Les exigences de conformité et d'évaluation du CMMC 2.0 varient en fonction de la relation de votre organisation avec le DoD et du type d'information que vous traitez. L'une des premières étapes du processus de conformité CMMC est donc de déterminer votre niveau CMMC. Ci-dessous, nous vous fournirons un aperçu de chaque niveau et des conseils pour déterminer celui qui vous convient.

Niveaux de certification CMMC

Le modèle CMMC 2.0 simplifie le cadre original en trois niveaux de certification. Ces trois niveaux offrent une approche claire et structurée de la cybersécurité, garantissant que les pratiques requises sont alignées avec le type et la sensibilité des informations protégées.

Voici un aperçu des trois niveaux de certification CMMC 2.0 :

Certification CMMC Niveau 1 : Fondamental

Le niveau 1 se concentre sur la mise en œuvre de pratiques de cybersécurité de base pour protéger les FCI. Il s'agit de pratiques de sécurité fondamentales telles que la protection de l'accès, l'authentification, la protection des médias, la sécurité physique, la protection des communications et l'intégrité des systèmes.

Voici un aperçu de ce niveau :

• Objectif : Hygiène cybernétique de base
• Pratiques : 17 pratiques de cybersécurité basées sur FAR 52.204-21 (Federal Acquisition Regulation)
• Exigences d'évaluation : Auto-évaluations annuelles avec des confirmations annuelles par un haut responsable de l'entreprise.
• Qui en a besoin ? Ce niveau est destiné aux organisations qui traitent des Informations de Contrat Fédéral (FCI), c'est-à-dire des informations fournies par ou générées pour le gouvernement dans le cadre d'un contrat mais non destinées à être divulguées publiquement.

Certification CMMC Niveau 2 : Avancé

Le niveau 2 du CMMC 2.0 vise à s'assurer que les organisations mettent en œuvre de bonnes pratiques de cybersécurité pour protéger le CUI contre les menaces internes et externes.

Voici un aperçu de ce niveau :

• Objectif : Hygiène cybernétique avancée
• Pratiques : 110 pratiques alignées sur le cadre NIST SP 800-171 Rev. 2, qui couvre la protection des informations non classifiées contrôlées (CUI).
• Exigences d'évaluation : Évaluations triennales effectuées par une C3PAO pour les informations critiques à la sécurité nationale et auto-évaluations annuelles pour les informations non critiques soumises via le Supplier Performance Risk System (SPRS).
• Qui en a besoin ? Organisations qui traitent des informations non classifiées contrôlées (CUI) et qui sont impliquées dans des contrats contenant des informations critiques pour la sécurité nationale.

Certification CMMC Niveau 3 : Expert

Le niveau 3 du CMMC 2.0 est le plus élevé, conçu pour les entreprises qui doivent mettre en œuvre les mesures de cybersécurité les plus rigoureuses pour se protéger contre les menaces persistantes avancées (APT). Il comprend des pratiques et des processus complets pour sécuriser les informations non classifiées contrôlées (CUI) critiques contre les cybermenaces sophistiquées.

Voici un aperçu de ce niveau :

• Objectif : Hygiène cybernétique experte
• Pratiques : Plus de 110 pratiques alignées avec NIST 800-171 et des exigences supplémentaires provenant d'un sous-ensemble de contrôles NIST SP 800-172
• Exigences d'évaluation : Des évaluations dirigées par le gouvernement sont requises tous les trois ans, avec des évaluations effectuées par des fonctionnaires du gouvernement
• Qui en a besoin ? Ce niveau est destiné aux organisations qui traitent les informations gouvernementales les plus sensibles et font partie des contrats les plus prioritaires du DoD.

Quel niveau CMMC ai-je besoin?

Suivre les étapes ci-dessous peut vous aider à déterminer le niveau de certification CMMC qui vous convient à court et à long terme.

1. Passez en revue les exigences de votre contrat

Examinez les contrats du DoD sur lesquels vous enchérissez ou auxquels vous participez actuellement. Toute sollicitation, demande d'informations (RFI) ou contrat doit spécifier le niveau CMMC requis.

Si le niveau CMMC n'est pas explicitement indiqué dans votre contrat, consultez votre agent contractuel ou votre équipe juridique pour clarifier les exigences de sécurité en fonction des informations traitées.

