CMMC et UK Cyber Essentials: baselines cyber de défense

Hugues Orgitello mis à jour le 7 oct. 2026 22 min de lecture

Deux baselines cyber portées par les pouvoirs publics conditionnent l'accès aux chaînes d'approvisionnement de défense et du secteur public de part et d'autre de l'Atlantique: CMMC (Cybersecurity Maturity Model Certification), codifié dans le 32 CFR Part 170 et inscrit dans les contrats du DoD (Department of Defense) américain par la clause DFARS 252.204-7021, et Cyber Essentials avec son niveau testé Cyber Essentials Plus, propriété du NCSC britannique et mis en œuvre par l'IASME Consortium. Les deux évaluent les propres systèmes d'information du fournisseur, pas le produit qu'il livre. Pour les fabricants électroniques et intégrateurs qui vendent à des programmes de défense ou publics, le calendrier compte dès maintenant: le déploiement américain est entré en phase 1 le 10 novembre 2025 et la phase 2, qui introduit les évaluations tierces de niveau 2 dans les appels d'offres, commence le 10 novembre 2026, tandis que les exigences britanniques sont passées en version 3.3 (questionnaire Danzell) le 27 avril 2026. Ce guide présente ce qu'exigent les textes, les dates et les lectures qu'ils contredisent.

Calendrier: ce qui s'applique et quand

Date	Événement	Source
2014	L'administration centrale britannique commence à exiger Cyber Essentials (ou des contrôles équivalents) pour certains contrats, via la PPN 09/14	PPN 014, paragraphe 1
1er avril 2020	IASME devient l'unique partenaire Cyber Essentials du NCSC, à la place de plusieurs organismes	Annonce du partenariat IASME et NCSC
30 novembre 2020	Entrée en vigueur des DFARS 252.204-7019 et 252.204-7020: scores d'auto-évaluation NIST SP 800-171 publiés dans SPRS	85 FR 61505
16 janvier 2023	Entrée en vigueur de la directive NIS 2 (UE) 2022/2555	Directive (UE) 2022/2555, article 45
19 septembre 2023	La PPN 09/23 remplace la PPN 09/14	gov.uk
14 mai 2024	Le NIST retire la SP 800-171 Rev. 2, remplacée par la Rev. 3; le MOD publie la Def Stan 05-138 Issue 4	NIST CSRC; Def Stan 05-138
15 octobre 2024	Publication de la règle du programme CMMC (89 FR 83092)	Federal Register
18 octobre 2024	Les États membres appliquent leurs mesures de transposition de NIS 2	Directive (UE) 2022/2555, article 41
16 décembre 2024	Entrée en vigueur du 32 CFR Part 170	Federal Register
17 janvier 2025	Application de DORA, règlement (UE) 2022/2554	Règlement (UE) 2022/2554, article 64
17 février 2025	Publication de la PPN 014, pour les marchés lancés à partir du 24 février 2025 sous le Procurement Act 2023	gov.uk
28 avril 2025	Exigences Cyber Essentials v3.2 (questionnaire Willow)	NCSC, IASME
10 septembre 2025	Publication de la règle d'achat DFARS CMMC (90 FR 43560)	Federal Register
10 novembre 2025	Entrée en vigueur de la règle DFARS; début de la phase 1 de CMMC	Federal Register; 32 CFR 170.3(e)(1)
27 avril 2026	Exigences Cyber Essentials v3.3 (questionnaire Danzell)	NCSC, IASME
13 mai 2026	Le NIST retire la SP 800-172 (février 2021), remplacée par la SP 800-172 Rev. 3	NIST CSRC
10 novembre 2026	Phase 2 de CMMC: Level 2 (C3PAO) prévu comme condition d'attribution	32 CFR 170.3(e)(2)
10 novembre 2027	Phase 3 de CMMC: Level 2 (C3PAO) pour tous les contrats concernés, Level 3 (DIBCAC) prévu	32 CFR 170.3(e)(3)
10 novembre 2028	Phase 4 de CMMC: mise en œuvre complète, y compris les options des contrats antérieurs	32 CFR 170.3(e)(4)

Le 32 CFR 170.3(e) fait commencer chacune des phases 2 à 4 « un an civil après la date de début » de la phase précédente: les dates ci-dessus sont donc déduites du début de la phase 1, le 10 novembre 2025.

CMMC: la baseline de la base industrielle de défense américaine

Ancrage réglementaire: 32 CFR Part 170 et DFARS sous-partie 204.75

La règle du programme est le 32 CFR Part 170, publié le 15 octobre 2024 et en vigueur depuis le 16 décembre 2024. Il définit les niveaux, les types d'évaluation, le périmètre, la méthode de notation et l'écosystème d'évaluation (Cyber AB comme organisme d'accréditation, C3PAO, évaluateurs certifiés). Le volet contractuel figure dans la DFARS sous-partie 204.75, la clause 252.204-7021 (Contractor Compliance with the Cybersecurity Maturity Model Certification Level Requirements, NOV 2025) et la disposition d'appel d'offres 252.204-7025 (Notice of CMMC Level Requirements, NOV 2025). Selon la DFARS 204.7502, l'acheteur public ne peut pas attribuer un contrat à un soumissionnaire sans statut CMMC à jour dans SPRS au niveau requis ou supérieur, pour chaque système d'information du contractant qui traitera de la FCI ou de la CUI. Le soumissionnaire identifie ces systèmes par leur CMMC UID, un identifiant de 10 caractères attribué par SPRS.

