Les entreprises du secteur de la défense affichent une confiance CMMC plus élevée que jamais. Pourtant, les résultats de deux enquêtes mettent en évidence un problème plus discret mais décisif : la capacité à prouver concrètement cette conformité n’avance pas au même rythme. Autrement dit, l’assurance perçue progresse, alors que les preuves vérifiables accusent du retard.
Dans le même temps, la suspension de certaines évaluations tierces liée à CMMC Phase 2 a des effets indirects sur le marché : appels d’offres abandonnés, désistements et retraits, mais aussi inquiétudes persistantes autour des risques juridiques et de la fiabilité des attestations.
Un écart net entre assurance et preuves vérifiables
Une enquête menée auprès de 273 entrepreneurs de la base industrielle de défense dresse un portrait cohérent : la majorité déclare être prête et confiante. Dans les jours qui ont suivi la suspension par le Pentagone des évaluations tierces de CMMC 2.0 Phase 2, la quasi-totalité des répondants indique une confiance élevée quant au maintien de leur score SPRS (Supplier Performance Risk System) lors d’un examen.
Le contraste apparaît lorsqu’on cherche des éléments tangibles : seule une faible portion peut réellement s’appuyer sur un dossier à jour comprenant à la fois une soumission SPRS actuelle et l’utilisation d’une plateforme autorisée FedRAMP. Cette différence entre ce qu’on pense et ce qu’on peut démontrer structure une grande partie des inquiétudes.
La suspension tierce ne change pas l’obligation d’attester
Même si l’évaluation tierce suspendue ralentit le contrôle extérieur, les obligations d’attestation liées au cadre DFARS ne s’arrêtent pas. Les répondants indiquent donc un point de vigilance : la suspension du contrôle ne signifie pas absence de responsabilité.
Une majorité déclare ainsi être préoccupée par les risques de responsabilité au titre de la False Claims Act si un score communiqué s’avère inexact. Fait notable : une part très importante des entreprises affirme avoir déjà fait appel à une équipe juridique ou à des experts de conformité pour relire la situation.
Ce contexte explique pourquoi le sujet ne se limite pas à une question de procédure. Pour les organisations, la conformité n’est pas seulement une formalité : c’est aussi une question de preuve, de documentation et de cohérence entre les déclarations et les éléments disponibles.
Confusion sur les obligations : la Phase 1 continue
L’enquête souligne également une zone de flou. Près de la moitié des répondants ne sait pas avec certitude que les obligations d’auto-évaluation de la Phase 1 continuent pendant la période de suspension. Ce manque de compréhension a un effet en cascade : ceux qui se décrivent comme très confiants ne se révèlent pas meilleurs au test factuel que ceux qui déclarent une confiance plus modérée.
Autrement dit, la confiance CMMC ne suffit pas. Elle doit être adossée à une compréhension précise des exigences en vigueur et à une capacité réelle à produire les informations attendues.
Le marché réagit : appels d’offres abandonnés et contrats manqués
Lorsque la barre se trouve ajustée, les comportements changent rapidement. Dans cette même enquête, plus de la moitié des répondants indiquent qu’ils soumissionnent désormais à des travaux qu’ils évitaient auparavant, en lien avec des exigences CMMC Level 2. À l’inverse, d’autres retirent des candidatures : certains se désengagent d’offres mentionnant CMMC, et une proportion non négligeable déclare avoir perdu ou été disqualifiée sur des contrats pour des raisons liées aux exigences.
Les sous-traitants de taille plus modeste semblent particulièrement exposés. Les résultats font apparaître davantage de pertes de candidatures parmi les acteurs de niveau inférieur par rapport aux entreprises principales. Cela suggère que les coûts et la complexité de la mise en conformité pèsent plus lourdement quand on n’a pas la même taille opérationnelle ou les mêmes ressources dédiées.
Deuxième enquête : la confiance progresse, mais la validation recule
Un second rapport, réalisé en mai 2026 auprès de 302 entrepreneurs et publié avant l’effet complet de la suspension, montre un autre aspect du décalage. Les scores SPRS moyens atteignent un niveau élevé sur plusieurs années, avec une hausse par rapport à l’année précédente. Le signal est positif en apparence : la conformité mesurée progresse.
