La date limite, c'était hier. Le 10 novembre 2026, les exigences de la phase II du CMMC devaient entrer en vigueur, et les petits contractants de la défense traitant des informations non classifiées contrôlées auraient eu besoin d'une certification par un tiers pour rester éligibles à l'attribution de nouveaux marchés. Au lieu de cela, l'exigence est gelée. Le Département de la Guerre a suspendu la phase II dès le 13 juillet 2026, après que la Small Business Administration a estimé qu'une certification complète par un tiers pouvait coûter à une petite entreprise environ 593 800 $, contre environ 388 600 $ pour les entreprises éligibles à la voie de l'auto-évaluation.
Si vous détenez des contrats de défense ou que vous sous-traitez sur ceux-ci, ce n'est pas un ordre de repli. C'est un événement de rebudgétisation. Les frais d'évaluation que vous redoutiez sont reportés, mais chaque obligation de sécurité sous-jacente reste exécutoire, et l'argent que vous avez déjà dépensé doit toujours atterrir sur les bons comptes. Cet article explique ce qui a réellement été suspendu, pourquoi le Pentagone a mis en pause, et comment gérer votre budget de conformité pour que la pause vous fasse économiser de l'argent au lieu de désorganiser vos livres.
Ce qui a été suspendu, et ce qui ne l'a pas été
La suspension vise un mécanisme précis : l'exigence d'évaluation obligatoire par un tiers au titre de la phase II. Les contractants traitant des CUI auraient eu besoin d'une certification délivrée par un organisme d'évaluation tiers certifié, appelé C3PAO, pour rester éligibles aux contrats couverts. Ce verrou de certification est désormais en pause dans l'attente d'un examen complet du programme, et aucune nouvelle date n'a été fixée.
Tout le reste a continué de fonctionner. Les exigences d'auto-évaluation de la phase 1 restent pleinement en vigueur, ce qui signifie que vous évaluez toujours vos propres systèmes au regard de la NIST SP 800-171 Révision 2 et soumettez vos scores via le Supplier Performance Risk System. La clause DFARS 252.204-7012, l'obligation contractuelle sous-jacente de protéger les informations de défense couvertes, est inchangée et non affectée. Si vos contrats comportent cette clause, votre devoir de protéger les informations n'a jamais vacillé.
Voyez les choses ainsi : le gouvernement a suspendu l'audit externe, pas les devoirs. Votre Plan de sécurité des systèmes, vos Plans d'action et jalons pour les lacunes que vous n'avez pas comblées, votre préparation à la réponse aux incidents et votre score SPRS actuel comptent toujours. Un responsable de l'attribution des marchés peut toujours vous les demander, et un contractant principal qui vous transmet des exigences peut toujours exiger des preuves. Les entreprises qui traitent la suspension comme des vacances seront celles qui s'agiteront le plus fort quand le nouveau calendrier arrivera.
Pourquoi le Pentagone a mis en pause
Trois facteurs ont motivé la décision, d'après les déclarations publiques du département lui-même et les reportages du secteur.
Premièrement, le poids des coûts. L'analyse de la SBA a évalué les coûts totaux de conformité à environ 593 800 $ par certification pour les petites entreprises nécessitant une évaluation par un tiers. Ce chiffre regroupe la remédiation, la documentation, l'outillage et les frais d'évaluation, et pour les entreprises opérant sur les marges du secteur de la défense, il aurait suffi à pousser certaines hors de la Base industrielle de défense tout entière. Les estimations plus restreintes du département racontent la même histoire à plus petite échelle : environ 105 000 $ sur le cycle de certification de trois ans pour une évaluation C3PAO de niveau 2 pour petite entité, et cela couvre l'évaluation seule, pas le travail de sécurité qui la sous-tend. L'auto-évaluation de niveau 1 coûte environ 6 000 $ par an, tandis qu'une voie d'auto-évaluation de niveau 2 totalise environ 37 000 $ sur trois ans. Avec plus de 100 000 petites entreprises concernées, la facture globale ressemblait à une barrière à l'entrée pour exactement les fournisseurs que le Pentagone dit vouloir.
Deuxièmement, la capacité des évaluateurs. Le nombre de C3PAO accrédités n'était pas suffisant pour traiter le volume de contractants ayant besoin d'une certification avant l'échéance de novembre. Une date de conformité contraignante assortie d'un trop petit nombre d'évaluateurs créait un goulot d'étranglement structurel que le département ne pouvait pas résoudre dans le calendrier existant. Même les contractants disposés à payer ne pouvaient pas être sûrs d'être évalués à temps.
