La phase 2 de la CMMC est suspendue. Les obligations de la phase 1 demeurent.

Réponse courte

Le ministère de la Guerre a suspendu la phase II de la CMMC à compter du 13 juillet 2026, le temps de procéder à un examen de 60 jours. La phase I reste en vigueur. Les agents contractants peuvent toujours avoir besoin d'eux-mêmes de niveau 1 ou de niveau 2, et les tâches existantes du DFARS en matière de cybersécurité, d'évaluation, de signalement des incidents et de protection des données se poursuivent indépendamment de la pause de la phase II.

Ce qui a été décidé le 13 juillet 2026

Le 13 juillet 2026, le ministère de la Guerre a annoncé la suspension immédiate de la phase II du programme de certification du modèle de maturité en matière de cybersécurité jusqu'à nouvel ordre. Le annonce officielle indique que le ministère utilise une période de 60 jours pour examiner le programme et réduire les obstacles inutiles tout en préservant la protection des informations sur les contrats fédéraux (FCI) et des informations contrôlées non classifiées (CUI). Cette période de 60 jours est un délai d’examen et de rapport, et non une date de fin promise ou une date de redémarrage de la suspension.

La phase II devait initialement débuter le 10 novembre 2026. La suspension modifie le statut CMMC qu'un agent contractant peut désigner lors de l'examen ; il n'abroge pas les règles de la CMMC et n'efface pas les clauses contractuelles déjà en vigueur. Le mémorandum officiel de mise en œuvre indique aux équipes d'acquisition comment mettre en œuvre cette distinction.

Ce qui a été suspendu

Pendant la suspension, les sollicitations et contrats nouveaux ou modifiés ne pourront désigner que :

• CMMC niveau 1 soi-même
• CMMC Niveau 2 Auto

Le protocole de mise en œuvre ordonne aux agents de négociation des contrats de supprimer ou de modifier les désignations pour :

• CMMC Niveau 2 C3PAO, l'évaluation de certification réalisée par un organisme d'évaluation tiers agréé
• CMMC Niveau 3 DIBCAC, l'évaluation menée par le gouvernement pour le niveau CMMC le plus élevé

Il s’agit d’une pause dans les désignations d’évaluation de phase II. Il ne s’agit pas d’une suspension générale de toute activité CMMC, n’invalide pas en soi un certificat C3PAO existant et n’interdit pas la préparation volontaire. Les sollicitations et les contrats existants changent par le biais d'amendements ou de modifications formels. Les entrepreneurs doivent suivre le contrat opérationnel et les instructions de l'agent de négociation des contrats jusqu'à ce qu'un tel changement soit émis.

Ce qui s'applique toujours

Les désignations d’auto-évaluation de phase I restent disponibles. Le aperçu officiel mis à jour de la CMMC continue de décrire le programme par étapes et les exigences d’évaluation attachées à chaque niveau.

Des obligations contractuelles distinctes restent également pertinentes :

• DFARS 252.204-7012 régit toujours la protection des informations de défense couvertes, le signalement des cyber-incidents, la soumission de logiciels malveillants, la préservation, l'accès et le flux des sous-traitants pertinents lorsque la clause s'applique.
• DFARS 252.204-7020 régit toujours les exigences d'évaluation du NIST SP 800-171 DoD, l'accès aux évaluations et le flux, le cas échéant.
• Le Ministère peut poursuivre certaines évaluations gouvernementales en dehors du parcours de désignation suspendu de niveau 2 C3PAO et de niveau 3.

La règle pratique est simple : déterminer les obligations à partir de la sollicitation actuelle, de l'attribution, des clauses, des données traitées, des systèmes concernés et des flux, et non à partir d'un seul titre sur la phase II.

Ce que cela signifie pour le niveau 1

Le niveau 1 Self reste disponible pendant la suspension. Elle s'applique lorsque les systèmes d'information de l'entrepreneur traitent, stockent ou transmettent des FCI et exige une auto-évaluation annuelle par rapport aux 15 exigences de protection de la FAR 52.204-21, suivie d'une affirmation annuelle.

Le niveau 1 ne permet pas de plans d'action et de jalons (POA&M). Toutes les exigences applicables doivent être remplies pour le statut de niveau 1 requis. Les organisations doivent maintenir la portée de l’évaluation, les résultats, l’affirmation et les preuves à l’appui alignés sur les systèmes qui gèrent réellement la FCI.

Ce que cela signifie pour le niveau 2

Le soi de niveau 2 peut toujours être désigné. Il s'appuie sur les 110 exigences de sécurité du NIST SP 800-171 Révision 2, avec une réévaluation tous les trois ans et une affirmation annuelle.

Les POA&M limités ne sont autorisés que dans les conditions des règles de la CMMC. Les articles placés sur un POA&M autorisé doivent être fermés dans les 180 jours et ne peuvent pas inclure d'exigences exclues de l'utilisation du POA&M. Une auto-désignation de niveau 2 reste donc un exercice de preuve de fond et non une étape d'enregistrement.

Les désignations C3PAO de niveau 2 sont la partie suspendue. Les entrepreneurs ne doivent pas supposer que les préparations antérieures sont inutiles : les mêmes limites CUI, la même mise en œuvre du NIST SP 800-171, la qualité des preuves, les contrôles des fournisseurs et les processus d'incident sous-tendent la conformité contractuelle actuelle et toute évaluation ultérieure.

Un guide dédié aux exigences CMMC niveau 2 avec une vue structurée contrôle par contrôle est prévu.

