Le Certificate of Networthiness (CoN) n’a pas disparu des exigences Army, mais sa place dans l’écosystème d’accréditation a radicalement changé. En 2026, le CoN fonctionne comme un input du cycle RMF, pas comme un livrable autonome. Les équipes qui continuent à monter un dossier CoN isolé perdent du temps et dupliquent des contrôles déjà couverts par le Risk Management Framework.
Nous observons sur les appels d’offres récents et les fiches de poste ISSO/RMF Specialist pour l’US Army G-2 une reformulation nette : la mission consiste à « guider les systèmes IT à travers l’intégralité du cycle de vie RMF pour obtenir et maintenir une Authority to Operate (ATO) », le CoN étant mentionné comme une exigence parmi d’autres dans cette chaîne. Le signal est clair pour les entreprises et les équipes conformité.
CoN absorbé dans le cycle RMF : ce que les fiches de poste Army révèlent
Les descriptions de postes publiées pour des missions Army en 2026 ne présentent plus le CoN comme un objectif distinct. Il apparaît dans une liste de livrables subordonnés à l’ATO continue. Le vocabulaire a basculé : on parle de continuous ATO et de surveillance permanente, pas de certification ponctuelle.
Ce glissement a une conséquence directe sur la formation des équipes. Un profil recruté pour piloter un dossier CoN doit désormais maîtriser l’ensemble du RMF, la matrice de traçabilité des contrôles, et les mécanismes de monitoring continu. Le CoN seul ne justifie plus un poste ni un budget projet dédié.
Pour une startup ou une entreprise tech qui vise un contrat fédéral, cela signifie que construire une compétence RMF/ATO est plus rentable en termes de carrière et de positionnement marché que de se spécialiser sur le CoN. Le retour sur investissement d’une formation RMF couvre plusieurs cadres d’accréditation, là où le CoN reste cantonné à un périmètre Army.
FedRAMP 20x et NIST AI RMF : les cadres qui redéfinissent la conformité en 2026
Le CoN ne peut plus être analysé sans tenir compte de l’évolution parallèle de FedRAMP. La version consolidée FedRAMP 20x, effective en 2026, restructure les règles pour les fournisseurs cloud. Les contrôles demandés recoupent largement ceux du RMF Army, ce qui crée une convergence de fait entre les deux cadres.
Côté intelligence artificielle, le NIST AI Risk Management Framework pousse la logique encore plus loin. Les systèmes qui embarquent des composants IA doivent désormais documenter des risques spécifiques (biais, explicabilité, robustesse) dans leur dossier de conformité. Un CoN classique ne couvre pas ces dimensions.
- Le RMF Army et FedRAMP 20x partagent une base commune de contrôles NIST SP 800-53, ce qui permet de mutualiser la documentation entre les deux cadres.
- Le NIST AI RMF ajoute des exigences propres aux systèmes autonomes et aux modèles d’apprentissage, absentes du périmètre CoN traditionnel.
- Les entreprises qui préparent un dossier ATO avec une couche AI RMF couvrent de facto la majorité des exigences CoN sans effort supplémentaire.
Nous recommandons aux équipes conformité de construire un dossier ATO modulaire intégrant les contrôles AI dès la conception, plutôt que d’empiler des certifications séparées.
Certificate of Networthiness : les cas où il reste pertinent
Affirmer que le CoN est obsolète serait une erreur. Il conserve une valeur opérationnelle dans des contextes précis. Lorsqu’un produit commercial sur étagère (COTS) doit être déployé rapidement sur un réseau Army sans passer par un cycle ATO complet, le CoN fournit un raccourci d’approbation réseau reconnu par le NETCOM.
Un éditeur de solutions de monitoring réseau comme Intermapper a par exemple obtenu l’approbation Army via un processus CoN pour un déploiement sur les réseaux du Department of Defense. Ce type de scénario, où le produit est mature, le périmètre limité et l’urgence opérationnelle réelle, reste le terrain naturel du CoN.
En revanche, pour tout système complexe, toute application développée sur mesure ou tout produit embarquant des composants cloud ou IA, le CoN seul ne suffit plus à démontrer la posture de sécurité. L’ATO avec monitoring continu est devenue la norme attendue.
Construire une stratégie de conformité Army en 2026 : guide pratique
L’US Army consulte activement l’industrie sur l’évolution de ses exigences. Un avis de « technical exchange » du programme CPE ST3 (Capability Program Executive Simulation, Training, Test and Threat) confirme que le cadre est en mouvement. Les entreprises qui attendent une version figée du référentiel avant d’investir prennent un risque de retard significatif.
La bonne approche consiste à aligner dès maintenant sa gestion des risques sur le RMF en intégrant les contrôles qui servent à la fois l’ATO et le CoN. Voici les points concrets à traiter :
- Cartographier ses contrôles existants sur le référentiel NIST SP 800-53 pour identifier les écarts avant de lancer un dossier formel.
- Intégrer un volet AI RMF si le système utilise des composants d’intelligence artificielle, même de façon marginale.
- Prévoir un mécanisme de monitoring continu (scan de vulnérabilités, revue des accès, alertes automatisées) pour satisfaire l’exigence de continuous ATO.
- Documenter la traçabilité des contrôles dans une matrice unique plutôt que dans des dossiers séparés CoN et ATO.
Cette stratégie a un avantage direct en termes de performance et de gestion budgétaire : un dossier unique réduit les doublons documentaires et accélère les cycles d’approbation. Pour une entreprise en ligne ou une startup digital qui vise le marché fédéral, la compétence RMF est devenue un levier de compétitivité, pas seulement une obligation réglementaire.
Le CoN n’a pas disparu des radars, mais il a changé de nature. Viser un CoN en 2026 sans l’intégrer dans une démarche RMF/ATO revient à préparer un examen partiel alors que le jury attend une soutenance complète. Les équipes qui l’ont compris construisent un dossier modulaire, réutilisable d’un cycle d’accréditation à l’autre, et positionnent leur entreprise sur la durée.
