{"id":695,"date":"2026-05-12T18:32:00","date_gmt":"2026-05-12T22:32:00","guid":{"rendered":"https:\/\/saogcyber.ca\/quel-niveau-cmmc-sapplique-a-vos-contrats\/"},"modified":"2026-10-07T16:56:21","modified_gmt":"2026-10-07T20:56:21","slug":"quel-niveau-cmmc-sapplique-a-vos-contrats","status":"publish","type":"post","link":"https:\/\/saogcyber.ca\/fr\/quel-niveau-cmmc-sapplique-a-vos-contrats\/","title":{"rendered":"Quel niveau CMMC s’applique \u00e0 vos contrats ?"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Un guide pratique pour les fournisseurs de l’a\u00e9rospatiale et de la d\u00e9fense<\/span><\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t
\n

Le niveau CMMC requis est d\u00e9termin\u00e9 par l’appel d’offres ou le contrat et les informations que vos syst\u00e8mes traiteront, stockeront ou transmettront. Il n’est pas d\u00e9termin\u00e9 par la taille de l’entreprise, la r\u00e9putation du secteur ou les conseils informels. <\/span><\/strong><\/p>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Situation actuelle \u2014 30 juillet 2026\n\n\n\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n
\n
\n

La phase I demeure active. Pendant la suspension de la phase II, les exigences d’acquisition peuvent d\u00e9signer uniquement le niveau 1 (auto-\u00e9valuation) ou le niveau 2 (auto-\u00e9valuation). Les exigences de niveau 2 C3PAO et de niveau 3 DIBCAC ne peuvent actuellement pas \u00eatre d\u00e9sign\u00e9es. <\/span><\/span><\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Commencer par l'appel d'offres et le contrat\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Les clauses FAR 52.204-21 et DFARS 252.204-7012 \u00e9tablissent les obligations de protection pour les FCI et les CUI, mais elles n’identifient pas, en elles-m\u00eames, le parcours d’\u00e9valuation CMMC exact. Le niveau CMMC requis doit \u00eatre indiqu\u00e9 dans l’appel d’offres par la clause DFARS 252.204-7025 et incorpor\u00e9 dans le contrat r\u00e9sultant par la clause DFARS 252.204-7021. <\/span><\/span><\/p>\n

Si ces dispositions sont absentes, incompl\u00e8tes ou incompatibles avec les informations \u00e9chang\u00e9es, soulevez la question aupr\u00e8s de l’agent contractant ou du ma\u00eetre d’\u0153uvre avant d’effectuer des investissements majeurs en mati\u00e8re de s\u00e9curit\u00e9.<\/span><\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Faire correspondre les informations au niveau\n<\/h2>\t\t\t\t<\/div>\n\t\t
\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Niveau CMMC<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Informations prot\u00e9g\u00e9es<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Situation actuelle de l’\u00e9valuation<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Niveau 1 (auto-\u00e9valuation)<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Federal Contract Information (FCI)<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Auto-\u00e9valuation annuelle et affirmation annuelle par rapport aux 15 mesures de protection FAR 52.204-21.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Niveau 2<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Controlled Unclassified Information (CUI)<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Pendant la suspension, les contrats peuvent exiger le niveau 2 (auto-\u00e9valuation). Les \u00e9valuations C3PAO demeurent disponibles sur une base volontaire, mais ne peuvent actuellement pas \u00eatre d\u00e9sign\u00e9es comme exigence contractuelle. <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Niveau 3<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

CUI n\u00e9cessitant une protection contre les menaces persistantes avanc\u00e9es<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\u00c9valuation DIBCAC men\u00e9e par le gouvernement. Les nouvelles exigences de niveau 3 ne peuvent actuellement pas \u00eatre d\u00e9sign\u00e9es pendant la suspension. <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t
\n
\n
\n

Important :<\/span><\/strong> CUI ne signifie pas automatiquement une \u00e9valuation C3PAO. L’appel d’offres pr\u00e9cise si le niveau 2 est en auto-\u00e9valuation ou par C3PAO. Dans le cadre de la suspension actuelle, seul le niveau 2 (auto-\u00e9valuation) peut \u00eatre d\u00e9sign\u00e9.<\/span><\/em><\/p>\n<\/div>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Les marquages aident, mais ne constituent pas la r\u00e9ponse compl\u00e8te\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n
\n

Les marquages CUI, les exigences en mati\u00e8re de donn\u00e9es contractuelles, les directives de s\u00e9curit\u00e9 et les r\u00e9percussions contractuelles du ma\u00eetre d’\u0153uvre sont des indicateurs cl\u00e9s. Toutefois, l’absence de marquage ne clarifie pas toujours la question. Les fournisseurs ne doivent pas r\u00e9\u00e9tiqueter les informations ni supposer que les donn\u00e9es techniques non marqu\u00e9es sont hors de port\u00e9e. Toute ambigu\u00eft\u00e9 doit \u00eatre document\u00e9e et transmise \u00e0 l’autorit\u00e9 contractante ou au ma\u00eetre d’\u0153uvre. <\/span><\/span><\/p>\n<\/div>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Les sous-contrats n\u00e9cessitent leur propre d\u00e9cision\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n
\n
\n

