{"id":704,"date":"2026-07-16T18:24:00","date_gmt":"2026-07-16T22:24:00","guid":{"rendered":"https:\/\/saogcyber.ca\/cmmc-phase-ii-suspendue-implications-pour-la-preparation-la-certification-et-le-risque-lie-a-la-loi-sur-les-fausses-declarations\/"},"modified":"2026-10-07T16:57:21","modified_gmt":"2026-10-07T20:57:21","slug":"cmmc-phase-ii-suspendue-implications-pour-la-preparation-la-certification-et-le-risque-lie-a-la-loi-sur-les-fausses-declarations","status":"publish","type":"post","link":"https:\/\/saogcyber.ca\/fr\/cmmc-phase-ii-suspendue-implications-pour-la-preparation-la-certification-et-le-risque-lie-a-la-loi-sur-les-fausses-declarations\/","title":{"rendered":"CMMC Phase II suspendue : implications pour la pr\u00e9paration, la certification et le risque li\u00e9 \u00e0 la loi sur les fausses d\u00e9clarations"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Les auto-\u00e9valuations de la Phase I restent actives. Les d\u00e9signations obligatoires d’\u00e9valuation C3PAO et DIBCAC sont suspendues pendant l’examen de la r\u00e9forme. Cependant, les organisations doivent continuer \u00e0 prot\u00e9ger le FCI et le CUI, et le risque de d\u00e9clarations de conformit\u00e9 non \u00e9tay\u00e9es s’applique toujours. <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Point cl\u00e9 \u00e0 retenir\n\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Le gouvernement a suspendu l’int\u00e9gration contractuelle progressive des exigences de certification de la Phase II. Il n’a pas abrog\u00e9 le programme CMMC, ni suspendu les clauses de protection FAR ou DFARS, ni \u00e9limin\u00e9 l’exposition potentielle \u00e0 la loi sur les fausses d\u00e9clarations pour des repr\u00e9sentations sciemment inexactes en mati\u00e8re de cybers\u00e9curit\u00e9. <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

En bref\n<\/h2>\t\t\t\t<\/div>\n\t\t
\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Toujours actif<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Suspendu pendant l’examen<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Toujours requis<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Phase I, y compris les d\u00e9signations d’auto-\u00e9valuation de niveau 1 et de niveau 2, le cas \u00e9ch\u00e9ant.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Transition de la Phase II et d\u00e9signations obligatoires de niveau 2 (C3PAO) ou de niveau 3 (DIBCAC) pendant la p\u00e9riode d’examen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Obligations FAR et DFARS applicables, mise en \u0153uvre du NIST SP 800-171 R\u00e9v. 2, signalement des incidents, r\u00e9percussion et repr\u00e9sentations exactes.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Ce qui s'est pass\u00e9\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n

Le 13 juillet 2026, le minist\u00e8re de la Guerre des \u00c9tats-Unis a annonc\u00e9 la suspension imm\u00e9diate de la transition vers la Phase II du CMMC, qui \u00e9tait pr\u00e9vue pour le 10 novembre 2026. Les \u00e9tapes de mise en \u0153uvre du CMMC en cours et futures ont \u00e9t\u00e9 mises en attente pendant qu’un groupe de travail sur la r\u00e9forme du CMMC m\u00e8ne un examen complet du programme sur 60 jours. <\/span><\/span><\/p>\n

Le minist\u00e8re n’a pas annonc\u00e9 de date de remplacement pour la Phase II. Toutes les exigences d’auto-\u00e9valuation de la Phase I restent en place, et l’approche int\u00e9rimaire continue d’utiliser les auto-\u00e9valuations de niveau 1 et de niveau 2, ainsi que certaines \u00e9valuations men\u00e9es par le gouvernement. <\/span><\/span><\/p>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Pourquoi la Phase II a \u00e9t\u00e9 suspendue\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n

Le minist\u00e8re a d\u00e9clar\u00e9 que l’approche de mise en \u0153uvre actuelle cr\u00e9ait des co\u00fbts, des retards et des obstacles qui pourraient restreindre la participation \u00e0 la base industrielle de d\u00e9fense, en particulier pour les petits, moyens et non-traditionnels fournisseurs. L’examen vise \u00e0 pr\u00e9server une base de cybers\u00e9curit\u00e9 significative tout en rendant le programme plus \u00e9volutif et mieux align\u00e9 sur les objectifs de rapidit\u00e9 de mise en \u0153uvre des capacit\u00e9s et de r\u00e9silience op\u00e9rationnelle. <\/span><\/span><\/p>\n