Si vous êtes sous-traitant, communiquez avec vos contractants principaux pour comprendre les exigences CMMC applicables découlant du contrat principal. Les contractants principaux doivent pouvoir fournir des conseils sur le niveau CMMC requis pour leurs sous-traitants.

2. Identifiez le type d'informations que vous traitez

Le type d'informations que vous traitez peut aider à déterminer le niveau de certification dont vous avez besoin. Voici une règle générale :

• Si vous traitez des FCI : La plupart des organisations qui ne traitent que des FCI auront besoin de la certification de niveau 1. Ce niveau couvre les pratiques de cybersécurité de base pour protéger les informations gouvernementales.
• Si vous traitez des CUI : Si votre organisation traite des CUI, vous aurez probablement besoin d'un niveau de certification plus élevé, généralement de niveau 2 ou supérieur. Ces niveaux incluent des contrôles de sécurité plus stricts conçus pour protéger les informations sensibles. Cependant, si vous êtes un sous-traitant et que votre contractant principal traite des CUI mais ne transmet que certaines informations, un niveau CMMC inférieur peut s'appliquer à vous en tant que sous-traitant.

3. Évaluez votre rôle dans la chaîne d'approvisionnement du DoD

Ensuite, considérez votre rôle dans la chaîne d'approvisionnement du DoD.

Si vous êtes un contractant principal travaillant directement avec le DoD, par exemple, vous pouvez être tenu d'atteindre un niveau CMMC plus élevé en fonction du type de contrats que vous gérez par rapport à un sous-traitant.

Le caractère critique des données que vous traitez pour la sécurité nationale peut également affecter votre niveau de certification ou vos exigences d'évaluation.

Comme mentionné ci-dessus, si vous traitez des CUI, vous êtes probablement de niveau 2 ou 3. Le niveau exact et/ou les exigences d'évaluation varient en fonction de la sensibilité des données. Par exemple, si votre organisation gère des CUI critiques pour la sécurité nationale, vous êtes de niveau 2 et devez passer une évaluation par un tiers de niveau supérieur (C3PAOs) tous les trois ans. Si votre organisation gère des CUI qui ne sont pas critiques pour la sécurité nationale, vous êtes également de niveau 2 mais pouvez effectuer une auto-évaluation annuelle au lieu d'une évaluation par un tiers.

Le niveau 3 est réservé aux programmes de défense les plus prioritaires et les plus critiques. Si votre organisation joue un rôle crucial dans la sécurité nationale et traite des informations hautement sensibles, vous pourriez appartenir à ce niveau et devez passer des évaluations dirigées par le gouvernement tous les trois ans.

4. Considérez vos objectifs à long terme

Lors de la décision sur un niveau CMMC, essayez de penser au-delà de vos besoins immédiats. Si votre organisation prévoit de croître, de prendre en charge des projets plus sensibles ou d'étendre ses contrats avec le DoD, viser un niveau CMMC plus élevé pourrait être une démarche stratégique pour anticiper l'avenir de votre entreprise.

Par exemple, même si vos contrats actuels ne nécessitent que le niveau 1 CMMC, poursuivre la certification de niveau 2 non critique pourrait positionner votre organisation à gérer des contrats plus complexes et lucratifs à l'avenir impliquant des CUI.

5. Consultez un expert CMMC

Terminer les étapes ci-dessus peut être difficile, surtout si votre organisation est nouvelle dans le CMMC ou si vous traitez un mélange de FCI et de CUI.

Si vous n'êtes pas sûr du niveau requis, consulter un consultant CMMC ou un expert en cybersécurité peut être inestimable. Ces experts peuvent évaluer vos opérations, le type d'informations que vous traitez et les mesures de sécurité que vous avez actuellement en place, et vous fournir des conseils sur le niveau de certification approprié.

Les gestionnaires de conformité de Secureframe, par exemple, ont une expérience en évaluation et préparation CMMC, FedRAMP et FISMA, et peuvent vous aider à naviguer dans vos exigences de conformité CMMC et vos efforts de préparation.

Vous pouvez également vous référer au site web du CMMC Accreditation Body (CMMC-AB) et à la page CMMC du Département de la Défense pour des conseils officiels et des ressources sur les exigences et niveaux du CMMC.