Un sous-traitant n’h\u00e9rite pas automatiquement du niveau CMMC du ma\u00eetre d’\u0153uvre ni ne l’assume. Le niveau requis d\u00e9pend de la question de savoir si des FCI ou des CUI seront trait\u00e9s, stock\u00e9s ou transmis dans le cadre du sous-contrat. Le ma\u00eetre d’\u0153uvre doit communiquer les exigences applicables et v\u00e9rifier le statut CMMC actuel du sous-traitant avant l’attribution, le cas \u00e9ch\u00e9ant. <\/span><\/span><\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Ce que la suspension de la phase II change et ce qu'elle ne change pas\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n
\n
\n

La suspension de juillet 2026 modifie les types d’\u00e9valuation CMMC qui peuvent \u00eatre impos\u00e9s dans les exigences d’acquisition. Elle ne supprime pas l’obligation sous-jacente de prot\u00e9ger les informations gouvernementales. Les clauses FAR 52.204-21, DFARS 252.204-7012, les obligations de signalement d’incidents, la mise en \u0153uvre de NIST SP 800-171 Rev. 2 et les r\u00e9percussions contractuelles applicables aux sous-traitants demeurent en vigueur. <\/p>\n

Les appels d’offres et contrats existants contenant des exigences de niveau 2 C3PAO ou de niveau 3 DIBCAC devraient \u00eatre modifi\u00e9s conform\u00e9ment aux directives gouvernementales. Les fournisseurs doivent confirmer le statut de chaque acquisition plut\u00f4t que de se fier uniquement \u00e0 l’annonce de suspension. <\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Un examen bref de l'applicabilit\u00e9 avant d'investir\n\n<\/h2>\t\t\t\t<\/div>\n\t\t
\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

1<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Lire l’ensemble du dossier d’acquisition<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t
\n
\n

Localiser l’avis et la clause CMMC, et non seulement les dispositions g\u00e9n\u00e9rales en mati\u00e8re de cybers\u00e9curit\u00e9.<\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
2<\/span><\/div>\n
<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Identifier les informations<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t
\n
\n

Documenter si chaque flux de travail implique des FCI, des CUI ou des informations accessibles au public.<\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

3<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Cartographier le flux<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Identifier les syst\u00e8mes, utilisateurs, emplacements, services infonuagiques et sous-traitants qui traiteront les informations.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

4<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Confirmer les incertitudes<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Obtenir une clarification \u00e9crite de l’agent contractant ou du ma\u00eetre d’\u0153uvre lorsque le niveau ou le statut des donn\u00e9es n’est pas clair.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

5<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Maintenir le registre<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t
\n
\n
\n
\n
\n
\n

Tenir \u00e0 jour la d\u00e9cision d’applicabilit\u00e9, les r\u00e9sultats d’\u00e9valuation, les entr\u00e9es SPRS et les affirmations annuelles.<\/span><\/span><\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

La conclusion pratique\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n

La s\u00e9lection du niveau CMMC appropri\u00e9 d\u00e9pend des exigences contractuelles et du flux d’informations. Un p\u00e9rim\u00e8tre trop large augmente les co\u00fbts et la complexit\u00e9 inutiles, tandis qu’un p\u00e9rim\u00e8tre insuffisant peut compromettre l’attribution de contrats ou cr\u00e9er des risques de conformit\u00e9. Effectuez un examen d’applicabilit\u00e9 et de p\u00e9rim\u00e8tre concis et document\u00e9 avant d’apporter des modifications \u00e0 l’architecture, d’acheter des outils ou de planifier des \u00e9valuations. <\/span><\/span><\/p>\n

SAOG Cyber aide les fournisseurs de l’a\u00e9rospatiale et de la d\u00e9fense \u00e0 d\u00e9finir le p\u00e9rim\u00e8tre d’\u00e9valuation et \u00e0 pr\u00e9parer un plan de pr\u00e9paration proportionn\u00e9.<\/span><\/strong><\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

Le niveau CMMC requis est d\u00e9termin\u00e9 par l’appel d’offres ou le contrat et le type d’informations que vos syst\u00e8mes traitent, stockent ou transmettent. La taille de l’entreprise, la r\u00e9putation du secteur ou les conseils informels ne d\u00e9terminent pas votre niveau CMMC. <\/p>\n","protected":false},"author":1,"featured_media":696,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_thinkrank_schema_form_data":"","_thinkrank_selected_schema_type":"","_thinkrank_additional_schemas":"","_thinkrank_canonical_url":"","_thinkrank_og_title":"","_thinkrank_og_description":"","_thinkrank_og_image":"","_thinkrank_twitter_title":"","_thinkrank_twitter_description":"","_thinkrank_twitter_image":"","_thinkrank_imported_from":"","_thinkrank_focus_keywords":[],"_thinkrank_focus_keyword":"","_thinkrank_robots_meta_enabled":0,"_thinkrank_robots_meta":"","_thinkrank_advanced_robots_meta":"","_thinkrank_exclude_from_search":0,"_thinkrank_exclude_from_archives":0,"_thinkrank_primary_category":0,"page_builder":"","_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[32],"tags":[],"class_list":["post-695","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cmmc"],"_links":{"self":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/695","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/comments?post=695"}],"version-history":[{"count":1,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/695\/revisions"}],"predecessor-version":[{"id":697,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/695\/revisions\/697"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/media\/696"}],"wp:attachment":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/media?parent=695"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/categories?post=695"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/tags?post=695"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}