Le respect des normes NIST est imposé contractuellement par l’inclusion de clauses telles que FAR 52.204-21 et DFARS 252.204-7012. Les exigences du CMMC se traduisent par une auto-évaluation du fournisseur ou une évaluation par un organisme tiers d’évaluation du CMMC (C3PAO), en vue de déterminer si la norme NIST applicable (telle qu’identifiée par la clause du DFARS) a été respectée. Dans le cadre du CMMC 2.0, une évaluation de niveau 2 sera réalisée par rapport à la norme NIST SP 800-171 et une évaluation de niveau 3 sera basée sur un sous-ensemble d’exigences de la norme NIST SP 800-172.