À mesure que le programme CMMC évoluera en 2026, suite à la finalisation de la réglementation et à la définition des échéances de certification requises, Cyber ​​AB Il s'agit de concilier la nécessité de rationaliser l'adoption des solutions par les différents prestataires tout en maintenant une rigueur absolue en matière de conformité et d'audits. C'est là que les dérogations interviennent. 

Désormais, au sein de la DIB, les dirigeants doivent déterminer si ces dérogations sont légitimes d'un point de vue stratégique ou si elles sont si spécifiques et peu fiables qu'ils ne s'attendent pas à en obtenir une. Comprendre cet équilibre est essentiel pour les organisations qui façonnent leur conformité et leur croissance à long terme.

Qu'est-ce qu'une dérogation CMMC ?

Une dérogation CMMC est une décision officielle prise par la direction des acquisitions du ministère de la Défense (DoD) visant à dispenser d'une évaluation CMMC formelle pour un marché public spécifique ou une catégorie de marchés publics. Note de service du DoD sur la mise en œuvre en 2025 autorise les responsables des acquisitions de services et de composants à accorder ces dérogations après avoir suivi les procédures établies.

Cependant, la dérogation ne concerne que l'obligation d'évaluation et non les mesures de cybersécurité elles-mêmes. Les entreprises doivent toujours se conformer aux réglementations applicables, telles que : LOIN 52.204-21 et DFARS 252.204-7012.

Cela peut paraître déroutant : satisfaire aux exigences de contrôle sans évaluation. Concrètement, une dérogation signifie :

• Vous n'aurez peut-être pas besoin d'obtenir de certification pour un contrat particulier.
• Vous devez néanmoins mettre en œuvre les pratiques de sécurité requises
• Le non-respect de ces pratiques peut tout de même avoir une incidence sur l'admissibilité

Cette distinction est essentielle pour comprendre l'objectif de cette politique. Les dérogations offrent une flexibilité en matière d'approvisionnement, et non un raccourci en matière de sécurité.

Pourquoi le concept de dérogation est important 

L'existence de dérogations indique que le ministère de la Défense reconnaît que l'innovation et les nouvelles capacités émergent parfois plus rapidement que les processus de conformité formels ne peuvent les intégrer. Les entreprises technologiques émergentes, les fournisseurs de niche et les prestataires non traditionnels opèrent souvent en dehors de l'écosystème de conformité classique, tout en proposant des services et des technologies essentiels à la mission.

En préservant la possibilité de déroger aux exigences de certification, le ministère de la Défense évite efficacement que les obligations en matière de cybersécurité ne limitent involontairement son agilité opérationnelle. Parallèlement, il ne renonce pas à son obligation de protéger les informations fédérales.

Les dérogations comme reflet d'une acquisition fondée sur les risques

Le CMMC est avant tout un programme de gestion des risques, et les dérogations illustrent comment cette philosophie s'étend aux décisions d'acquisition. Plutôt que d'appliquer un modèle de conformité rigide à tous les scénarios, le ministère de la Défense conserve la possibilité de pondérer les risques de cybersécurité au regard de l'urgence de la mission, de la participation de la base industrielle et de la dynamique concurrentielle.

Cette approche s'inscrit dans le cadre d'une évolution plus générale de la stratégie d'acquisition fédérale, où la tolérance au risque est de plus en plus contextuelle plutôt qu'uniforme. Par exemple, un programme visant à obtenir une capacité novatrice auprès d'un petit fournisseur innovant peut accepter le risque à court terme de renoncer à la certification tout en exigeant le respect des pratiques de sécurité fondamentales.

Cela étant dit, il semble que ces dérogations soient probablement plus rares qu'on ne le pense. Une dérogation ne dispense pas des obligations contractuelles en matière de cybersécurité et n'exonère pas une organisation de sa responsabilité liée à des contrôles insuffisants. Plus important encore, les forces du marché au sein de la DIB évoluent rapidement vers une exigence minimale de maturité démontrée. 

Dans ce contexte, miser sur une dérogation dans le cadre d'une stratégie commerciale est probablement un pari risqué qui ne vaut pas la peine d'être tenté. 

Ce que les dérogations révèlent sur l'avenir de la conformité

Vu sous un angle plus large, le cadre de dérogation offre un aperçu de la trajectoire future du CMMC et de la surveillance fédérale de la cybersécurité en général.

