Certification CMMC, évaluations de niveau 1 et de niveau 2 – Lazarus Alliance est un organisme C3PAO agréé.. Appeler +1 (888) 896-7580 dès aujourd'hui !

Calendrier d'audit CMMC niveau 2 : À quoi s'attendre avec Lazarus Alliance

Le Audit CMMC de niveau 2 Le niveau avancé/intermédiaire du modèle de certification de maturité en cybersécurité (CMMC) est conçu pour les organisations de la base industrielle de défense (DIB) qui gèrent Informations contrôlées non classifiées (CUI)— des données sensibles mais non classifiées dans les contrats du ministère de la Défense. L'objectif est de se protéger contre les cybermenaces courantes en s'alignant sur l'ensemble des 110 pratiques NIST SP 800-171 Rév. 2 (par exemple, l'authentification multifacteurs, la planification de la réponse aux incidents, la protection des médias).

Contrairement au niveau 1 (auto-évaluation), le niveau 2 requiert généralement une évaluation. certification par un tiers par une C3PAO comme Lazarus Alliance chaque 3 ans(la prise en charge affirmations annuellesLes auto-évaluations sont autorisées pour les contrats à faible risque, mais les audits par des tiers sont la norme pour la plupart. Plans d'action et jalons (PAJ) tolérer de légers écarts (doivent être refermés dans un délai raisonnable) 180 jours), autorisant temporairement des scores partiels.

Lazarus Alliance, en tant que certifié C3PAO, coordonne l'ensemble du processus en utilisant notre équipes Cybervisor™ (Forts d'une expérience de plusieurs milliers d'évaluations), ils déterminent vos besoins précis, réalisent des évaluations et délivrent une certification après avoir démontré votre maturité. Domaines 14 (par exemple, contrôle d'accès, évaluation des risques). Le calendrier global est le suivant : 3 – 6 mois De la préparation à la certification, selon les besoins. Les certifications sont valables pour 3 ansmais les affirmations annuelles auprès du SPRS sont obligatoires.

Aperçu des clés

• Exigences: Mise en œuvre complète des 110 contrôles NIST ; score de 100 % requis pour la certification (POA&M pour les problèmes mineurs).
• Type d'évaluation: Audit par un tiers (C3PAO) tous les 3 ans ; affirmations annuelles dans le Système de gestion des risques liés à la performance des fournisseurs (SPRS).
• Impact du déploiement du DoD: Début exécutoire 2025 (auto-évaluations pour certains) ; les audits par des tiers s'intensifient dans Octobre 2026 pour les contrats à risque plus élevé (phases 2 et 3 jusqu'en 2028). Le non-respect de cette obligation vous exclut des appels d'offres liés aux informations non classifiées contrôlées.
• Coût et expertise avec LazarusDe 20 000 $ à plus de 60 000 $ pour un audit complet (le prix varie selon l’étendue du projet ; les frais de préparation s’élèvent à environ 10 000 $ à 20 000 $). Leurs équipes Cybervisor™ garantissent une efficacité conforme aux exigences du ministère de la Défense.

Chronologie étape par étape : à quoi s’attendre

Voici le processus par étapes avec Lazarus Alliance. Les délais sont des estimations basées sur les directives CMMC et leur approche coordonnée.

Contexte de déploiement plus large du ministère de la Défense (concerne l'application de la loi de niveau 2)

• 2025 (Étape 1): Auto-évaluations pour certains niveaux 2 dans 5 à 15 % des demandes.
• 2026 (Étape 2): Audits par un tiers obligatoires pour les contrats CUI à risque plus élevé (couverture de 20 à 50 %).
• 2027+ (Phase 3)Universel pour tous les contrats de gestion des CUI.

Défis potentiels et conseils

• Pièges courants: Retards ou preuves incomplètes dans le cadre d'une procuration et d'une mesure administrative — Utilisation de Continuum GRC ITAM SaaS autorisé par FedRAMP A.ITAM, A.ITAMBot et modèles contribuer à prévenir cela.
• Amélioration des niveaux: Transition facile vers le niveau 3 (ajoute la norme NIST 800-172) si nécessaire.
• Appel: Fichier dans 14 jours du rapport (par exemple, pour les erreurs d'évaluation) ; Lazarus réévalue dans 21 jours via eMASS, conformément à la norme ISO/IEC 17020 – aucune représailles. Transmettre à Cyber ​​AB. 10 jours ouvrables si besoin.

Pour un calendrier personnalisé, contactez Lazarus Alliance au +1 (888) 896-7580 — ils offrent des consultations sans risque pour s’aligner sur le déploiement de 2025+ et sécuriser vos opportunités DoD.

Questions fréquemment posées

Questions, préoccupations, plaintes et appels

Le processus de résolution des litiges est révisé par la direction de Lazarus Alliance chaque année ou lorsque des modifications sont nécessaires.

