Conformité CMMC quand le certificat est suspendu, mais pas l'obligation
Ils nous font confiance
Conformité CMMC : trois piliers, une seule équipe aux commandes.
Une seule équipe canadienne délimite les données, comble les écarts de contrôle et vous attribue un pointage honnête. La conformité d'un fournisseur de la défense commence par la clause que votre donneur d'ordres vous a transmise, pas par l'annonce d'un programme.
Combler les 110
Les contrôles NIST SP 800-171 Rev. 2 n'ont pas bougé en juillet. Seul l'audit qui les vérifiait a bougé : le travail reste le même, et c'est maintenant votre donneur d'ordres qui le demande.
Coter chaque famille
Quatorze familles de contrôles, cotées une à une, pour un dépôt dans le SPRS appuyé par un plan de sécurité du système et un plan de correction que vous pouvez remettre à l'agent responsable du contrat.
Prêt pour ce qui s'en vient
Les phases 2, 3 et 4 sont suspendues, donc aucun C3PAO ne peut vous évaluer au niveau 2 de la CMMC aujourd'hui. L'autoévaluation de la phase 1 et votre clause DFARS suivent leur cours, et une relance vous trouvera prêt.
Avec qui allez-vous travailler?
Vous travaillez avec la personne derrière la conception. Saeid Khanipour Ghobadi a fondé SMEnode et conçoit encore l'architecture que les clients achètent. Titulaire du CCIE Data Center et fort de plus de 15 ans en réseau d'entreprise, en centre de données, en infonuagique et en IA appliquée, il cadre chaque mandat et y reste jusqu'à la livraison. Engager SMEnode, c'est engager la personne qui conçoit, pas un diaporama de vente.
Conformité CMMC : de quoi avez-vous besoin?
Dites-nous qui vous êtes et sur quoi vous travaillez. Un spécialiste chevronné lit votre message avant de vous écrire : la première réponse est donc un vrai avis sur la portée, le risque et l'échéancier, en moins d'une heure, 24/7. Rien ici ne vous engage, et on vous dira franchement si on n'est pas le bon choix.
Votre demande
- Service
- Conformité CMMC
La suite
- Un spécialiste chevronné répond en moins d'une heure, 24/7. Jamais un représentant.
- On fixe un appel de 30 minutes pour écouter, esquisser des options et nommer les risques.
- Vous recevez un énoncé de travaux cadré en 3 jours ouvrables.
Appelez la ligne 24/7
+1 514-465-1584La conformité CMMC au Canada, concrètement.
Vous êtes un fournisseur canadien, et un donneur d'ordres américain vous a envoyé une clause. C'est cette clause qui vous lie, pas l'annonce d'un programme.
Tracez la frontière avant de compter les contrôles.
Un bon travail commence par une frontière tracée autour des données. Il s'agit de savoir lesquels de vos systèmes touchent aux CUI, c'est-à-dire aux renseignements non classifiés contrôlés, lesquels ne touchent qu'à l'information contractuelle fédérale (Federal Contract Information) et lesquels ne touchent à aucune des deux. La plupart des fournisseurs que nous rencontrons ont laissé des données contrôlées se répandre sur un réseau à usage général parce que personne n'avait tracé la ligne, et une enclave gérable devient alors un projet à l'échelle de l'entreprise. Délimitez bien l'enclave, et les 110 contrôles s'appliquent à une fraction de votre parc. Sautez cette étape, et ils s'appliquent à tout le parc.
Le pointage doit pouvoir se défendre.
Vient ensuite le pointage, et il doit être honnête. Votre dépôt dans le SPRS est une autoévaluation assortie d'un chiffre, appuyée par un plan de sécurité du système et un plan de correction pour tout ce qui reste ouvert. Un pointage gonflé est une fausse déclaration faite à un client gouvernemental, ce qui est un problème d'une tout autre catégorie qu'un pointage faible. Nous préférons vous remettre un 88 défendable, avec des corrections datées, qu'un 110 fictif.