Deux catégories d'informations fédérales déterminent le périmètre:

• FCI, pour Federal Contract Information: informations non destinées au public, fournies par l'administration ou produites pour elle dans le cadre d'un contrat.
• CUI, pour Controlled Unclassified Information: informations qu'une loi, un règlement ou une politique fédérale impose ou permet de protéger par des mesures de sauvegarde ou de diffusion contrôlée (32 CFR 2002.4(h), cité dans la clause DFARS).

Selon le 32 CFR 170.3, le programme s'applique aux contrats au-dessus du seuil des micro-achats, sauf ceux qui portent exclusivement sur des articles COTS. Le responsable de programme ou l'entité acheteuse choisit le niveau selon le type d'information en jeu; le contractant ne choisit pas son niveau. Selon le 32 CFR 170.23, le contractant principal doit répercuter l'exigence à tous les rangs qui traitent de la FCI ou de la CUI.

Les sept statuts CMMC

La clause DFARS énumère sept statuts possibles. Le tableau ci-dessous rassemble ce que disent les 32 CFR 170.15 à 170.18, 170.21 et 170.22 pour chaque niveau.

Statut	Référentiel	Évalué par	POA&M	Réévaluation	Attestation
Final Level 1 (Self)	15 exigences de la FAR 52.204-21	Le contractant	Interdit	Chaque année	À chaque évaluation, puis chaque année
Conditional ou Final Level 2 (Self)	110 exigences de la NIST SP 800-171 Rev. 2	Le contractant	Admis selon 170.21(a)(2)	Tous les trois ans	À chaque évaluation, puis chaque année
Conditional ou Final Level 2 (C3PAO)	Les mêmes 110 exigences	C3PAO autorisé ou accrédité	Admis selon 170.21(a)(2)	Tous les trois ans	À chaque évaluation, puis chaque année
Conditional ou Final Level 3 (DIBCAC)	24 exigences choisies de la NIST SP 800-172 (février 2021)	DCMA DIBCAC	Admis selon 170.21(a)(3)	Tous les trois ans, plus une nouvelle évaluation Level 2 (C3PAO)	À chaque évaluation, puis chaque année

Les éléments de preuve doivent être conservés six ans à compter de la CMMC Status Date (170.15(c)(2) et 170.16(c)(4)). Les attestations sont saisies dans SPRS par un Affirming Official, le représentant de haut niveau responsable de la conformité (170.22).

Niveau 1

Le niveau 1 s'applique lorsque seule de la FCI est traitée. Ses 15 exigences viennent de la FAR 52.204-21, Basic Safeguarding of Covered Contractor Information Systems; le 32 CFR 170.15 les fait correspondre à 17 exigences de la NIST SP 800-171, car l'exigence d'accès physique est découpée en trois parties. Elles couvrent la limitation de l'accès aux utilisateurs autorisés, le contrôle des connexions externes et des informations publiées, l'identification et l'authentification, l'effacement des supports avant mise au rebut, l'accès physique avec accompagnement des visiteurs et registres d'accès, la protection des frontières réseau, la séparation des systèmes accessibles au public, la correction des failles, la protection contre le code malveillant et l'analyse antivirus. Chaque exigence doit être satisfaite (MET); aucun POA&M n'est admis.

Niveau 2

Le niveau 2 s'applique lorsque de la CUI est traitée. Il reprend les 110 exigences de la NIST SP 800-171 Rev. 2 (février 2020, avec les mises à jour du 28 janvier 2021), réparties en 14 familles: contrôle d'accès, sensibilisation et formation, audit et traçabilité, gestion de configuration, identification et authentification, réponse aux incidents, maintenance, protection des supports, sécurité du personnel, protection physique, évaluation des risques, évaluation de sécurité, protection des systèmes et communications, intégrité des systèmes et de l'information.

La notation du 32 CFR 170.24 part de 110 et retranche la valeur de chaque exigence non satisfaite (5, 3 ou 1 point): le score peut donc être négatif. L'appel d'offres précise si le Level 2 (Self) ou le Level 2 (C3PAO) est exigé. Les deux statuts valent trois ans avec une attestation annuelle. Un sous-traitant qui traite de la CUI dans le cadre d'un contrat principal exigeant le Level 2 (C3PAO) ou le niveau 3 doit détenir au minimum le Level 2 (C3PAO) (170.23).

