Le Pentagone a décidé que la cybersécurité ne serait plus une option pour ses sous-traitants. Depuis l’entrée en vigueur progressive du Cybersecurity Maturity Model Certification, toute entreprise qui touche à un contrat de défense américain doit prouver qu’elle protège correctement les données sensibles. Ce cadre, connu sous l’acronyme CMMC, ne concerne pas uniquement les géants de l’armement : il descend jusqu’au plus petit fournisseur de la chaîne d’approvisionnement.
Qu’est-ce que le CMMC, concrètement ?
Le CMMC est un référentiel de cybersécurité créé par le Département de la Défense des États-Unis (DoD). Son objectif : s’assurer que chaque maillon de la base industrielle de défense (DIB) applique des pratiques de sécurité suffisantes pour protéger deux catégories d’informations sensibles.
- Les Informations Contractuelles Fédérales (FCI) : données liées à l’exécution d’un contrat fédéral, non destinées au public.
- Les Informations Non Classifiées Contrôlées (CUI) : données gouvernementales sensibles qui ne sont pas classifiées secrètes, mais qui nécessitent tout de même une protection stricte.
Le cadre s’appuie principalement sur les normes NIST SP 800-171 et NIST SP 800-172, deux références reconnues en cybersécurité. La version actuelle, le CMMC 2.0, remplace le modèle initial en cinq niveaux par une architecture simplifiée à trois niveaux, tout en maintenant des exigences élevées pour les données les plus sensibles.
Pourquoi le CMMC concerne aussi les entreprises européennes ?
C’est une question légitime. Le CMMC est une réglementation américaine — pourquoi une PME française ou allemande devrait-elle s’y intéresser ?
La réponse tient à la réalité de la chaîne d’approvisionnement de défense. De nombreuses entreprises européennes fournissent des composants, des logiciels ou des services à des donneurs d’ordre américains. Dès lors qu’une entité fait partie de la base industrielle de défense et traite des CUI, la certification est obligatoire, quelle que soit sa nationalité.
Les conséquences d’une non-conformité sont concrètes : résiliation des contrats DoD, exclusion des futurs appels d’offres, et dans certains cas, des pénalités financières. Pour les entreprises qui voient les marchés de défense américains comme un levier de croissance, ignorer le CMMC n’est tout simplement plus une option depuis 2025.
Les 3 niveaux du CMMC 2.0 : lequel s’applique à votre situation ?
Le niveau requis dépend du type de données que votre organisation manipule. Voici une lecture directe de la structure.
Niveau 1 : Fondamental (FCI)
Ce premier niveau s’adresse aux organisations qui traitent uniquement des FCI, sans contact avec des CUI. Il regroupe 17 pratiques d’hygiène informatique de base : contrôle d’accès, protection des supports, sécurité physique des systèmes. Une auto-évaluation annuelle suffit pour attester la conformité à ce niveau.
Niveau 2 : Avancé (CUI)
Le niveau 2 monte en exigence avec 110 pratiques alignées sur le NIST SP 800-171. Il cible les entreprises qui accèdent à des informations non classifiées contrôlées. Pour la grande majorité des sous-traitants de la défense, c’est ce niveau qui s’applique. Une évaluation par un organisme tiers certifié (C3PAO) est requise tous les trois ans.
Niveau 3 : Expert (APT)
Réservé aux contrats les plus critiques, ce niveau impose 130 pratiques et s’appuie sur NIST SP 800-172 pour contrer les menaces persistantes avancées (APT). L’évaluation est conduite directement par le gouvernement américain. Seule une minorité d’entreprises est concernée par ce niveau.
Comment se préparer sans se perdre dans la complexité ?
La tentation est de vouloir tout traiter en même temps. L’approche la plus efficace part d’une analyse des écarts : comparer l’état actuel de vos pratiques de cybersécurité avec les exigences du niveau CMMC visé, puis établir un plan d’action priorisé.
Quelques repères pour structurer la démarche :
- Identifier précisément quelles données vous traitez (FCI, CUI, ou aucune des deux)
- Documenter les politiques et procédures existantes
- Mettre en place une surveillance continue et des tests d’intrusion réguliers
- Anticiper le recours à un C3PAO si vous visez le niveau 2 ou 3
Pour les PME disposant de ressources limitées, des ressources gratuites existent (notamment via le Centre d’excellence pour la CMMC mis en place par le DoD). L’enjeu n’est pas d’atteindre la perfection du jour au lendemain, mais de montrer une progression documentée vers la conformité.
Le CMMC n’est pas une contrainte passagère : le DoD a clairement indiqué qu’il renforcera progressivement l’application du référentiel dans l’ensemble de ses contrats. Mieux vaut anticiper que subir.