    \n
  • Co\u00fbt et charge administrative :<\/span><\/strong> Le gouvernement a cit\u00e9 les co\u00fbts de conformit\u00e9 prohibitifs et les d\u00e9lais r\u00e9glementaires complexes comme des obstacles \u00e0 l’entr\u00e9e et \u00e0 la participation continue.<\/span><\/span><\/li>\n
  • Capacit\u00e9 d’\u00e9valuation :<\/span><\/strong> Le m\u00e9morandum de r\u00e9forme a identifi\u00e9 les p\u00e9nuries de capacit\u00e9 d’\u00e9valuation par des tiers comme une contrainte \u00e0 la mise en \u0153uvre \u00e0 grande \u00e9chelle.<\/span><\/span><\/li>\n
  • R\u00e9silience op\u00e9rationnelle :<\/span><\/strong> Le gouvernement souhaite que les futures exigences montrent des r\u00e9sultats de s\u00e9curit\u00e9 et de r\u00e9silience plus clairs et mesurables, plut\u00f4t que de s’appuyer principalement sur la conformit\u00e9 administrative.<\/span><\/span><\/li>\n
  • Participation des petites entreprises :<\/span><\/strong> L’examen vise \u00e0 r\u00e9duire les obstacles pour les petites entreprises et les entreprises non traditionnelles sans supprimer l’obligation de prot\u00e9ger les informations f\u00e9d\u00e9rales.<\/span><\/span><\/li>\n<\/ul>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t\t

    Ce que le gouvernement pr\u00e9voit de faire pendant la suspension\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t
    \n
    \n

    La suspension est une p\u00e9riode de r\u00e9forme active, et non une p\u00e9riode d’attente inactive. Le minist\u00e8re a cr\u00e9\u00e9 un groupe de travail sur la r\u00e9forme du CMMC et a lanc\u00e9 une demande d’informations publique pour recueillir des preuves et des recommandations de l’industrie. <\/span><\/span><\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t

    \n\t\t
    \n\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    1<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Mener un examen de 60 jours<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Le groupe de travail examinera le mod\u00e8le de certification de bout en bout et fournira des recommandations au DSI du minist\u00e8re. Des directives de mise en \u0153uvre suppl\u00e9mentaires sont attendues apr\u00e8s l’examen. <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t
    2<\/span><\/div>\n
    <\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Recueillir et analyser les commentaires de l’industrie<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    La demande d’informations publique invite les fournisseurs \u00e0 identifier les facteurs de co\u00fbt, les charges administratives, les contr\u00f4les \u00e0 forte valeur ajout\u00e9e, les exigences \u00e0 faible valeur ajout\u00e9e, les d\u00e9fis d’auto-\u00e9valuation, les capacit\u00e9s de cybers\u00e9curit\u00e9 commerciales et les r\u00e9formes qui pourraient am\u00e9liorer la r\u00e9silience op\u00e9rationnelle.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    3<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Maintenir une base de cybers\u00e9curit\u00e9 int\u00e9rimaire<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Le minist\u00e8re continuera d’utiliser les auto-\u00e9valuations NIST SP 800-171 R\u00e9v. 2 et certaines \u00e9valuations men\u00e9es par le gouvernement. Le DFARS 252.204-7012 et les autres clauses de cybers\u00e9curit\u00e9 applicables restent en vigueur. <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    4<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Modifier les documents d’approvisionnement concern\u00e9s<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Les appels d’offres actifs contenant des exigences de niveau 2 (C3PAO) ou de niveau 3 (DIBCAC) doivent \u00eatre modifi\u00e9s. Les contrats existants doivent \u00eatre modifi\u00e9s au prochain point administratif appropri\u00e9. Aucune d\u00e9rogation de Phase II ne sera d\u00e9livr\u00e9e pendant l’examen. <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t

    Ce qui change pendant la suspension\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t
    \n
    \n