Le périmètre (170.19(c)) classe les actifs en actifs CUI, actifs de protection de sécurité, actifs gérés par le risque du contractant, actifs spécialisés et actifs hors périmètre. Pour les entreprises électroniques, la catégorie des actifs spécialisés compte: objets connectés IoT et IIoT, technologies opérationnelles et équipements de test qui peuvent traiter de la CUI sans pouvoir être entièrement sécurisés doivent figurer dans l'inventaire et le SSP, être gérés selon les politiques fondées sur le risque du contractant, et ne sont pas évalués sur les autres exigences.

Niveau 3

Le niveau 3 ajoute 24 exigences choisies dans la NIST SP 800-172 (février 2021), listées au tableau 1 du 32 CFR 170.14(c)(4). L'évaluateur est la DCMA DIBCAC (Defense Contract Management Agency, Defense Industrial Base Cybersecurity Assessment Center). Un statut Final Level 2 (C3PAO) sur le périmètre du niveau 3 est un prérequis, et le renouvellement du niveau 3 exige aussi une nouvelle évaluation Level 2 (C3PAO) (170.18).

POA&M et statut conditionnel: les règles exactes

Le 32 CFR 170.21 fixe des conditions précises pour un statut Conditional:

Niveau	Score minimal	Ce qui peut figurer au POA&M	Jamais au POA&M
Niveau 1	Sans objet	Rien	Toutes les exigences
Niveau 2 (Self ou C3PAO)	Score divisé par 110 au moins égal à 0,8	Uniquement les exigences à 1 point, plus SC.L2-3.13.11 si le chiffrement est utilisé sans validation FIPS (3 points)	AC.L2-3.1.20, AC.L2-3.1.22, CA.L2-3.12.4 (System Security Plan), PE.L2-3.10.3, PE.L2-3.10.4, PE.L2-3.10.5
Niveau 3 (DIBCAC)	Score divisé par 24 au moins égal à 0,8	Les autres exigences du niveau 3	IR.L3-3.6.1e, IR.L3-3.6.2e, RA.L3-3.11.1e, RA.L3-3.11.4e, RA.L3-3.11.6e, RA.L3-3.11.7e, SI.L3-3.14.3e

Une évaluation de clôture du POA&M doit confirmer la correction dans les 180 jours suivant la Conditional CMMC Status Date. À défaut, le statut Conditional expire; en cours de contrat, les recours contractuels habituels s'appliquent et le contractant ne peut plus obtenir de nouveaux contrats à ce niveau tant qu'il n'a pas obtenu un nouveau statut. La DFARS 204.7502(b)(2) confirme qu'un contrat peut être attribué avec un statut Conditional aux niveaux 2 et 3, mais que le niveau 1 exige un statut Final.

SPRS et l'auto-évaluation NIST SP 800-171 existante

Depuis le 30 novembre 2020, les DFARS 252.204-7019 et 252.204-7020 imposent aux contractants soumis à la 252.204-7012 de publier dans SPRS (Supplier Performance Risk System) un score d'évaluation NIST SP 800-171 à jour. Le niveau 2 de CMMC utilise les mêmes 110 exigences et les mêmes valeurs en points, mais ajoute les catégories de statut, les limites du POA&M, l'attestation annuelle et, lorsque le contrat le prévoit, l'évaluation par un tiers. Selon le 32 CFR 170.20, une DCMA DIBCAC High Assessment réalisée avant le 16 décembre 2024 avec un score parfait et sans POA&M ouvert est convertie en statut Final Level 2 (C3PAO), valable trois ans à compter de la date de l'évaluation d'origine. C'est la seule équivalence prévue par la règle.

Coût de CMMC: où regarder

Le DoD a publié ses propres estimations de coût, par niveau et par type d'évaluation, dans l'analyse réglementaire de la règle finale (89 FR 83092). Le coût réel dépend de la taille de l'environnement CUI, du niveau de sécurité existant et du type d'évaluation exigé par le contrat. Mieux vaut se référer à l'analyse publiée par le DoD qu'à des chiffres cités pour un seul cas de périmètre.

UK Cyber Essentials: la baseline britannique

Ancrage institutionnel: NCSC et IASME

Le schéma appartient au NCSC (National Cyber Security Centre, rattaché au GCHQ), qui publie les exigences techniques. Depuis le 1er avril 2020, l'IASME Consortium est l'unique partenaire Cyber Essentials du NCSC; le NCSC le désigne aujourd'hui comme son Cyber Essentials Delivery Partner officiel. IASME agrée les organismes de certification (Certification Bodies) dont les évaluateurs vérifient les auto-évaluations et réalisent les tests Plus. Avant 2020, plusieurs organismes mettaient en œuvre le schéma.

