En vertu du CMMC, un responsable senior de l'entreprise doit attester l'évaluation, et une fausse attestation peut exposer cette personne et l'entreprise à une responsabilité au titre du False Claims Act (FCA), incluant des dommages triplés et des pénalités par réclamation. L'attestation n'est pas une formalité. C'est une déclaration signée, liée à l'éligibilité aux contrats fédéraux, selon laquelle l'organisation respecte les pratiques qu'elle déclare respecter. Cet article explique ce que le responsable attestant signe concrètement et comment rendre cette signature défendable.
Ce que signe le responsable attestant
Le CMMC exige qu'un responsable senior atteste, dans le Supplier Performance Risk System (SPRS), que l'organisation a mis en œuvre et maintient les pratiques requises. Cette attestation constitue une déclaration faite au gouvernement. Lorsqu'un contractant certifie sa conformité pour obtenir ou conserver un contrat, et que cette certification est fausse, la thèse du gouvernement est simple : il a payé pour une sécurité qu'il n'a pas reçue.
Pourquoi le False Claims Act s'applique
La Civil Cyber-Fraud Initiative du Département de Justice, lancée en 2021, applique le False Claims Act (31 U.S.C. 3729) aux fausses déclarations en matière de cybersécurité. Elle a déjà donné lieu à des règlements amiables, plusieurs déclenchés par des poursuites de lanceurs d'alerte qui tam déposées par des employés qui savaient que les contrôles n'étaient pas réellement en place. Le FCA permet des dommages triplés et des pénalités par réclamation, et autorise la mise en cause des personnes ayant sciemment provoqué la fausse déclaration, et pas seulement l'entreprise.
Ce qui déclenche réellement la responsabilité
La responsabilité porte sur la fausse déclaration intentionnelle, non sur des lacunes de bonne foi. Le risque se concentre en quelques points :
- Marquer une pratique comme respectée alors que les preuves ne l'étayent pas.
- Attester une conformité continue alors qu'un contrôle a discrètement cessé d'être appliqué.
- Traiter une exception durable ou un équipement OT legacy qui ne peut pas satisfaire une pratique comme s'il était pleinement conforme, au lieu de documenter l'écart et le contrôle compensatoire.
Le responsable attestant qui signe sans examiner les preuves sous-jacentes est la personne la plus exposée.
Comment rendre l'attestation défendable
N'attestez que ce que vous pouvez prouver. En pratique, cela signifie :
- Des preuves par contrôle. Chaque pratique attestée doit disposer d'une piste d'audit montrant qu'elle fonctionne comme déclaré. Des journaux inviolables des accès, authentifications et configurations font la différence entre une affirmation et un fait.
- Des exceptions honnêtes. Lorsqu'un équipement legacy ne peut pas satisfaire une pratique telle qu'elle est rédigée, documentez l'exception durable et le contrôle compensatoire. Consultez notre guide sur l'exception durable pour l'OT.
- Un examen avant la signature. Le responsable attestant doit consulter les preuves, pas seulement le résumé.
L'Access Gate de Trout est conçu pour produire exactement ce type de preuves : accès lié à l'identité et audit inviolable pour les équipements OT et legacy les plus difficiles à justifier. L'objectif n'est pas de vous aider à attester davantage ; c'est de s'assurer que tout ce que vous attestez est vrai.
Cet article est une information générale, non un conseil juridique. Consultez un avocat concernant votre exposition spécifique au False Claims Act.