Que fait Atteindre la conformité CMMC Niveau 2 ?
Quand l'utiliser
- Lorsqu'une organisation de la Base industrielle de défense (DIB) stocke, traite ou transmet des Informations non classifiées contrôlées (CUI) dans le cadre d'un contrat du DoD.
- Lorsqu'un contrat inclut les clauses DFARS 252.204-7012 (protection/ signalement d'incidents), -7019/-7020 (auto-évaluation NIST 800-171 + SPRS) ou la nouvelle clause -7021 (exigence CMMC).
- Lors de la préparation d'une évaluation par un C3PAO ou d'une évaluation menée par le DoD.
- Lorsque vous devez calculer, publier ou améliorer un score SPRS basé sur la méthodologie d'évaluation DoD NIST SP 800-171.
- Lors de la rédaction ou de la correction d'un Plan de sécurité des systèmes (SSP) et d'un POA&M pour les 110 exigences.
- Lors de la délimitation du périmètre des actifs qui se trouvent dans la zone CUI/FCI (actifs CUI, actifs de protection de sécurité, actifs gérés sous risque contractuel, hors périmètre).
Prérequis
- Connaissance des contrats qui comportent des CUI et des catégories de CUI concernées (consultez le contrat et le Registre CUI du DoD).
- Un inventaire des actifs et un schéma réseau pour définir le périmètre d'évaluation CMMC avant d'évaluer les contrôles.
- Les exigences NIST SP 800-171 Rev 2 et les poids de notation de la Méthodologie d'évaluation du DoD.
- Un SSP documenté (son absence est en soi une exigence non satisfaite — 3.12.4).
- Identification des Prestataires de services externes (ESP) / services cloud touchant les CUI, et vérification qu'ils respectent le niveau FedRAMP Moderate (ou équivalence).
Workflow
1. Déterminer l'applicabilité et les catégories de CUI
Confirmez que le contrat exige le niveau CMMC 2 (CUI présent, pas seulement FCI). Les contrats FCI uniquement relèvent du Niveau 1 (les 15 exigences FAR 52.204-21). Identifiez les catégories de CUI à partir du contrat et du Registre CUI du DoD.
2. Délimiter le périmètre
Classez chaque actif dans l'une des catégories de périmètre CMMC :
- Actifs CUI — traitent/stockent/transmettent des CUI (dans le périmètre, évalués par rapport à tous les contrôles applicables).
- Actifs de protection de sécurité — assurent la sécurité de l'environnement CUI (dans le périmètre).
- Actifs gérés sous risque contractuel — pourraient mais ne sont pas destinés à traiter des CUI ; gérés par politique.
- Actifs spécialisés (IoT/OT, GFE, équipements de test) — documentés, évaluation limitée.
- Hors périmètre — isolés physiquement/logiquement des CUI.
Minimisez délibérément le périmètre — une enclave CUI plus petite et bien segmentée est beaucoup moins coûteuse à certifier qu'un réseau plat.
3. Mettre en œuvre les 110 exigences (NIST SP 800-171 Rev 2)
Parcourez les 14 familles (3.1–3.14). Pour chaque exigence, implémentez-la, puis rédigez le comment dans le SSP. Gains rapides à fort impact : MFA (3.5.3), cryptographie validée FIPS (3.13.11), journalisation d'audit (3.3.x), contrôle d'accès + moindre privilège (3.1.x), et réponse aux incidents (3.6.x).
4. Noter avec la méthodologie d'évaluation du DoD (SPRS)
Partez de 110 et soustrayez la valeur pondérée (1, 3 ou 5 points) de chaque exigence non satisfaite ; un crédit partiel s'applique à un petit nombre de contrôles (par exemple, MFA, crypto FIPS). Le résultat est le score SPRS (maximum 110 ; le plancher de la méthodologie est de -203). Publiez le score, la date du SSP et le périmètre d'évaluation dans SPRS (ou eMASS pour les évaluations supérieures).
5. Élaborer un POA&M conforme
Documentez chaque exigence non satisfaite avec le responsable, la correction et l'étape clé. Contraintes selon la règle CMMC : un statut Conditionnel nécessite un score d'au moins 80 % (≥ 88 sur 110), seules les exigences éligibles au POA&M peuvent être différées (les exigences de sécurité les plus pondérées doivent être entièrement satisfaites — vérifiez l'éligibilité selon 32 CFR Part 170), et tous les éléments du POA&M doivent être clos dans les 180 jours pour convertir le statut Conditionnel en Final.