Où Cyber Essentials est exigé

• Administration centrale britannique: la PPN 014 (17 février 2025), pour les marchés lancés à partir du 24 février 2025 sous le Procurement Act 2023, et la PPN 09/23 (19 septembre 2023) pour les marchés antérieurs, s'appliquent aux ministères, à leurs agences exécutives et organismes publics non ministériels, ainsi qu'aux organismes du NHS. Les fournisseurs doivent détenir Cyber Essentials ou Cyber Essentials Plus, ou démontrer des contrôles équivalents, pour les contrats qui traitent des données personnelles de citoyens ou d'agents publics, fournissent des systèmes TIC conçus pour stocker ou traiter des données OFFICIAL, ou portent sur des informations relatives au fonctionnement courant de l'administration. Lorsque la certification est exigée, elle doit être renouvelée chaque année pendant toute la durée du contrat. La PPN précise aussi que le schéma ne doit pas être appliqué à tous les contrats par principe.
• Ministry of Defence britannique: la Def Stan 05-138 Issue 4 (14 mai 2024) a remplacé les cinq Cyber Risk Profiles (N/A, Very Low, Low, Moderate, High) par quatre niveaux:

Niveau Def Stan 05-138 Issue 4	Nombre de contrôles	Cyber Essentials (contrôle 0001)	Cyber Essentials Plus (contrôle 0002)
Level 0, Basic	3	Exigé	Non exigé
Level 1, Foundational	101	Exigé	Non exigé
Level 2, Advanced	139	Exigé	Exigé
Level 3, Expert	144	Exigé	Exigé

Dans chaque cas, la certification doit couvrir le périmètre nécessaire à tous les aspects du contrat et être maintenue pendant toute sa durée.

Cinq contrôles techniques (exigences v3.3)

Le document Cyber Essentials: Requirements for IT Infrastructure v3.3, en vigueur depuis le 27 avril 2026, organise les exigences en cinq contrôles:

1. Pare-feu: chaque appareil du périmètre protégé par un pare-feu correctement configuré ou un équipement réseau doté de cette fonction; mots de passe d'administration par défaut changés ou administration à distance désactivée; interface d'administration inaccessible depuis Internet sauf besoin métier documenté avec MFA ou liste d'adresses IP autorisées; connexions entrantes non authentifiées bloquées par défaut; règles entrantes approuvées et documentées.
2. Configuration sécurisée: comptes et logiciels inutiles supprimés ou désactivés; mots de passe par défaut changés; exécution automatique de fichiers sans autorisation de l'utilisateur désactivée; déverrouillage des appareils protégé contre la force brute (pas plus de 10 essais en 5 minutes, ou verrouillage après 10 tentatives au plus); code PIN ou mot de passe d'au moins 6 caractères s'il sert uniquement à déverrouiller l'appareil.
3. Gestion des mises à jour de sécurité: logiciels sous licence et supportés, retirés lorsqu'ils ne sont plus supportés, mises à jour automatiques activées si possible, et mises à jour installées sous 14 jours après leur publication lorsqu'elles corrigent des vulnérabilités classées critiques ou à haut risque par l'éditeur, ont un score de base CVSS v3 de 7 ou plus, ou sont publiées sans indication de gravité.
4. Contrôle d'accès des utilisateurs: processus de création et d'approbation des comptes, identifiants uniques, comptes séparés pour l'administration, MFA lorsqu'elle est disponible et toujours pour les services cloud; mots de passe protégés par MFA, ou d'au moins 12 caractères, ou d'au moins 8 caractères avec une liste de blocage des mots de passe courants.
5. Protection contre les logiciels malveillants: logiciel anti-malware (pour les appareils Windows et macOS, serveurs compris) configuré pour empêcher l'exécution de logiciels malveillants et bloquer les connexions aux sites malveillants, ou liste d'applications autorisées restreinte par signature de code.

Règles de périmètre à vérifier tôt: un périmètre sans terminaux utilisateurs n'est pas acceptable; les services cloud qui hébergent des données de l'organisation ne peuvent pas être exclus; les appareils personnels (BYOD) qui accèdent aux données ou services de l'organisation sont dans le périmètre, sauf ceux utilisés uniquement pour la voix, les SMS natifs ou une application MFA; les routeurs domestiques fournis par l'organisation sont dans le périmètre.

Ce qui a changé en 2025 et 2026

Version	S'applique depuis	Questionnaire	Principaux changements dans les textes
Exigences v3.2	28 avril 2025	Willow	« Plug-ins » renommés « extensions »; le télétravail étendu au travail à domicile et à distance; authentification sans mot de passe ajoutée; « vulnerability fixes » défini; la spécification de test Plus est renommée et impose la vérification du périmètre, de la segmentation des sous-ensembles et de la taille de l'échantillon
Exigences v3.3	27 avril 2026 (comptes créés après le 26 avril 2026)	Danzell	Service cloud défini; services cloud non excluables du périmètre; authentificateurs FIDO2 traités comme authentification sans mot de passe et comme MFA; référence au Software Security Code of Practice; sauvegardes mises en avant (recommandées, non exigées); IASME rend éliminatoires la MFA sur les services cloud et les questions A6.4 et A6.5 sur les mises à jour sous 14 jours

IASME indique que les organisations dont le compte d'évaluation a été créé avant le changement disposent de six mois pour se certifier selon les exigences précédentes.