Exigences administratives générales

1.  Les C3PAO autorisés et accrédités, tels que Lazarus Alliance, doivent disposer d'une procédure documentée pour recevoir, évaluer et statuer sur les appels conformément à ces exigences.ISO/IEC 17020:7.5.1)
2. Une description du processus interne de traitement des recours du C3PAO autorisé et accrédité doit être mise à la disposition de toute partie intéressée sur demande. (ISO/IEC 17020 7.5.2)
3. Le processus de traitement des recours doit comprendre au moins les éléments et méthodes suivants :
   1. Une description du processus du C3PAO autorisé ou accrédité pour recevoir, valider, enquêter sur l'appel et décider des mesures à prendre en réponse à celui-ci ;
   2. Processus permettant de garantir que les mesures appropriées d'un C3PAO autorisé ou accrédité sont prises en temps opportun. (ISO/IEC 17020 7.6.1)
   3. Le processus de suivi et d'enregistrement des appels par les C3PAO autorisés ou accrédités, y compris les mesures prises pour résoudre les appels, consiste à saisir les données d'appel dans le service de soutien à l'assurance de la mission d'entreprise CMMC (eMASS).
   4. Les C3PAO agréés et accrédités accuseront réception de l'appel et fourniront à l'appelant des rapports d'avancement et le résultat. (ISO/IEC 17020 7.6.3)
4. Les C3PAO autorisés et accrédités qui reçoivent l'appel seront responsables de recueillir et de vérifier toutes les informations nécessaires pour valider l'appel. (ISO/IEC 17020 7.6.2)
5. Tous les appels soumis par un OSC à un C3PAO autorisé ou accrédité doivent être examinés et approuvés par un évaluateur certifié ou un membre du personnel de contrôle de la qualité non impliqué dans les activités d'inspection originales en question.
6. Les réévaluations et décisions autorisées ou accréditées de la C3PAO concernant les appels soumis ne doivent pas donner lieu à des mesures discriminatoires à l'encontre de toute personne ou de tout OSC déposant l'appel. (ISO/IEC 17020 7.5.5)

Appel

1. À la réception d'un rapport d'évaluation final du C3PAO autorisé ou accrédité, un OSC a le droit de faire appel des résultats d'une décision de certification d'évaluation CMMC si l'OSC estime que son échec a été attribué à :

   1. Malversation

   2. Comportement contraire à l'éthique,

   3. Erreur de la part du C3PAO autorisé ou accrédité ou des évaluateurs qui ont effectué l'évaluation.

2. À la réception du rapport final d'évaluation du CMMC, un OSC dispose d'un délai de 14 jours calendaires pour déposer un appel demandant une décision supplémentaire sur la conformité aux pratiques ou aux processus que l'organisation conteste sur la base des critères décrits au point 5.1.

3. À la réception d'un appel de l'OSC, le C3PAO autorisé ou accrédité doit enregistrer l'appel dans CMMC eMASS et procéder à un examen des pratiques ou des processus en litige.

4. Dès réception d'un appel, le C3PAO autorisé ou accrédité procède à une réévaluation en coordination avec l'OSC. L'enquête du C3PAO peut comprendre un examen des preuves précédemment fournies par l'OSC, après leur analyse par ce dernier, et des consultations avec l'équipe d'évaluation initiale et le personnel de l'OSC, au besoin.

5. À la réception de l’appel, le C3PAO autorisé ou accrédité disposera de 21 jours calendaires pour procéder à la réévaluation des pratiques et processus contestés et fournir sa décision d’arbitrage à la CVMO. Simultanément, le C3PAO autorisé ou accrédité devra télécharger les informations suivantes sur CMMC eMASS :

   1. Toute modification apportée à son rapport d’évaluation initial sur la base des conclusions de sa réévaluation

   2. Nom du chef d'équipe chargé de la réévaluation à l'appui de l'appel

   3. L'issue de l'appel

   4. L'autorité d'approbation de la C3PAO pour la réévaluation et l'issue de l'appel

6. Si la CVMO conteste ou s'oppose à la décision de la C3PAO concernant son appel d'évaluation, elle peut saisir la Cour d'appel de la cybersécurité. La CVMO doit saisir la Cour d'appel de la cybersécurité dans les dix (10) jours ouvrables suivant la réception de la décision écrite de la C3PAO concernant son appel d'évaluation.
   
   Tous les appels rendus par le Comité d'éthique et de conformité de The Cyber ​​AB sont définitifs.

Formulaire de questions, de préoccupations, de plaintes et d'appels

Nom de l'entreprise *

Nom complet *

Prénom

Nom

Adresse Email *

Email

Confirmez votre adresse de courriel

Numéro de téléphone *

Numéro Nom Email

Type de demande *--- Sélectionnez votre choix ---Questionne toiPROBLÈMES DE PEAUPlainteAppelSuggestion

DÉTAILS *

SOUSCRIVEZ