• Cela renforce l'idée que la conformité continuera d'évoluer vers un modèle contextuel à plusieurs niveaux. Tous les contrats ne comportent pas le même niveau de risque, et le ministère de la Défense signale sa volonté d'adapter les exigences en conséquence.
• Elle souligne l'importance croissante de la gestion continue des risquesPlutôt que de considérer la certification comme un simple point de contrôle, les responsables des acquisitions sont désormais habilités à prendre des décisions en fonction des besoins de la mission, des environnements de menaces et des capacités des fournisseurs.
• Cela laisse entendre que la flexibilité restera un élément de l'écosystème de la conformité… mais toujours dans des limites strictement contrôlées. L’objectif n’est pas d’abaisser les normes, mais de veiller à ce qu’elles restent opérationnellement réalisables.

Ce à quoi les dirigeants devraient penser maintenant

Plutôt que de considérer les dérogations comme un plan de secours, les dirigeants devraient profiter de cette occasion pour tester leur capacité de préparation, leur gouvernance et leur positionnement à long terme sur le marché de la défense. Les actions suivantes peuvent contribuer à traduire la prise de conscience politique en mesures concrètes.

• Élaborez un plan de contingence qui ne dépende pas des dérogations : Il est prévu que la certification soit requise, et il convient d'adapter les échéanciers, les budgets et les ressources en conséquence. Les dérogations doivent être considérées comme une variable externe et non comme une hypothèse de planification.
• Validez vos hypothèses d'exposition des données : Procédez à un nouvel examen de la présence réelle des FCI et CUI dans votre environnement. De nombreuses organisations constatent des dérives de périmètre qui modifient leur niveau CMMC requis et leurs priorités d'investissement.
• Aligner les investissements en cybersécurité sur la stratégie d'entreprise : Assurez-vous que votre feuille de route pour CMMC, NISTSP 800-171, 800-172 Elle est directement liée aux objectifs de croissance, tels que l'entrée dans de nouveaux programmes, le soutien aux principaux acteurs ou l'expansion vers des projets plus sensibles. La maturité en matière de sécurité doit générer des revenus et non constituer un effort de conformité cloisonné.
• Mettez à l'épreuve votre capacité à faire preuve d'assurance : Au-delà de la mise en place de contrôles, évaluez votre capacité à fournir rapidement des preuves (politiques, journaux, procédures de sécurité) à vos clients ou partenaires. Même en cas de dérogation, votre aptitude à démontrer votre maturité de manière informelle peut influencer les décisions d'attribution.
• Engagez-vous rapidement auprès des principaux entrepreneurs : Si vous travaillez en tant que sous-traitant, engagez des discussions proactives avec les donneurs d'ordre concernant leurs attentes en matière de délais de certification et de niveau de risque acceptable. Les exigences relatives à la chaîne d'approvisionnement dépassent souvent les seuils réglementaires minimaux.
• Renforcer la gouvernance et le contrôle exécutif : Il est essentiel que les risques liés à la cybersécurité fassent l'objet d'un examen régulier au niveau de la direction ou du conseil d'administration, avec une responsabilité clairement définie quant aux progrès réalisés en matière de conformité. Cela témoigne de la maturité de l'organisation auprès des clients et partenaires gouvernementaux.
• Surveiller les signaux relatifs aux politiques et aux acquisitions : Suivez l'évolution des règles DFARS, les phases de déploiement du CMMC et les directives d'acquisition. Les changements dans les pratiques d'utilisation des dérogations ou les exigences d'évaluation peuvent fournir des indications précoces sur les tendances du marché.

Affrontez CMMC de front avec Lazarus Alliance

Les dérogations CMMC occupent une place restreinte mais significative dans le paysage plus vaste de la conformité. Ce sont des mécanismes conçus pour préserver la flexibilité opérationnelle sans compromettre les exigences de bonnes pratiques en matière de cybersécurité. Ce qui ne les rend pas pour autant simples à comprendre. Pour y voir plus clair, faites appel à Lazarus Alliance. 

Pour en savoir plus sur la manière dont Lazarus Alliance peut vous aider, contactez-nous.. 

• FedRAMP
• GovRAMP
• NIST800-53
• DFARS NIST 800-171
• CMMC
• SOC 1 et SOC 2
• ENS
• C5
• HIPAA, HITECH et utilisation judicieuse
• PCI DSS RoC et SAQ
• IRS 1075 et 4812
• CJIS
• LA DMF
• ISO 27001, ISO 27002, ISO 27005, ISO 27017, ISO 27018, ISO 27701, ISO 22301, ISO 17020, ISO 17021, ISO 17025, ISO 17065, ISO 9001 et ISO 90003
• Critères communs du NIAP – Laboratoires Lazarus Alliance
• Et des dizaines d'autres !