Beoordeel de volwassenheid van uw organisatie met CMMC Compliance

Key Takeaways

• CMMC 2.0 kent drie niveaus: Niveau 1 (Basis), Niveau 2 (Geavanceerd) en Niveau 3 (Expert), afhankelijk van of een aannemer omgaat met federale contractinformatie (FCI) of gecontroleerde niet-geclassificeerde informatie (CUI).
• De CMMC-programmaregel (32 CFR Deel 170) is op 16 december 2024 in werking getreden, en de DFARS-aanbestedingsregel die CMMC-clausules in contracten opneemt (48 CFR, DFARS Case 2019-D041) is op 10 november 2025 in werking getreden.
• CMMC wordt gefaseerd ingevoerd over een periode van drie jaar, dus het vereiste niveau van een contract hangt af van het moment waarop het wordt toegekend, en niet alleen van de inhoud ervan.
• Niveau 2 komt overeen met de 110 beveiligingsvereisten in NIST SP 800-171 Rev 2; afhankelijk van de betrokken CUI is een zelfbeoordeling of een beoordeling door een C3PAO-derde partij vereist.
• Een analyse van de verschillen ten opzichte van uw toepasselijke niveau, uitgevoerd voordat een contractbeheerder of beoordelaar erom vraagt, is de meest nuttige stap die een organisatie op dit moment kan nemen.

Gepubliceerd: september 2022. Bijgewerkt: augustus 2026. Beoordeeld door het Compliance Advisory-team van Encryption Consulting.

Als uw bedrijf op enigerlei wijze betrokken is bij een contract met het Ministerie van Defensie, direct of via een hoofdaannemer, is CMMC niet langer een toekomstige vereiste waar u rekening mee moet houden. Het is een actuele aanbestedingsregel. Deze handleiding legt uit wat CMMC 2.0 precies vereist, wanneer de regel van kracht is geworden, welke systemen onder de regel vallen en hoe u de nalevingslacunes binnen uw organisatie kunt beoordelen en dichten voordat dit u een contract kost.

Wat zijn de vereisten van CMMC 2.0?

Het Cybersecurity Maturity Model Certification (CMMC) is een programma van het Amerikaanse Ministerie van Defensie (Department of Defense, DoD) dat de cybersecuritypraktijken van een aannemer verifieert voordat deze een contract kan winnen of behouden dat betrekking heeft op gevoelige informatie. CMMC 2.0, de huidige versie van het programma, vereist dat organisaties in de defensie-industrie (Defense Industrial Base, DIB) een gedefinieerde reeks beveiligingsmaatregelen implementeren en, afhankelijk van hun niveau, aantonen dat ze deze hebben geïmplementeerd. Deze maatregelen zijn voornamelijk gebaseerd op NIST SP 800-171 (National Institute of Standards and Technology Special Publication 800-171).

Twee categorieën informatie vormen de basis voor deze behoefte:

• Federale contractinformatie (FCI)Informatie die door de overheid is verstrekt of voor de overheid is gegenereerd in het kader van een contract en die niet bestemd is voor openbare publicatie, activeert niveau 1.
• Gecontroleerde niet-geclassificeerde informatie (CUI)Informatie die de overheid creëert of bezit en die bescherming vereist op grond van wet- en regelgeving of overheidsbeleid, maar die niet geheim is, activeert niveau 2 of niveau 3.

In tegenstelling tot de versie uit 2020, heeft CMMC 2.0 de oorspronkelijke structuur met vijf niveaus teruggebracht tot drie. Niveau 2 is direct afgestemd op de bestaande NIST SP 800-171-controles waaraan aannemers al moesten voldoen onder DFARS 252.204-7012. Bovendien mochten de meeste aannemers op niveau 2 zelf een beoordeling uitvoeren in plaats van dat voor elk contract een beoordeling door een derde partij vereist was. Het doel, aldus het Amerikaanse ministerie van Defensie (DoD), was om de kosten en complexiteit voor kleine en middelgrote aannemers te verminderen, terwijl de beoordelingseisen voor programma's die de meest gevoelige CUI (Controlled Unclassified Information) verwerken, behouden bleven.

Wanneer is de definitieve CMMC 2.0-regelgeving van kracht geworden?

Er moesten twee afzonderlijke federale regels worden vastgesteld voordat CMMC in contracten kon worden toegepast, en de kloof daartussen is een veelvoorkomende bron van verwarring.

Regel	Wat het doet	gepubliceerd	Ingangsdatum
32 CFR Deel 170 (CMMC-programmaregel)	Hierin wordt het CMMC-programma zelf vastgelegd: de drie niveaus, de soorten beoordelingen en de scoringsmethodologie.	15 oktober 2024 (Federal Register)	December 16, 2024
48 CFR DFARS-regel, DFARS-zaak 2019-D041	Voegt de contractbepaling (DFARS 252.204-7021) toe die vereist dat inschrijvers het toepasselijke CMMC-niveau bezitten voordat het contract wordt gegund.	10 september 2025 (Federal Register)	November 10, 2025

10 november 2025 is de datum die er operationeel toe doet: DFARS 252.204-7021 verschijnt vanaf die datum in aanbestedingen en contracten. Het Ministerie van Defensie voert CMMC gefaseerd in over een periode van ongeveer drie jaar, in plaats van van elke aannemer te eisen dat deze vanaf dag één gecertificeerd is. Of uw specifieke contract vandaag CMMC vereist, hangt dus af van wanneer de aanbesteding plaatsvindt, en niet alleen van wat het contract omvat. Aanbestedingsfunctionarissen hebben de bevoegdheid om de vereiste eerder op te nemen dan in het faseschema staat aangegeven, dus een aannemer moet er niet van uitgaan dat een latere fasedatum meer tijd garandeert.