    Les chefs de programme et les activit\u00e9s requ\u00e9rantes ne peuvent d\u00e9signer que le niveau 1 (auto-\u00e9valuation) ou le niveau 2 (auto-\u00e9valuation) du CMMC pendant la p\u00e9riode d’examen. Ils ne peuvent pas d\u00e9signer d’\u00e9valuations de niveau 2 (C3PAO) ou de niveau 3 (DIBCAC) dans les nouvelles exigences d’approvisionnement pendant cette p\u00e9riode. <\/span><\/span><\/p>\n

      \n
    • Appels d’offres actifs :<\/span><\/strong> Les dossiers d’exigences contenant des niveaux 2 (C3PAO) ou 3 (DIBCAC) doivent \u00eatre modifi\u00e9s, suivis d’un amendement d’appel d’offres correspondant d\u00e8s que possible.<\/span><\/span><\/li>\n
    • Contrats et accords existants :<\/span><\/strong> Les exigences d’\u00e9valuation de certification affect\u00e9es doivent \u00eatre supprim\u00e9es par modification avant la prochaine p\u00e9riode d’option ou lors de la prochaine modification administrative pr\u00e9vue.<\/span><\/span><\/li>\n
    • Nouvelles exigences :<\/span><\/strong> Les auto-\u00e9valuations de niveau 1 peuvent \u00eatre utilis\u00e9es pour le FCI et les auto-\u00e9valuations de niveau 2 pour le CUI. Des protections de cybers\u00e9curit\u00e9 suppl\u00e9mentaires peuvent toujours \u00eatre requises lorsque la loi et la r\u00e9glementation le permettent.<\/span><\/span><\/li>\n<\/ul>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t
      \n\t\t\t\t\t

      Ce qui ne change pas\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
      \n\t\t\t\t\t\t\t\t\t
      \n
      \n
      \n

      La suspension ne supprime pas l’obligation sous-jacente de prot\u00e9ger les informations gouvernementales. L’appel d’offres, le contrat, le sous-contrat et les clauses de r\u00e9percussion applicables restent la source de contr\u00f4le pour chaque fournisseur. <\/span><\/span><\/p>\n

        \n
      • La Phase I reste en vigueur :<\/span><\/strong> Les exigences d’auto-\u00e9valuation de niveau 1 et de niveau 2 restent disponibles et ex\u00e9cutoires lorsqu’elles sont incluses dans un appel d’offres ou un contrat.<\/span><\/span><\/li>\n
      • La protection du FCI reste requise :<\/span><\/strong> Le FAR 52.204-21 continue d’\u00e9tablir des mesures de protection minimales pour les syst\u00e8mes d’information des contractants couverts qui traitent, stockent ou transmettent le FCI.<\/span><\/span><\/li>\n
      • La protection du CUI reste requise :<\/span><\/strong> Le DFARS 252.204-7012 reste en vigueur, y compris la mise en \u0153uvre applicable du NIST SP 800-171 R\u00e9v. 2, le signalement des cyberincidents, la pr\u00e9servation et les obligations de r\u00e9percussion.<\/span><\/span><\/li>\n
      • La surveillance gouvernementale se poursuit :<\/span><\/strong> Le minist\u00e8re peut mener certaines \u00e9valuations dirig\u00e9es par le gouvernement pendant la p\u00e9riode int\u00e9rimaire.<\/span><\/span><\/li>\n
      • L’\u00e9cosyst\u00e8me CMMC reste op\u00e9rationnel :<\/span><\/strong> Le Cyber AB d\u00e9clare que les \u00e9valuations volontaires C3PAO de niveau 2, la formation, les examens, les services professionnels et le traitement des \u00e9valuations restent disponibles.<\/span><\/span><\/li>\n<\/ul>\n<\/div>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t
        \n\t\t\t\t\t

        Le risque li\u00e9 \u00e0 la loi sur les fausses d\u00e9clarations ne s'interrompt pas\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
        \n\t\t\t\t\t\t\t\t\t
        \n

        La loi sur les fausses d\u00e9clarations (FCA) est un m\u00e9canisme d’application f\u00e9d\u00e9ral distinct. Le minist\u00e8re de la Justice l’utilise pour poursuivre les entrepreneurs gouvernementaux et les b\u00e9n\u00e9ficiaires de subventions qui repr\u00e9sentent sciemment de mani\u00e8re erron\u00e9e les pratiques de cybers\u00e9curit\u00e9, ne respectent pas sciemment les exigences contractuelles mat\u00e9rielles en mati\u00e8re de cybers\u00e9curit\u00e9, ou ne satisfont pas sciemment aux obligations de surveillance et de signalement des incidents requises. <\/span><\/span><\/p>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t