Mais la perception de l’exactitude de ces scores se dégrade nettement. Les répondants déclarant être extrêmement ou très confiants diminuent fortement par rapport aux années précédentes. Et seulement un très petit nombre se considère totalement prêt à une certification CMMC, chiffre stable par rapport à l’année antérieure.
Ce phénomène renforce l’idée centrale : l’augmentation de la conformité perçue ou calculée ne se traduit pas nécessairement par une assurance solide quant à la fiabilité et à la vérifiabilité des éléments.
Budget DFARS et adoption de technologies de sécurité
Côté investissement, les budgets annuels moyens liés à la conformité DFARS augmentent. Une majorité décrit ce niveau comme adéquat, tandis qu’une part significative estime que le budget est même plus que suffisant. Ce point est important : il contredit l’idée que l’écart viendrait uniquement d’un manque de moyens financiers.
De plus, l’adoption de technologies de sécurité progresse. L’authentification multifacteur, la sauvegarde sécurisée et la protection contre les fuites de données figurent parmi les mesures les plus largement déployées. La gestion des vulnérabilités et la détection sur les terminaux suivent aussi, avec des niveaux d’adoption variables.
Pour autant, les enquêtes rappellent que le défi principal se situe dans la capacité à transformer ces pratiques en preuves documentées, cohérentes et auditables.
Ce que les entreprises demandent : vérification durable et exigences claires
Malgré la suspension des évaluations tierces, les entreprises souhaitent que la vérification indépendante reste un élément du processus. Une large majorité estime qu’une autorisation ou un contrôle tiers aura un rôle essentiel ou important dans la sélection future des fournisseurs.
De même, les répondants disent vouloir contribuer à la réflexion réglementaire : une forte proportion prévoit de répondre à un appel à informations, en anticipant un retour de la Phase 2 sous une forme modifiée.
Sur le fond, un grand nombre réclame des standards minimaux de cybersécurité applicables à tous les contractants fédéraux. L’idée sous-jacente est double : éviter les disparités et clarifier ce qui doit être prouvé, à quel moment, et selon quels critères.
En parallèle, les entreprises demandent aussi que la mise en œuvre soit plus simple, et qu’il existe davantage d’options de fournisseurs. Elles reconnaissent ainsi que l’objectif est à la fois de renforcer la sécurité et de réduire la friction opérationnelle.
“La distance entre confiance et preuves” : le cœur du problème
Les deux rapports convergent vers une formulation simple : le sujet n’est pas seulement la conformité, mais l’intervalle entre ce que les équipes pensent avoir atteint et ce qu’elles peuvent démontrer de manière indépendante et vérifiable.
Cette lecture est résumée par des responsables cités dans les enquêtes. L’un souligne précisément cet écart entre la confiance et la preuve. Un dirigeant d’une autre structure insiste aussi sur une réalité de terrain : la plupart des entreprises de la défense restent avant tout orientées vers la fabrication et l’ingénierie, avec des équipes cybersécurité pas toujours dimensionnées pour gérer à elles seules la preuve de conformité.
Dans ce contexte, les réformes éventuelles du cadre devraient viser une conformité plus accessible, sans renoncer à un niveau objectif de preuve : autrement dit, simplifier le chemin, mais conserver des exigences vérifiables.
Conclusion : plus de confiance, mais une exigence de documentation
La confiance CMMC progresse chez les contractants de la défense, et les signaux positifs sur les scores SPRS et l’adoption de technologies de sécurité existent. Cependant, les enquêtes révèlent un décalage constant : la preuve vérifiable et l’alignement entre attestations, soumissions et plateformes autorisées ne suivent pas forcément la même dynamique.
À court terme, les risques juridiques demeurent et la compréhension des obligations, notamment autour de la continuité de la Phase 1, reste un point sensible. À moyen terme, les entreprises demandent surtout une approche qui conserve la vérification indépendante, tout en rendant la mise en conformité plus praticable. C’est sur ce terrain que se jouera la crédibilité de la conformité — et donc la capacité du marché à soumissionner avec sérénité.
Source: https://www.securityweek.com/contractors-cmmc-confidence-rises-as-ability-to-prove-it-falls-behind/