Cyber Essentials, niveau auto-évaluation

Le candidat répond au questionnaire IASME pour le périmètre convenu (toute l'organisation ou un sous-ensemble bien défini et géré séparément), et un organisme de certification indépendant vérifie les réponses. La PPN 014 le décrit comme une auto-évaluation qui « offre un niveau d'assurance de base ». Le certificat reflète l'état de l'organisation à un instant donné; la mise à jour Danzell précise que cet instant est la date d'émission du certificat.

Cyber Essentials Plus, niveau testé

La Cyber Essentials Plus Test Specification v3.2 impose d'abord à l'évaluateur de vérifier que le périmètre Plus correspond à un certificat Cyber Essentials d'auto-évaluation valide, de contrôler par des moyens techniques la segmentation des sous-ensembles, et de calculer l'échantillon d'appareils selon la méthode du Delivery Partner. Les cas de test sont:

Cas de test	Ce qui est testé	Condition d'échec (résumé)
1. Évaluation de vulnérabilités à distance	Toutes les adresses IP exposées sur Internet, IaaS compris, avec un scanner approuvé	Un service accessible depuis Internet exploitable
2. Scan de vulnérabilités authentifié	Terminaux utilisateurs, serveurs et instances IaaS échantillonnés	Une vulnérabilité critique, à haut risque, CVSS 7 ou plus, ou non qualifiée, avec un correctif disponible depuis plus de 14 jours
3. Protection contre les logiciels malveillants	Fichiers de test par e-mail et par navigateur, ou contrôles de la liste d'applications autorisées	Un fichier de test malveillant atteint l'utilisateur sans blocage, ou un exécutable se lance sans invite supplémentaire
4. Authentification multifacteur	Chaque service d'authentification des services cloud, en accès utilisateur et administrateur, depuis un appareil non fiable ou une session de navigation privée	L'utilisateur ou l'administrateur n'est pas invité à une MFA avant l'accès
5. Séparation des comptes	Un utilisateur standard tente un processus d'administration sur chaque appareil échantillonné	Le processus s'exécute sans connexion d'administration supplémentaire

Un seul sous-test en échec fait échouer l'évaluation entière, sauf exception prévue par la spécification. Avec Danzell, IASME exige aussi de nouveaux échantillons aléatoires lorsque les tests Plus sont repris.

IASME Cyber Assurance

IASME gère aussi un schéma distinct, IASME Cyber Assurance. Ni la PPN 014 ni la Def Stan 05-138 Issue 4 ne le citent comme substitut à Cyber Essentials.

CMMC et Cyber Essentials côte à côte

Critère	CMMC	Cyber Essentials / Plus
Base juridique	32 CFR Part 170; DFARS 252.204-7021 et 252.204-7025	Schéma du NCSC; PPN 014 ou PPN 09/23; Def Stan 05-138 pour le MOD
Gouvernance	DoD CIO, Cyber AB, C3PAO, DCMA DIBCAC	NCSC, IASME comme Delivery Partner, organismes de certification
Niveaux	Niveau 1, niveau 2 (Self ou C3PAO), niveau 3 (DIBCAC)	Cyber Essentials, Cyber Essentials Plus
Référentiel	FAR 52.204-21 (N1), NIST SP 800-171 Rev. 2 (N2), 24 exigences de la NIST SP 800-172 (N3)	Requirements for IT Infrastructure v3.3, cinq contrôles
Évaluation	Auto-évaluation, C3PAO ou DIBCAC selon l'appel d'offres	Auto-évaluation vérifiée; tests techniques pour Plus
Cycle	N1 annuel; N2 et N3 tous les trois ans; attestation chaque année	Renouvellement annuel exigé par la PPN 014 pendant la durée du contrat
Informations concernées	FCI (N1), CUI (N2, N3)	Toute l'informatique utilisée pour l'activité, ou un sous-ensemble défini
Réussite conditionnelle	POA&M avec clôture sous 180 jours aux niveaux 2 et 3	Aucune: un sous-test Plus en échec fait échouer l'évaluation
Reconnaissance d'autres schémas	Uniquement les DIBCAC High Assessments (170.20)	Des contrôles équivalents peuvent être acceptés par l'acheteur selon la PPN

Aucun des deux schémas ne reconnaît l'autre. Un fournisseur qui soumissionne à la fois auprès du DoD américain et de l'administration britannique doit traiter les deux.

Considérations transversales

ISO/IEC 27001 aide pour les preuves, mais n'est pas une équivalence

ISO/IEC 27001 est une norme de système de management fondée sur le risque. Un SMSI mature fournit les politiques, analyses de risque, procédures de réponse aux incidents et revues d'accès que les deux schémas demandent. Le 32 CFR 170.20 n'accorde d'équivalence qu'aux DCMA DIBCAC High Assessments antérieures, et les exigences techniques Cyber Essentials sont des contrôles prescriptifs vérifiés sur le périmètre convenu. Un certificat ISO/IEC 27001 ne donne donc ni statut CMMC ni certificat Cyber Essentials.