        \n\t\t\t\t
        \n\t\t\t\t\t

        Distinction juridique importante\n\n\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
        \n\t\t\t\t\t\t\t\t\t

        Une lacune en mati\u00e8re de cybers\u00e9curit\u00e9 ne cr\u00e9e pas automatiquement une responsabilit\u00e9 en vertu de la loi sur les fausses d\u00e9clarations. Le risque principal survient lorsqu’une organisation soumet ou maintient sciemment une d\u00e9claration fausse ou non \u00e9tay\u00e9e qui est essentielle \u00e0 un paiement gouvernemental, \u00e0 l’attribution d’un contrat ou \u00e0 la poursuite de l’ex\u00e9cution. Cette section contient des informations g\u00e9n\u00e9rales et ne constitue pas un avis juridique. <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

        \n\t\t\t\t\t\t\t\t\t
        \n

        Pendant la suspension, l’exposition peut toujours d\u00e9couler d’activit\u00e9s telles que :<\/span><\/span><\/p>\n

          \n
        • Scores d’auto-\u00e9valuation ou affirmations non \u00e9tay\u00e9s :<\/span><\/strong> Soumettre ou maintenir un score SPRS, une affirmation CMMC ou une repr\u00e9sentation connexe qui n’est pas \u00e9tay\u00e9e par l’environnement r\u00e9el et les preuves disponibles.<\/span><\/span><\/li>\n
        • D\u00e9clarations erron\u00e9es sur la mise en \u0153uvre du NIST SP 800-171 :<\/span><\/strong> Repr\u00e9senter que les contr\u00f4les requis sont mis en \u0153uvre alors que des pratiques mat\u00e9rielles sont absentes, inefficaces ou mat\u00e9riellement diff\u00e9rentes du SSP document\u00e9.<\/span><\/span><\/li>\n
        • Ignorer les lacunes contractuelles connues :<\/span><\/strong> Continuer \u00e0 revendiquer la conformit\u00e9 ou \u00e0 soumettre des factures tout en ne respectant pas sciemment les obligations mat\u00e9rielles de cybers\u00e9curit\u00e9 FAR ou DFARS.<\/span><\/span><\/li>\n
        • D\u00e9faillances de signalement d’incidents :<\/span><\/strong> Ne pas signaler ou pr\u00e9server sciemment les informations relatives \u00e0 un cyberincident lorsque le contrat l’exige.<\/span><\/span><\/li>\n
        • Repr\u00e9sentations inexactes de tiers ou de r\u00e9percussion :<\/span><\/strong> Ne pas appliquer les clauses requises aux sous-traitants ou s’appuyer sur des assurances de fournisseurs non \u00e9tay\u00e9es pour les syst\u00e8mes qui traitent des informations couvertes.<\/span><\/span><\/li>\n<\/ul>\n

          Les r\u00e9centes actions du minist\u00e8re de la Justice montrent que l’application de la FCA li\u00e9e \u00e0 la cybers\u00e9curit\u00e9 n’est pas th\u00e9orique. Plusieurs entrepreneurs de la d\u00e9fense ont r\u00e9gl\u00e9 des all\u00e9gations de fausse d\u00e9claration de conformit\u00e9 en mati\u00e8re de cybers\u00e9curit\u00e9 par des r\u00e8glements atteignant des millions de dollars, soulignant que l’exactitude de l’auto-\u00e9valuation comporte une r\u00e9elle exposition juridique. <\/span><\/span><\/p>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

          \n\t\t\t\t\t

          Ce que la suspension signifie pour les plans de certification\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
          \n\t\t\t\t\t\t\t\t\t
          \n

          La r\u00e9ponse appropri\u00e9e d\u00e9pend des contrats de l’organisation, des attentes des clients, du niveau de pr\u00e9paration et des objectifs commerciaux. L’annonce ne doit pas \u00eatre trait\u00e9e comme une instruction automatique d’annuler les travaux pr\u00e9vus. <\/span><\/span><\/p>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t