Troisièmement, l'alignement des politiques. La direction des acquisitions du département a priorisé la rapidité vers la capacité et la réduction des barrières à l'entrée pour les petits contractants et les contractants non traditionnels. Un cycle de certification pluriannuel et coûteux a été jugé incompatible avec cette directive, de sorte que la suspension est arrivée en même temps qu'un examen complet mené par une CMMC Reform Task Force nouvellement créée. Le message public était que la cybersécurité elle-même n'est pas réduite, seulement la paperasse autour de sa preuve.
Aucune de ces raisons ne suggère que l'exigence disparaît. La pression sur les coûts plaide pour une voie moins chère, la pénurie d'évaluateurs plaide pour un calendrier plus long, et la réforme des acquisitions plaide pour des mécanismes plus simples. Chacun de ces résultats se termine toujours par une démonstration de conformité de votre part. Budgétez en conséquence.
Ce que cela signifie pour votre budget de conformité dès maintenant
Commencez par diviser votre budget de conformité en trois compartiments, car la suspension traite chacun différemment.
Le premier compartiment, ce sont les contrôles que vous devez déjà. Détection managée, rétention des journaux, authentification multifacteur, cadence de correctifs, tests de sauvegarde, formation à la sensibilisation à la sécurité, et la documentation prouvant tout cela : rien de tout cela n'a été suspendu. La DFARS 252.204-7012 l'exige toujours, l'auto-évaluation de la phase 1 le note toujours, et votre score SPRS l'affiche toujours. Maintenez le financement de ce compartiment à pleine puissance. Des coupes ici ne font pas économiser d'argent ; elles fabriquent des constats pour l'évaluation à venir et affaiblissent votre position dans chaque appel d'offres qui interroge votre posture de sécurité.
Le deuxième compartiment, c'est les frais de certification reportés. Si vous aviez un acompte d'évaluation C3PAO programmé ou une évaluation de préparation cadrée pour l'automne, cette dépense se déplace, elle ne disparaît pas. Ne la réabsorbez pas dans les fonds généraux en espérant que la date reprogrammée apportera son propre budget. Mettez-la de côté de manière visible comme un montant réservé, pour que l'évaluation future n'arrive pas comme une surprise. Si vous avez déjà versé un acompte, ce paiement est un actif prépayé, pas une charge, et vos livres doivent le refléter jusqu'à ce que l'évaluation ait réellement lieu.
Le troisième compartiment, c'est l'hygiène des preuves qui se cumule dans tous les cas. La remédiation des lacunes au regard de la NIST SP 800-171, la tenue des POA&M, les routines de collecte de preuves et le suivi de la répercussion vers les sous-traitants deviennent tous moins chers plus tôt vous les construisez, et plus chers plus longtemps vous les reportez. C'est l'endroit au meilleur rendement pour rediriger tout argent d'évaluation libéré. Un contractant doté de preuves propres peut agir vite quand le nouveau calendrier apparaît ; un contractant doté d'un Plan de sécurité des systèmes périmé paie des tarifs d'urgence pour le même travail.
Un autre fait budgétaire en votre faveur : les coûts de conformité sont généralement considérés comme admissibles sur les contrats de défense. Le département a déclaré que les coûts de conformité à la DFARS 252.204-7012 sont probablement admissibles et imputables aux pools de coûts indirects, et les coûts de certification ont été décrits comme un coût admissible et remboursable. Admissible ne signifie pas automatique, et ne signifie pas rentable, mais cela signifie qu'un suivi rigoureux transforme les dépenses de conformité d'un simple frais généraux en un coût contractuel documenté. Cela ne fonctionne que si vos livres peuvent montrer exactement ce que vous avez dépensé, pour quelle exigence et quand.
Comptabilisez correctement la pause : gardez l'argent de l'évaluation visible
L'erreur comptable que la suspension invite, c'est de brouiller ces compartiments. Un acompte versé pour une évaluation désormais reportée est passé en charge comme si l'évaluation avait eu lieu. Les abonnements d'outillage sont imputés à l'informatique générique au lieu de l'effort de conformité qu'ils soutiennent. Les factures des prestataires de remédiation s'empilent dans un seul compte sans lien avec les familles de contrôles concernées. Six mois plus tard, personne ne peut reconstituer ce que le programme a coûté ni quels dollars appartiennent à un pool indirect.