NIS 2 et DORA: régimes UE adjacents

Pour les organisations exposées à l'UE:

• NIS 2, directive (UE) 2022/2555, est entrée en vigueur le 16 janvier 2023; les États membres devaient adopter leurs mesures au plus tard le 17 octobre 2024 et les appliquer à partir du 18 octobre 2024. Elle vise les entités essentielles et importantes des secteurs énumérés dans ses annexes, dont certaines activités de fabrication et d'infrastructure numérique.
• DORA, règlement (UE) 2022/2554, s'applique depuis le 17 janvier 2025 aux entités financières et fixe un cadre de surveillance des prestataires tiers critiques de services TIC.

Les deux régimes imposent des obligations de cybersécurité organisationnelle avec leur propre supervision, et aucun ne reconnaît CMMC ou Cyber Essentials comme preuve de conformité.

Cyber produit et cyber d'entreprise

La PPN 014 indique clairement que le schéma Cyber Essentials « n'apporte pas d'assurance sur les produits ou services fournis », et le 32 CFR Part 170 vise les systèmes d'information du contractant. La cybersécurité produit des équipements radio et connectés relève d'autres régimes:

• dans l'UE, l'acte délégué de l'article 3(3)(d), (e), (f) de la directive RED, applicable depuis le 1er août 2025, avec la norme harmonisée EN 18031 citée avec restrictions (voir Checklist RED Article 3(3)(d-f) cybersécurité),
• dans l'UE, le Cyber Resilience Act (CRA, règlement (UE) 2024/2847), avec des obligations de notification à partir du 11 septembre 2026 et une application complète le 11 décembre 2027, traité dans Cyber Resilience Act (CRA),
• pour l'automatisation industrielle, la série IEC 62443, traitée dans IEC 62443,
• pour l'IoT grand public, l'ETSI EN 303 645, traitée dans EN 303 645 cybersécurité IoT,
• pour les modules cryptographiques, FIPS 140-3, traité dans FIPS 140-3 modules cryptographiques,
• pour l'évaluation de produits à haut niveau d'assurance, les Critères Communs (ISO/IEC 15408), traités dans Critères Communs ISO 15408, et le schéma français CSPN dans CSPN ANSSI.

Un fournisseur de défense traite les deux axes: la cyber d'entreprise via CMMC ou Cyber Essentials, et la cyber produit via le régime applicable à ce qu'il livre. Voir La cybersécurité produit expliquée pour le volet produit.

Affirmations que les textes contredisent

Affirmation courante (y compris dans d'anciennes versions de cette page)	Ce que dit le texte
« CMMC 2.0 » est le nom de la réglementation	Le 32 CFR Part 170 s'intitule « Cybersecurity Maturity Model Certification (CMMC) Program » et n'emploie pas « 2.0 »
La clause DFARS est déployée « jusqu'en 2027 »	La phase 4, mise en œuvre complète, commence un an après la phase 3, soit le 10 novembre 2028 (32 CFR 170.3(e))
Une auto-évaluation de niveau 2 vaut un an	Le Level 2 (Self) est réévalué tous les trois ans, avec une attestation chaque année (170.16)
La NIST SP 800-171 Rev. 2 compte 11 familles	Elle compte 14 familles d'exigences
Le niveau 3 reprend « environ 24 des 35 » pratiques de la NIST SP 800-172	Le tableau 1 du 170.14(c)(4) liste exactement 24 exigences, et le niveau 3 exige d'abord un Final Level 2 (C3PAO)
Le POA&M est admis si le score atteint « typiquement 80 % » et seules les pratiques à 5 points sont exclues	Le seuil est un ratio d'au moins 0,8; seules les exigences à 1 point sont admissibles (plus SC.L2-3.13.11 si le chiffrement n'est pas validé FIPS), et six exigences nommées du niveau 2 sont toujours exclues (170.21)
Un POA&M non clos « invalide le certificat » et impose une réévaluation complète	Le statut Conditional expire après 180 jours; le contractant ne peut plus obtenir de nouveaux contrats à ce niveau tant qu'il n'a pas un nouveau statut (170.16, 170.17)
CMMC est passé à la NIST SP 800-171 Rev. 3	La règle incorpore par référence la Rev. 2 et la SP 800-172 (février 2021), bien que le NIST les ait retirées (14 mai 2024 et 13 mai 2026)
IASME est le « seul organisme d'accréditation » dont les évaluateurs certifient les entreprises	Le NCSC désigne IASME comme son Cyber Essentials Delivery Partner; la certification est délivrée par des organismes de certification agréés par IASME
La protection anti-malware de Cyber Essentials peut reposer sur le sandboxing	Les exigences v3.3 ne prévoient que deux options: logiciel anti-malware et liste d'applications autorisées
Cyber Essentials Plus comprend un « test de configuration du navigateur et du client e-mail »	La spécification de test v3.2 compte cinq cas de test: évaluation à distance, scan authentifié, protection anti-malware, MFA et séparation des comptes
Le MOD n'exige Plus que pour les « niveaux les plus sensibles », sans règle définie	La Def Stan 05-138 Issue 4 exige Cyber Essentials aux quatre niveaux et Plus aux niveaux 2 et 3
Cyber Essentials est exigé pour tout contrat public britannique	La PPN 014 le limite aux contrats présentant des caractéristiques définies, accepte des contrôles équivalents et interdit une application systématique
Un certificat ISO/IEC 27001, ou un statut CMMC, satisfait l'autre schéma	Le 32 CFR 170.20 ne reconnaît que les DIBCAC High Assessments; ni la PPN ni la Def Stan ne citent CMMC ou ISO/IEC 27001 comme substitut

