CMMC (Cybersecurity Maturity Model)

Définition

Le CMMC (Cybersecurity Maturity Model Certification) est le cadre de certification en cybersécurité imposé par le Département de la Défense américain (DoD) à l'ensemble de sa base industrielle de défense, la Defense Industrial Base. Il vise à vérifier — et non plus seulement à faire déclarer — que les fournisseurs protègent correctement deux catégories d'informations sensibles non classifiées : les FCI (Federal Contract Information, informations liées à l'exécution d'un contrat fédéral et non destinées au public) et les CUI (Controlled Unclassified Information, informations contrôlées de type plans techniques, spécifications d'armement, données d'export).

Cette distinction est fondamentale : contrairement à une idée répandue, le CMMC ne concerne pas uniquement les CUI. Le simple traitement de FCI suffit à déclencher une obligation de conformité, ce qui élargit considérablement le périmètre aux sous-traitants de rang 2 ou 3.

Les trois niveaux du modèle

Le modèle actuel, dit CMMC 2.0, comporte trois niveaux. Il remplace le modèle initial à cinq niveaux (CMMC 1.0), abandonné en 2021 car jugé trop coûteux pour les PME.

• Niveau 1 — Foundational : couvre les FCI. Il reprend les 15 exigences de sauvegarde élémentaires de la clause FAR 52.204-21 (contrôle d'accès, protection physique, antivirus, mises à jour). Validation par auto-évaluation annuelle.
• Niveau 2 — Advanced : couvre les CUI. Il s'aligne intégralement sur les 110 exigences du NIST SP 800-171, réparties en 14 familles (contrôle d'accès, journalisation, réponse aux incidents, chiffrement, gestion des configurations…). Selon la criticité du contrat, la validation se fait par auto-évaluation ou par un audit tiers mené par un C3PAO (CMMC Third-Party Assessment Organization), accrédité par le Cyber AB, tous les trois ans.
• Niveau 3 — Expert : réservé aux programmes les plus sensibles, exposés aux menaces persistantes avancées. Il ajoute un sous-ensemble d'exigences renforcées issues du NIST SP 800-172 et impose une évaluation conduite directement par le gouvernement (DIBCAC). Le niveau 2 certifié par C3PAO en est un prérequis.

Fonctionnement technique et administratif

Le mécanisme repose sur plusieurs briques articulées :

• Le scoring SPRS : l'organisation calcule un score d'auto-évaluation selon la méthodologie du DoD (base 110 points, avec des retraits pondérés de 1, 3 ou 5 points par exigence non satisfaite — un score négatif est possible) et le publie dans le Supplier Performance Risk System. Ce score conditionne l'éligibilité à l'attribution du marché.
• Le POA&M (Plan of Action and Milestones) : certaines exigences non critiques peuvent être temporairement en écart, à condition d'être traitées dans une fenêtre bornée (180 jours) sous peine de perte de la certification conditionnelle. Les exigences les plus lourdement pondérées ne sont pas éligibles au POA&M.
• L'affirmation annuelle : un dirigeant nommément désigné engage sa responsabilité en attestant chaque année de la conformité — un levier juridique redoutable aux États-Unis via le False Claims Act.
• Le flow-down : l'exigence se propage contractuellement à toute la chaîne de sous-traitance dès lors que des FCI ou des CUI transitent chez le partenaire.

Sur le plan opérationnel, la conformité passe par la définition rigoureuse d'un périmètre (enclave) isolant les systèmes traitant du CUI, souvent via un environnement cloud dédié de type GCC High, ainsi que par la production d'un SSP (System Security Plan) documentant chaque exigence.

Exemples concrets

Un équipementier aéronautique français fournissant des pièces à un intégrateur américain reçoit des plans techniques marqués CUI : il hérite du niveau 2 par flow-down. Un prestataire de nettoyage industriel sur site militaire, qui ne manipule que des bons de commande, relève du niveau 1. Un bureau d'études travaillant sur des systèmes de guidage se verra imposer le niveau 3.

Liens avec les autres référentiels

Le CMMC n'est pas un référentiel isolé. Il s'appuie techniquement sur le NIST SP 800-171 et le NIST CSF, et se recoupe largement avec l'ISO 27001 : une organisation déjà certifiée ISO couvre une part significative des exigences, notamment sur la gouvernance et la gestion des risques, mais devra combler les écarts propres au CUI (marquage, traçabilité, restrictions d'export). Il s'articule aussi avec les clauses DFARS 252.204-7012, -7019, -7020 et -7021, ainsi qu'avec les régimes ITAR et EAR sur le contrôle des exportations.

Pour un lecteur européen, la comparaison avec NIS 2 est éclairante : les deux imposent des mesures techniques et une responsabilisation des dirigeants, mais NIS 2 relève d'une logique sectorielle et de supervision étatique, quand le CMMC relève d'une logique contractuelle — pas de certificat, pas de marché. Le déploiement s'effectue de manière progressive sur plusieurs années via l'insertion des clauses DFARS dans les nouveaux contrats.

Bonnes pratiques

• Réduire le périmètre : isoler le CUI dans une enclave restreinte plutôt que de traiter l'ensemble du SI.
• Réaliser une analyse d'écart sur les 110 exigences avant tout engagement contractuel, la remédiation prenant typiquement 12 à 24 mois.
• Maintenir un SSP vivant et des preuves horodatées : l'auditeur C3PAO évalue la démonstration, pas l'intention.
• Capitaliser sur un SMSI ISO 27001 existant pour mutualiser gouvernance, audits internes et gestion documentaire.
• Cartographier ses propres sous-traitants pour anticiper le flow-down.