          \n\t\t
          \n\t\t
          \n\t\t\t\t
          \n\t\t\t\t\t\t\t\t\t

          1<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

          \n\t\t\t\t
          \n\t\t\t\t\t\t\t\t\t

          Si une \u00e9valuation C3PAO \u00e9tait pr\u00e9vue uniquement en raison de la Phase II<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

          \n\t\t\t\t\t\t\t\t\t

          Examinez l’appel d’offres, le contrat ou le sous-contrat concern\u00e9 et obtenez une confirmation \u00e9crite de tout amendement ou modification avant de modifier le calendrier d’\u00e9valuation.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

          \n\t\t
          \n\t\t\t\t
          \n\t\t\t\t\t\t\t\t\t
          2<\/span><\/div>\n
          <\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
          \n\t\t\t\t
          \n\t\t\t\t\t\t\t\t\t

          Si un entrepreneur principal ou un client attend une assurance ind\u00e9pendante<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

          \n\t\t\t\t\t\t\t\t\t

          Confirmez si cette exigence demeure dans la relation commerciale ou de sous-traitance. Une suspension de la mise en \u0153uvre par le gouvernement ne r\u00e9\u00e9crit pas automatiquement chaque engagement client. <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

          \n\t\t
          \n\t\t\t\t
          \n\t\t\t\t\t\t\t\t\t

          3<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

          \n\t\t\t\t
          \n\t\t\t\t\t\t\t\t\t

          Si l’organisation est proche de l’\u00e9tat de pr\u00e9paration \u00e0 l’\u00e9valuation<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

          \n\t\t\t\t\t\t\t\t\t

          Une \u00e9valuation C3PAO volontaire reste disponible. La d\u00e9cision de proc\u00e9der doit refl\u00e9ter la demande des clients, la valeur concurrentielle, la tol\u00e9rance au risque, le budget et l’incertitude quant au r\u00e9sultat final de la r\u00e9forme. <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

          \n\t\t
          \n\t\t\t\t
          \n\t\t\t\t\t\t\t\t\t

          4<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

          \n\t\t\t\t
          \n\t\t\t\t\t\t\t\t\t

          Si l’organisation est encore en train de construire son programme<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

          \n\t\t\t\t\t\t\t\t\t

          Continuez \u00e0 mettre en \u0153uvre les mesures de protection, \u00e0 valider l’auto-\u00e9valuation, \u00e0 combler les lacunes importantes et \u00e0 conserver les preuves. Retarder les travaux de s\u00e9curit\u00e9 essentiels peut augmenter les co\u00fbts futurs, les perturbations et les risques de repr\u00e9sentation. <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

          \n\t\t\t\t\t

          Ce que les fournisseurs devraient faire maintenant\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
          \n\t\t\t\t\t\t\t\t\t
          \n
            \n
          • Confirmer les exigences par \u00e9crit :<\/span><\/strong> Identifiez les clauses CMMC, FAR, DFARS, d’entrepreneur principal et de sous-contrat applicables \u00e0 chaque opportunit\u00e9 et contrat. Ne vous fiez pas uniquement aux annonces publiques.<\/span><\/span><\/li>\n
          • Valider chaque repr\u00e9sentation :<\/span><\/strong> Assurez-vous que les scores d’auto-\u00e9valuation, les affirmations et les d\u00e9clarations des clients sont \u00e9tay\u00e9s par des preuves actuelles et refl\u00e8tent fid\u00e8lement l’environnement.<\/span><\/span><\/li>\n
          • Maintenir la base de s\u00e9curit\u00e9 :<\/span><\/strong> Maintenez \u00e0 jour la port\u00e9e du CUI, l’inventaire des actifs, les flux de donn\u00e9es, le SSP, le POA&M et les proc\u00e9dures de soutien.<\/span><\/span><\/li>\n
          • Poursuivre la rem\u00e9diation bas\u00e9e sur les risques :<\/span><\/strong> Comblez les lacunes importantes, g\u00e9rez les exceptions et documentez les d\u00e9cisions, les propri\u00e9taires, les jalons et les preuves d’ach\u00e8vement.<\/span><\/span><\/li>\n
          • Conserver les preuves d’\u00e9valuation :<\/span><\/strong> Conservez les politiques, les proc\u00e9dures, les configurations, les journaux, les revues d’acc\u00e8s, les dossiers de formation, les dossiers des fournisseurs et les r\u00e9sultats des tests techniques.<\/span><\/span><\/li>\n
          • Escalader les probl\u00e8mes importants :<\/span><\/strong> Lorsqu’une repr\u00e9sentation peut \u00eatre inexacte ou qu’une exigence contractuelle importante peut ne pas \u00eatre respect\u00e9e, impliquez rapidement les responsables juridiques, contractuels et de cybers\u00e9curit\u00e9 appropri\u00e9s.<\/span><\/span><\/li>\n
          • Surveiller l’activit\u00e9 de r\u00e9forme :<\/span><\/strong> Suivez l’examen du groupe de travail, les r\u00e9sultats de la demande d’informations, les directives officielles de mise en \u0153uvre et tout amendement d’appel d’offres ou de contrat qui affecte le calendrier ou les obligations.<\/span><\/span><\/li>\n<\/ul>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t
            \n\t\t\t\t
            \n\t\t\t\t\t