Voir aussi

• PSA Certified: sécurité IoT pilotée par Arm
• SESIP: méthodologie d'évaluation cybersécurité IoT
• TPM 2.0 et sécurité matérielle TCG
• CRA : Cyber Resilience Act, exigences UE numérique
• IEC 62443 cybersécurité industrielle
• La cybersécurité produit expliquée

Vous travaillez sur un cas concret ? AESTECHNO peut auditer votre conception et votre plan de certification. Nous contacter

Pièges récurrents

1. Traiter CMMC comme de la cybersécurité produit. CMMC évalue les systèmes d'information du contractant qui traitent de la FCI ou de la CUI. Appliquer l'IEC 62443 à une gamme de produits ne donne pas de statut CMMC, et inversement.
2. Un System Security Plan absent ou faible. CA.L2-3.12.4 (System Security Plan) ne peut jamais figurer au POA&M selon le 170.21: une évaluation de niveau 2 ne peut donc pas atteindre le statut Conditional sans lui. Le SSP doit aussi documenter les actifs spécialisés comme les équipements de test et les objets connectés.
3. Laisser filer le délai de 180 jours. Le statut Conditional expire si l'évaluation de clôture n'est pas réalisée dans les 180 jours suivant la Conditional CMMC Status Date.
4. Oublier l'attestation annuelle. Même avec un statut de niveau 2 ou 3 valable trois ans, la définition de « current » dans la DFARS exige une attestation de conformité continue datant de moins d'un an.
5. Ignorer la phase 2. À partir du 10 novembre 2026, les appels d'offres doivent exiger le Level 2 (C3PAO) comme condition d'attribution lorsqu'il s'applique. La capacité d'évaluation et le temps de correction se planifient avant la soumission, pas après.
6. Exclure les services cloud ou les terminaux utilisateurs du périmètre Cyber Essentials. Les exigences v3.3 rendent ces deux exclusions inacceptables.
7. Une MFA absente sur un service cloud, ou une mise à jour hors délai de 14 jours. Avec le questionnaire Danzell, ces réponses sont éliminatoires.
8. Croire qu'il suffit de corriger les appareils échantillonnés pour réussir Plus. L'évaluateur teste un échantillon représentatif et, avec Danzell, les tests repris utilisent de nouveaux échantillons aléatoires.
9. Sous-estimer le BYOD. Les appareils personnels qui accèdent aux données ou services de l'organisation sont dans le périmètre, sauf s'ils servent uniquement à la voix, aux SMS natifs ou à une application MFA.
10. Laisser expirer les certificats. La PPN 014 et la Def Stan 05-138 exigent que Cyber Essentials soit maintenu ou renouvelé chaque année pendant la durée du contrat; un statut CMMC qui n'est pas à jour dans SPRS bloque l'attribution et la levée d'option (DFARS 204.7503).

Synthèse

• CMMC est codifié dans le 32 CFR Part 170 (en vigueur depuis le 16 décembre 2024) et appliqué via les DFARS 252.204-7021 et 252.204-7025 (en vigueur depuis le 10 novembre 2025). La phase 2 commence le 10 novembre 2026; mise en œuvre complète à partir du 10 novembre 2028.
• Niveau 1: 15 exigences de la FAR 52.204-21, auto-évaluation annuelle, pas de POA&M. Niveau 2: 110 exigences de la NIST SP 800-171 Rev. 2, Self ou C3PAO tous les trois ans. Niveau 3: 24 exigences de la NIST SP 800-172, DIBCAC, après un Final Level 2 (C3PAO). Attestation chaque année à tous les niveaux.
• POA&M: ratio de score d'au moins 0,8, exigences à 1 point uniquement (une exception), exclusions nommées, clôture sous 180 jours.
• Cyber Essentials repose sur les exigences v3.3 (Danzell) depuis le 27 avril 2026; Plus ajoute cinq cas de test. IASME est le Delivery Partner du NCSC depuis le 1er avril 2020.
• Acheteurs britanniques: PPN 014 pour l'administration centrale (renouvellement annuel, contrôles équivalents acceptés, pas d'application systématique); Def Stan 05-138 Issue 4 pour le MOD (Cyber Essentials à tous les niveaux, Plus aux niveaux 2 et 3).
• Les deux schémas portent sur l'informatique propre du fournisseur, pas sur le produit. La cyber produit relève de l'article 3(3)(d-f) de la RED, du CRA, de l'IEC 62443, de l'EN 303 645, de FIPS 140-3 ou des Critères Communs.
• Pour une cartographie plus large, voir Cyber Resilience Act (CRA), EN 303 645 cybersécurité IoT, FIPS 140-3 modules cryptographiques, Critères Communs ISO 15408, CSPN ANSSI, Checklist RED, et le Glossaire pour les définitions.

