Le Département de la Guerre annonce aujourd’hui la suspension immédiate des exigences relatives à la Phase II du Cybersecurity Maturity Model Certification (CMMC), dont l’entrée en vigueur était initialement prévue le 10 novembre 2026. Les exigences d’auto-évaluation de la Phase I restent pleinement en vigueur. Parallèlement, le Département lancera une révision complète du CMMC afin de mieux s’aligner sur les directives du Secrétaire à la Guerre Pete Hegseth dans le cadre du Système de Transformation des Acquisitions (Acquisition Transformation System – ATS), qui privilégie la rapidité d’accès aux capacités opérationnelles, la réduction des obstacles pour les petites, moyennes et entreprises non traditionnelles, ainsi que le remplacement d’une conformité bureaucratique par des mesures de cybersécurité évolutives et résilientes.
Garantir l’accès aux technologies commerciales de pointe constitue un levier fondamental pour le Secrétaire à la Guerre dans l’exécution opérationnelle de l’“Arsenal de la Liberté”. Si le programme CMMC actuel avait pour but d’améliorer la cybersécurité de la Base Industrielle de Défense (BID), il a en réalité engendré des coûts de conformité prohibitifs et une lourdeur administrative excessive. Des données récentes, notamment des rapports de la Small Business Administration (SBA), confirment que le respect des exigences CMMC contraint de nombreuses entreprises innovantes à sortir du secteur de la défense, retardant ainsi la livraison de capacités cruciales aux engagés sur le terrain.
“En soutien à la directive du Secrétaire Pete Hegseth visant à réduire les obstacles de conformité pour les petites et moyennes entreprises, nous suspendons aujourd’hui les exigences de la Phase II du CMMC et lançons une étude de 60 jours sur l’avenir de ce programme”, a déclaré Kirsten A. Davies, Directrice des Systèmes d’Information du Département de la Guerre. “Maintenir une cybersécurité robuste et une résilience opérationnelle est essentiel pour protéger l’innovation américaine et soutenir la préparation des forces armées. Nous sommes convaincus que la BID peut concilier ces deux objectifs tout en allégeant les démarches administratives inutiles.”
À compter de maintenant, le Département suspend la transition vers les exigences de la Phase II du CMMC, ainsi que tous les jalons en attente ou futurs relatifs à sa mise en œuvre dans les appels d’offres et contrats du Département de la Guerre.
“Nous avons un impératif stratégique de réduire la bureaucratie tout en construisant l’arsenal le plus puissant au monde”, a expliqué Hon. Michael Duffey, Sous-Secrétaire à la Guerre pour les Acquisitions et la Maintenabilité. “Cette décision de la DSI garantit le maintien d’un niveau de sécurité strict, tout en supprimant les coûts paralysants et en favorisant la croissance des innovateurs et la concurrence dans la chaîne d’approvisionnement de la défense.”
Pour aligner la posture cybersécuritaire avec les principes de l’ATS, la DSI du Département met en place un Groupe de Réforme du CMMC chargé de conduire un examen approfondi et global du programme de certification. Ce groupe centralisera les retours de l’industrie recueillis lors de la demande d’informations publique (RFI) concernant les difficultés liées à la conformité. Sur la base de ces analyses, il proposera des mesures de sécurité réalistes et évolutives, mettant l’accent sur la rapidité d’accès aux capacités et la réduction des barrières pour les entreprises petites, moyennes et non traditionnelles. Le rapport final sera remis à la DSI dans un délai de 60 jours.
Pendant cette phase transitoire, le Département appliquera la conformité en cybersécurité selon la norme NIST SP 800-171 Rév. 2 via des auto-évaluations et des évaluations ciblées menées par le gouvernement, en privilégiant l’hygiène cyber tangible plutôt que les procédures administratives lourdes.
Il est important de souligner que cette suspension ne supprime pas l’obligation pour les entreprises de protéger les données fédérales. Tous les contractants et sous-traitants de la défense restent contractuellement tenus de sécuriser les informations couvertes par la clause DFARS 252.204-7012.
Le Département de la Guerre reste pleinement engagé à protéger son domaine numérique tout en permettant à la Base Industrielle de Défense de fournir rapidement aux forces armées les capacités les plus avancées.