Corrigez cela avec des comptes séparés dès le départ : les frais d'évaluation, l'outillage de sécurité et la main-d'œuvre de remédiation ont chacun leur propre compte de charges, et tout paiement pour un travail pas encore réalisé reste dans un actif prépayé jusqu'à la livraison. Voici le schéma pour un petit contractant qui a versé un acompte de préparation en juin, maintenu son outillage de détection pendant la suspension et provisionné un sprint de remédiation de juillet sur deux familles de contrôles NIST :
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "Acompte de préparation avant l'échéance de la phase 2 de novembre"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "Détection managée et rétention des journaux de juillet"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contractor" "Sprint de remédiation NIST 800-171, familles contrôle d'accès et protection des systèmes"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contractor" "Paiement de la facture de remédiation de juillet"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USDRemarquez ce que la suspension change dans ce grand livre : rien concernant l'outillage ni la remédiation, qui étaient toujours requis, et rien concernant l'acompte, qui reste exactement où il est. Les 15 000 $ restent un actif prépayé parce que l'évaluation qu'ils paient est reportée, pas annulée. Le passer en charge maintenant surévaluerait le coût de conformité de cette année, puis sous-évaluerait le coût de l'année d'évaluation quand la facture arrivera contre un paiement déjà oublié. Si vous tenez vos livres en texte brut, les modèles de suivi des coûts dans la documentation s'étendent naturellement à une ventilation de conformité par exigence comme celle-ci.
Nommez l'exigence dans chaque libellé. Quand une évaluation future, une enquête de la DCAA ou votre propre processus de clôture demande à quoi correspondait une charge, le libellé est la réponse. « Sprint de remédiation, familles contrôle d'accès et protection des systèmes » résiste à l'examen ; « conseil » non.
Quatre erreurs qui transforment une pause en pénalité
La suspension est généreuse, mais elle punit quatre comportements précis.
Premièrement, le silence sur le SPRS. Votre score d'auto-évaluation reste votre posture de sécurité publique, et les contractants principaux le vérifient toujours avant d'attribuer des sous-contrats. Un score qui se dégrade parce que vous avez cessé de le mettre à jour fait plus mauvaise impression qu'un score modeste que vous maintenez activement. Gardez l'évaluation à jour et continuez à clôturer les POA&M selon le calendrier.
Deuxièmement, geler la remédiation en cours de route. Une journalisation à moitié migrée, un outil d'accès privilégié partiellement déployé, une documentation qui décrit l'ancienne architecture : les projets en pause se dégradent plus vite que les opérations en régime de croisière. Terminez le contrôle ou redéfinissez-le formellement ; ne le laissez pas à moitié construit jusqu'à ce que la nouvelle échéance force un redémarrage à des tarifs d'urgence.
Troisièmement, mélanger les coûts de conformité avec l'informatique générale. Le traitement de l'admissibilité ci-dessus dépend de l'identification. Si votre plateforme de détection, votre acompte d'évaluateur et les ordinateurs portables de votre bureau passent tous par un seul compte informatique, vous ne pouvez pas démontrer quels dollars soutenaient une exigence contractuelle. Des comptes séparés ne coûtent rien à tenir et font la différence entre un coût indirect documenté et une discussion.
Quatrièmement, laisser expirer la répercussion vers les sous-traitants. Si vous êtes un contractant principal, vos sous-traitants traitant des informations contractuelles fédérales ou des CUI héritent toujours d'obligations via vos contrats, indépendamment de la pause de la phase II. Si vous êtes un sous-traitant, les exigences de votre contractant principal n'ont pas été suspendues par une annonce au niveau du département. Revoyez les clauses de répercussion maintenant, pendant que personne n'audite, plutôt que de découvrir une lacune pendant l'exécution.
Ce qu'il faut surveiller ensuite
Trois signaux vous diront comment l'histoire se termine. Les recommandations de la Reform Task Force étaient attendues à l'automne 2026 et esquisseront les mécanismes de remplacement : réciprocité éventuelle avec d'autres référentiels, voies d'évaluation à plusieurs niveaux, ou un chemin de transition plus long pour les petites entreprises. Surveillez une nouvelle date d'entrée en vigueur de la phase II, qui réinitialisera chaque hypothèse de planification de cet article le jour de son annonce. Et surveillez votre propre boîte de réception côté contractants principaux, car les grands contractants imposent souvent leurs propres exigences de sécurité des fournisseurs plus vite que le département n'avance, suspension ou pas.
D'ici là, la posture gagnante est ennuyeuse : gardez votre maison de la phase 1 en ordre, gardez votre score SPRS honnête, gardez la remédiation financée, et gardez chaque dollar de conformité dans un compte qui nomme l'exigence qu'il a servie. Quand le nouveau calendrier arrivera, vous voulez que la seule surprise soit à quel point vous êtes déjà prêt. La dernière étape utile est la plus petite : ouvrez vos livres cette semaine et confirmez que l'argent de votre évaluation reportée se trouve dans un actif prépayé, et non enfoui dans un compte de charges où le budget de l'année prochaine ne le trouvera pas.