            V\u00e9rification du contrat\n\n\n\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t
            \n
            \n

            Ne pr\u00e9sumez pas qu’une annonce publique a d\u00e9j\u00e0 modifi\u00e9 votre contrat ou sous-contrat. Confirmez l’amendement ou la modification applicable par \u00e9crit avant de modifier un engagement de conformit\u00e9, de signalement ou d’\u00e9valuation. <\/span><\/span><\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

            \n\t\t\t\t\t

            Comment SAOG Cyber peut vous aider\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t

            SAOG Cyber aide les fournisseurs de l’a\u00e9rospatiale et de la d\u00e9fense \u00e0 maintenir un programme de pr\u00e9paration pratique et fond\u00e9 sur des preuves pendant la p\u00e9riode de r\u00e9forme. Le soutien peut inclure : <\/span><\/span><\/p>\n

              \n
            • la validation de la port\u00e9e du CUI, des scores d’auto-\u00e9valuation, des SSP, des POA&M et des preuves justificatives ;<\/span><\/span><\/li>\n
            • la priorisation de la rem\u00e9diation et la maintenance d’un dossier de preuves pr\u00eat pour l’\u00e9valuation ;<\/span><\/span><\/li>\n
            • le soutien aux d\u00e9cisions concernant la poursuite, le report ou la reprogrammation d’une \u00e9valuation C3PAO volontaire ; et<\/span><\/span><\/li>\n
            • la surveillance des changements officiels du programme et leur traduction en actions claires pour la direction et les \u00e9quipes de livraison.<\/span><\/span><\/li>\n<\/ul>\n

              L’objectif est de pr\u00e9server la cybers\u00e9curit\u00e9, l’exactitude contractuelle et la pr\u00e9paration au march\u00e9 tout en \u00e9vitant les hypoth\u00e8ses non fond\u00e9es pendant une p\u00e9riode de changement de politique.<\/span><\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

              Le gouvernement a suspendu l’int\u00e9gration contractuelle progressive des exigences de certification de la Phase II. Il n’a pas abrog\u00e9 le programme CMMC, ni suspendu les clauses de protection FAR ou DFARS. <\/p>\n","protected":false},"author":1,"featured_media":705,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_thinkrank_schema_form_data":"","_thinkrank_selected_schema_type":"","_thinkrank_additional_schemas":"","_thinkrank_canonical_url":"","_thinkrank_og_title":"","_thinkrank_og_description":"","_thinkrank_og_image":"","_thinkrank_twitter_title":"","_thinkrank_twitter_description":"","_thinkrank_twitter_image":"","_thinkrank_imported_from":"","_thinkrank_focus_keywords":[],"_thinkrank_focus_keyword":"","_thinkrank_robots_meta_enabled":0,"_thinkrank_robots_meta":"","_thinkrank_advanced_robots_meta":"","_thinkrank_exclude_from_search":0,"_thinkrank_exclude_from_archives":0,"_thinkrank_primary_category":0,"page_builder":"","_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[32],"tags":[],"class_list":["post-704","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cmmc"],"_links":{"self":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/704","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/comments?post=704"}],"version-history":[{"count":2,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/704\/revisions"}],"predecessor-version":[{"id":707,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/704\/revisions\/707"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/media\/705"}],"wp:attachment":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/media?parent=704"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/categories?post=704"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/tags?post=704"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}