6. Évaluer (auto-évaluation ou C3PAO)
- Niveau 1 et un sous-ensemble du Niveau 2 = auto-évaluation annuelle avec une affirmation dans SPRS.
- Niveau 2 (la plupart des contrats CUI) = évaluation de certification C3PAO triennale.
- Niveau 3 = évaluation DoD (DIBCAC) en plus du Niveau 2, ajoutant les exigences renforcées SP 800-172. Les évaluateurs notent chaque objectif comme SATISFAIT / NON SATISFAIT / S.O. avec des preuves (examen/entretien/test). Un haut responsable dépose l'affirmation annuelle de conformité continue.
7. Maintenir la certification
La certification est valable trois ans avec des affirmations annuelles. Maintenez le SSP, recalculez le score en cas de changement, conservez les preuves à jour et répercutez les changements significatifs dans l'évaluation.
Concepts clés
| Concept | Définition |
|---|---|
| FCI | Informations contractuelles fédérales — le Niveau 1 les protège (FAR 52.204-21). |
| CUI | Informations non classifiées contrôlées — le Niveau 2 les protège (NIST 800-171). |
| 110 exigences | Les exigences de sécurité SP 800-171 Rev 2 réparties dans 14 familles. |
| SPRS | Système de gestion des risques des fournisseurs — où le score 800-171 est publié. |
| Méthodologie d'évaluation du DoD | La pondération 1/3/5 points utilisée pour calculer le score à partir de 110. |
| C3PAO | Organisation tierce d'évaluation CMMC — effectue la certification de Niveau 2. |
| POA&M | Plan d'action et jalons — limité, doit être clos dans 180 jours pour le statut Final. |
| Conditionnel vs Final | Conditionnel = POA&M ouvert (score ≥ 80 %) ; Final = tous les contrôles satisfaits. |
| ESP | Prestataire de services externes — doit respecter FedRAMP Moderate / équivalence pour les CUI. |
| Catégories de périmètre | CUI / Protection de sécurité / Géré sous risque contractuel / Spécialisé / Hors périmètre. |
Outils et systèmes
- NIST SP 800-171 Rev 2 — les 110 exigences (et 800-171A pour les objectifs d'évaluation).
- Méthodologie d'évaluation NIST SP 800-171 du DoD — les poids de notation.
- 32 CFR Part 170 (règle du programme CMMC) et 48 CFR / DFARS 252.204-7021 (règle d'acquisition).
- SPRS — publication des scores ; SAM.gov pour l'inscription.
- SP 800-172 / 800-172A — exigences renforcées pour le Niveau 3.
- Outils GRC / de conformité — pour gérer le SSP, le POA&M et les preuves (par ex., Xacta, RegScale, trackeurs de type FutureFeed).
Scénarios courants
- Le maître d'œuvre transmet des CUI à un sous-traitant. Le sous-traitant a besoin de son propre périmètre de Niveau 2, de son SSP, de son score SPRS et (très probablement) d'une certification C3PAO.
- Le score est inférieur à 88. Priorisez les exigences non satisfaites les plus pondérées (5 points, puis 3 points) pour atteindre le seuil conditionnel et réduire le POA&M.
- Le cloud héberge des CUI. Confirmez que le service est autorisé FedRAMP Moderate ou répond à l'équivalence ; documentez le partage de responsabilités.
- Réseau plat. Redécoupez le périmètre en une enclave CUI segmentée pour réduire la surface d'évaluation avant d'investir dans les contrôles.
- Affirmation annuelle due. Un haut responsable affirme la conformité continue dans SPRS ; la laisser expirer risque de compromettre l'éligibilité au contrat.
Format de sortie
Produisez un Rapport de conformité CMMC Niveau 2 en utilisant assets/template.md, contenant :
- Applicabilité et catégories CUI — pourquoi le Niveau 2 s'applique.
- Périmètre — actifs par catégorie de périmètre et référence du schéma de la zone CUI.
- Statut des contrôles par famille — satisfait / non satisfait / s.o. dans les 14 familles.
- Score SPRS — score calculé, déductions, et l'écart par rapport à 110 et au seuil de 88.
- POA&M — exigences non satisfaites, vérification d'éligibilité, responsables, jalons à 180 jours.
- Chemin d'évaluation — auto-évaluation vs C3PAO, date cible, responsable de l'affirmation.
- Feuille de route de correction — séquencée par valeur en points et effort.
Utilisez scripts/process.py pour calculer le score SPRS à partir d'un JSON d'état des contrôles, signaler les problèmes d'éligibilité au POA&M et rapporter l'écart par rapport au seuil de certification conditionnelle.