Un audit de 30 minutes avec les ingénieurs AESTECHNO.

AESTECHNO est le bureau d'études qui édite spilma. Nous aidons les équipes produit à cadrer leur démarche de certification et à éviter les pièges classiques.

Réserver un audit gratuit

Sources & références

1. 32 CFR Part 170, Cybersecurity Maturity Model Certification (CMMC) Program (eCFR), Office of the Federal Register www.ecfr.gov/current/title-32/subtitle-A/chapter-I/subchapter-D/part-170
2. Règle finale du programme CMMC, 89 FR 83092, 15 octobre 2024 (en vigueur le 16 décembre 2024), Federal Register, Department of Defense www.federalregister.gov/documents/2024/10/15/2024-22905/cybersecurity-maturity-model-certification-cmmc-program
3. Règle finale DFARS Case 2019-D041, 90 FR 43560, 10 septembre 2025 (en vigueur le 10 novembre 2025), Federal Register, Department of Defense www.federalregister.gov/documents/2025/09/10/2025-17359/defense-federal-acquisition-regulation-supplement-assessing-contractor-implementation-of
4. DFARS sous-partie 204.75, Cybersecurity Maturity Model Certification (eCFR), Office of the Federal Register www.ecfr.gov/current/title-48/chapter-2/subchapter-A/part-204/subpart-204.75
5. DFARS Part 252, dispositions et clauses contractuelles (252.204-7021 et 252.204-7025), Defense Acquisition Regulations System www.acquisition.gov/dfars/part-252-solicitation-provisions-and-contract-clauses
6. NIST SP 800-171 Rev. 2 (février 2020, mise à jour du 28 janvier 2021), retirée le 14 mai 2024, National Institute of Standards and Technology csrc.nist.gov/pubs/sp/800/171/r2/upd1/final
7. NIST SP 800-171 Rev. 3 (mai 2024), National Institute of Standards and Technology csrc.nist.gov/pubs/sp/800/171/r3/final
8. NIST SP 800-172 (février 2021), retirée le 13 mai 2026, National Institute of Standards and Technology csrc.nist.gov/pubs/sp/800/172/final
9. NIST SP 800-172 Rev. 3 (mai 2026), National Institute of Standards and Technology csrc.nist.gov/pubs/sp/800/172/r3/final
10. DoD CIO, ressources du programme CMMC, Department of Defense Chief Information Officer dodcio.defense.gov/CMMC/
11. NCSC, schéma Cyber Essentials, National Cyber Security Centre www.ncsc.gov.uk/cyberessentials/overview
12. NCSC, aide et ressources Cyber Essentials (v3.3 en vigueur le 27 avril 2026; v3.2 depuis le 28 avril 2025), National Cyber Security Centre www.ncsc.gov.uk/cyberessentials/resources
13. Cyber Essentials: Requirements for IT Infrastructure v3.3 (avril 2026), National Cyber Security Centre www.ncsc.gov.uk/sites/default/files/2026-08/IT%20Requirements%20v3.3.pdf
14. Cyber Essentials Plus Test Specification v3.2 (avril 2025), National Cyber Security Centre www.ncsc.gov.uk/sites/default/files/2026-05/cyber-essentials-plus-test-specification-v3-2%20english.pdf
15. IASME Consortium, partenaire de mise en œuvre Cyber Essentials, IASME Consortium iasme.co.uk/cyber-essentials/
16. IASME, changements de Cyber Essentials en avril 2026 (Danzell), IASME Consortium iasme.co.uk/articles/important-update-changes-to-cyber-essentials-for-april-2026/
17. IASME, lancement du partenariat IASME et NCSC pour Cyber Essentials (1er avril 2020), IASME Consortium iasme.co.uk/articles/cyber-essentials-and-the-launch-of-a-new-partnership-between-iasme-and-the-national-cyber-security-centre-a-part-of-gchq/
18. PPN 014: Cyber Essentials scheme (17 février 2025), Cabinet Office www.gov.uk/government/publications/ppn-014-cyber-essentials-scheme
19. PPN 09/23: Updates to the Cyber Essentials Scheme (19 septembre 2023), Cabinet Office www.gov.uk/government/publications/ppn-0923-updates-to-the-cyber-essentials-scheme
20. Def Stan 05-138 Issue 4, cybersécurité des fournisseurs de défense (14 mai 2024), Ministry of Defence www.gov.uk/government/publications/cyber-security-for-defence-suppliers-def-stan-05-138-issue-4
21. Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne eur-lex.europa.eu/eli/dir/2022/2555/oj
22. Règlement (UE) 2022/2554 (DORA), Journal officiel de l'Union européenne eur-lex.europa.eu/eli/reg/2022/2554/oj