Ce qui a changé au juste en juillet, clause par clause.
Ce qui a changé est plus étroit que ne le laissaient croire les manchettes. Le 2026-07-13, le département de la Défense des États-Unis (aujourd'hui le département de la Guerre) a suspendu la phase 2 : l'évaluation CMMC par un tiers n'est donc plus au programme, et l'exigence est retirée des contrats en cours par modification. L'autoévaluation de la phase 1, la déclaration dans le SPRS et la DFARS 252.204-7012 sont toutes restées. L'examen remet ses conclusions vers le 2026-09-13 et pourrait restructurer ou abolir le certificat, mais le département a dit clairement qu'il allège le fardeau des audits et non le socle. Quelle que soit l'issue, les 110 restent debout.
Le regard d'un conseiller chevronné sur vos TI?
Dites-nous ce que vous exploitez aujourd'hui et ce qui lâche sans cesse. Un spécialiste chevronné de SMEnode répond en moins d'une heure avec un premier avis sur la portée, le risque et l'échéancier. Aucun transfert aux ventes.
Demander une consultationComment se déroule notre préparation aux exigences NIST SP 800-171 et au niveau 2 de la CMMC.
Quatre étapes. L'étape 01, c'est lire votre contrat de sous-traitance. Pas les nouvelles. La clause que votre donneur d'ordres vous a transmise nomme une norme, un niveau et parfois une date, et elle survit aux annonces sur le programme parce qu'elle reste une condition de votre contrat jusqu'à ce que quelqu'un la modifie. Les fournisseurs qui ont tout arrêté en juillet sur la foi d'un titre sont ceux qui devront se démener quand leur donneur d'ordres demandera un pointage. Nous commençons par la paperasse qui vous lie.
Phases du mandat
Phases 01 à 04
Lire la clause
Quelles clauses DFARS figurent dans votre contrat de sous-traitance, si vous touchez aux CUI ou seulement à l'information contractuelle fédérale, quel niveau a été nommé et ce que votre donneur d'ordres a réellement demandé par écrit.
Tracer l'enclave
Une frontière défendable autour des systèmes qui traitent des données contrôlées, pour que les 110 contrôles s'appliquent à un environnement délimité plutôt qu'à tout votre réseau.
Coter et combler
Chacune des 14 familles évaluée, un plan de sécurité du système rédigé, un plan de correction pour ce qui reste ouvert et un pointage SPRS que nous pouvons défendre ligne par ligne.
Rester prêt
Une réévaluation trimestrielle à mesure que votre parc change, et une lecture de l'issue de la réforme quand elle tombera. Si l'évaluation par un tiers revient, vous êtes déjà prêt. Nous vous préparons, et nous ne vous évaluons jamais.
Des questions sur la conformité CMMC, des réponses directes.
Les réponses d'abord, y compris celle où nous vous disons que la certification qui vous intéresse est suspendue, mais pas l'obligation qui la sous-tend. C'est un spécialiste qui prend l'appel, pas un vendeur.
Où ce travail se rattache.
Ces disciplines partagent la même équipe chevronnée et arrivent souvent ensemble. Suivez le fil jusqu'à la prochaine.
- RegulatedCadre de cybersécurité du NISTLe cadre de cybersécurité du NIST pour les organisations canadiennes, en commençant par la Fonction que le CSF 2.0 a placée au centre.
- RegulatedSoutien à la certification ISO/CEI 27001ISO/CEI 27001 au Canada : domaine d'application, analyse d'écarts, SMSI, déclaration d'applicabilité des 93 mesures, audit interne et soutien aux audits.
- RegulatedContinuité des activités ISO 22301Continuité des activités ISO 22301 pour les organisations canadiennes, bâtie pour que l'analyse d'impact sur les activités et l'infrastructure concordent.