Ce que cela signifie pour les fournisseurs allemands et européens

Le champ d'application de CMMC suit les clauses contractuelles du gouvernement américain, les informations traitées, les systèmes qui traitent, stockent ou transmettent ces informations et les flux de sous-traitance, et non le pays du fournisseur. Une entreprise allemande ou européenne peut donc être concernée lorsqu'un contrat de maîtrise d'œuvre ou de sous-traitance nécessite une CMMC et que ses propres systèmes gèrent les FCI ou CUI.

A l’inverse, la règle finale DFARS 2025 explique qu’un sous-traitant travaillant uniquement au sein des systèmes du maître d’œuvre, sans traiter, stocker ou transmettre des FCI ou CUI sur ses propres systèmes, n’aurait pas besoin d’une évaluation CMMC distincte pour ces systèmes. L’architecture actuelle et le langage contractuel doivent étayer cette conclusion.

Les fournisseurs européens doivent cartographier la frontière contractuelle américaine séparément des exigences du RGPD, du NIS2, de la norme ISO 27001 ou des exigences de sécurité nationale. Ces régimes peuvent se chevaucher sur le plan opérationnel, mais aucun ne remplace automatiquement un statut CMMC requis ou une obligation DFARS. Un aperçu CMMC dédié et un vérificateur pour structurer un examen initial d’applicabilité sont prévus.

Prochaines étapes concrètes

• Relisez chaque sollicitation active, attribution, modification et sous-contrat pertinent. Enregistrez le niveau CMMC actuel et le type d’évaluation exactement comme écrit.
• Demandez à l'agent contractant ou à l'entrepreneur principal de confirmer les modifications lorsqu'une désignation C3PAO de niveau 2 ou DIBCAC de niveau 3 apparaît.
• N'arrêtez pas le travail de la phase I. Maintenir les preuves personnelles de niveau 1 ou 2, les dates de réévaluation et les affirmations annuelles si nécessaire.
• Valider le FCI/CUI les limites du système, y compris les services cloud, l'administration à distance, les services partagés d'entreprise et les connexions des fournisseurs.
• Réconcilier les enregistrements SPRS et les résultats d'évaluation NIST SP 800-171 DoD applicables avec l'entité juridique et les systèmes d'information couverts.
• Maintenir opérationnelles les procédures de déclaration d’incidents et de préservation des preuves DFARS 252.204-7012.
• Examinez les flux de sous-traitance et indiquez si chaque fournisseur gère le FCI ou le CUI sur ses propres systèmes.
• Suivez les mises à jour officielles via le Page de ressources et de documentation CMMC.

Cet article fournit des informations générales et non des conseils juridiques. Les questions spécifiques au contrat doivent être résolues avec le responsable des contrats, l'entrepreneur principal et un avocat qualifié.

Chronologie

• 16 décembre 2024 : La règle du programme 32 CFR CMMC est entrée en vigueur.
• 10 novembre 2025 : La règle d'acquisition DFARS CMMC et la phase I sont entrées en vigueur.
• 13 juillet 2026 : Le Ministère a annoncé la suspension immédiate de la phase II et un examen de 60 jours.
• 10 novembre 2026 : La phase II devait débuter à cette date avant la suspension.
• 28 juillet 2026 : Cet article et ce résumé de statut ont été mis à jour pour la dernière fois.

Sources officielles

• Annonce du ministère : suspension de la phase II, 13 juillet 2026
• Mémorandum du DoD CIO : mise en œuvre de la suspension de la phase II de la CMMC
• DSI du DoD : à propos de CMMC
• DoD CIO : ressources et documentation CMMC
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 Révision 2
• Règle finale du DFARS 2025

FAQ

La CMMC est-elle annulée ?

Non. Le Ministère a suspendu la phase II, et non le programme CMMC. Les désignations d'auto-évaluation de phase I restent disponibles, et les obligations sous-jacentes FAR et DFARS se poursuivent lorsqu'elles sont incluses dans le contrat.

Un agent de négociation des contrats peut-il quand même exiger une évaluation C3PAO ?

Le protocole de mise en œuvre ordonne aux agents de négociation des contrats de supprimer ou de modifier les désignations CMMC niveau 2 C3PAO pendant la suspension de la phase II. Confirmez la sollicitation opérationnelle ou les termes du contrat auprès de l'autorité contractante responsable.

Une auto-évaluation de niveau 2 est-elle toujours importante ?

Oui. Le niveau 2 Self peut toujours être désigné pendant la suspension. Il nécessite une évaluation par rapport à toutes les 110 exigences NIST SP 800-171 Révision 2, sous réserve uniquement des dispositions limitées POA&M des règles CMMC, ainsi qu'une réévaluation triennale et une confirmation annuelle.

La suspension supprime-t-elle les droits DFARS 252.204-7012 ?

Non. Les obligations de sauvegarde, de déclaration des cyberincidents, de préservation, d'accès et de flux en vertu du DFARS 252.204-7012 se poursuivent lorsque cette clause s'applique.

Les fournisseurs en dehors des États-Unis sont-ils exonérés ?

Aucune exemption géographique ne devrait être présumée. L'applicabilité dépend du contrat et des flux, des informations impliquées et du fait que les systèmes du fournisseur traitent, stockent ou transmettent des FCI ou des CUI.

Les entrepreneurs devraient-ils cesser de se préparer à la certification de niveau 2 ?

Le Ministère n’a fourni aucune base permettant de prédire le résultat de l’examen. Les organisations doivent prendre une décision fondée sur les risques tout en continuant à respecter les exigences contractuelles actuelles et à protéger FCI et CUI.