de l'information. Elle ne remplace pas le CMMC, mais beaucoup d'entreprises la croisent dans les mêmes appels d'offres.
Sources officielles
- Le programme CMMC du Department of WarLa page officielle du programme : règles, phases de déploiement et documentation de référence.
- NIST SP 800-171La norme dont sont tirées les 110 exigences du niveau 2.
- NIST SP 800-172Les 24 exigences additionnelles du niveau 3, contre les menaces persistantes.
- La foire aux questions officielle du programmeLes réponses du Department of War aux questions les plus fréquentes des fournisseurs.
L’accès est ouvert à toute entreprise immatriculée au Québec
Le diagnostic, dans la conversation avec l'agent IA, permet de comprendre votre situation et de vous orienter vers les ressources qui vous concernent.