Welke systemen en aannemers vallen onder de CMMC-eisen?

CMMC is van toepassing op elk systeem, netwerk of cloudomgeving dat FCI of CUI verwerkt, opslaat of verzendt namens het Amerikaanse Ministerie van Defensie (DoD). In de praktijk betekent dit:

• Hoofdaannemers en onderaannemers op elk niveau die FCI of CUI uitvoeren, inclusief kleine bedrijven die slechts een klein deel van een groter programma uitvoeren.
• Clouddiensten en beheerde serviceproviders die namens een aannemer CUI hosten, moeten voldoen aan de FedRAMP Moderate-equivalentie of een betere norm.
• Enclaves en gesegmenteerde omgevingen die specifiek zijn ontworpen om de afhandeling van CUI te beperken tot een kleinere, beter te verdedigen grens in plaats van het hele bedrijfsnetwerk.
• Cryptografische infrastructuur ter bescherming van CUI in rust en tijdens transport, inclusief certificeringsinstanties, sleutelbeheersystemen en hardwarebeveiligingsmodules (HSM's), die gebruik moeten maken van gevalideerde, door het Amerikaanse Ministerie van Defensie goedgekeurde cryptografie.

Een veelgemaakte en kostbare fout is om CMMC standaard toe te passen op het gehele bedrijfsnetwerk. De meeste organisaties zijn beter af door CUI te isoleren in een aparte enclave met eigen toegangscontrole, encryptie en logging. Dit verkleint zowel de beoordelingsgrens als de doorlopende compliance-last.

Hoe beoordeel je het huidige volwassenheidsniveau van je organisatie?

Het vaststellen van uw volwassenheidsniveau begint met een gestructureerde analyse van de tekortkomingen, niet met een certificeringsaudit. Voordat u een C3PAO (CMMC Third-Party Assessment Organization) inschakelt of een niveau kiest, doorloop dan deze stappen voor het vaststellen van de verschillen:

1. Classificeer uw gegevens. Identificeer alle plaatsen waar FCI of CUI uw omgeving binnenkomt, zich erdoorheen beweegt of deze verlaat. Dit bepaalt of u niveau 1, niveau 2 of niveau 3 nodig hebt.
2. Vergelijk je score met die van NIST SP 800-171. Voer een zelfevaluatie per beheersmaatregel uit met behulp van de officiële 110-puntenscoremethodologie van het Amerikaanse Ministerie van Defensie (DoD) en noteer uw Supplier Performance Risk System (SPRS)-score eerlijk, inclusief eventuele tekortkomingen.
3. Bekijk uw systeembeveiligingsplan (SSP) en uw actieplan met mijlpalen (POA&M). Controleer of beide bestaan, actueel zijn en daadwerkelijk uw omgeving weerspiegelen, en niet een sjabloon dat nooit is bijgewerkt.
4. Controleer uw cryptografische beveiligingsmaatregelen in het bijzonder. Bevestig dat de versleuteling van CUI in rust en tijdens transport gebruikmaakt van gevalideerde modules en dat het beheer van sleutels en certificaten niet afhankelijk is van handmatige, ongedocumenteerde processen.
5. Bepaal je beoordelingstraject. Bepaal of uw contracten een zelfevaluatie of een evaluatie door een externe C3PAO vereisen, op basis van de gevoeligheid van de betrokken CUI en uw streefniveau.

Het resultaat van dit proces moet een lijst met gescoorde tekortkomingen zijn, geen oordeel van geslaagd of niet geslaagd. Elke niet-nageleefde controle wordt een input voor de onderstaande checklist voor herstelmaatregelen.

Wat is de CMMC-nalevingschecklist?

Zodra je de tekortkomingen in kaart hebt gebracht, kun je de herstelwerkzaamheden in deze volgorde uitvoeren. Elke stap bouwt voort op de vorige.

1. Bevestig je streefniveau. Kies niet standaard voor niveau 2 omdat dat veiliger klinkt; een te grote scope leidt tot budgetverspilling en een te kleine scope tot een onvoldoende resultaat bij een beoordeling.
2. Vergroot en verklein waar mogelijk de omvang van uw CUI-gebied. Verplaats de CUI-verwerking naar een aparte enclave in plaats van deze over het gehele bedrijfsnetwerk te verspreiden.
3. Dicht de hiaten in toegangscontrole en identiteitsbeheer. Multifactorauthenticatie, toegang met minimale privileges en sessielogging behoren steevast tot de meest genoemde bevindingen in praktijkonderzoeken.
4. Corrigeer cryptografische hiaten. Vervang ad-hoc sleutelopslag en zelfbeheerde certificaten door een beheerd PKI- en sleutelbeheerprogramma dat auditklaar bewijsmateriaal kan genereren.
5. Document alles. Werk uw SSP, POA&M en beleid bij zodat ze overeenkomen met wat beoordelaars daadwerkelijk zullen waarnemen, en niet met wat een jaar geleden de situatie was.
6. De doorstroming moet omlaag. Controleer of onderaannemers die namens u FCI of CUI uitvoeren, aan hetzelfde niveau voldoen; de CMMC-status van een hoofdaannemer is niet van toepassing op een onderaannemer die niet is beoordeeld.
7. Kies en plan uw beoordelingstraject. Boek tijdig een C3PAO-consult als een beoordeling door een derde partij vereist is; de beschikbaarheid van beoordelaars neemt toe naarmate de gefaseerde uitrol vordert.
8. Plan voor continue naleving. CMMC is geen eenmalige gebeurtenis. Jaarlijkse bevestigingen en periodieke herbeoordelingen betekenen dat de controles continu moeten standhouden, niet alleen op de dag van de beoordeling.

CMMC Niveau 1 versus Niveau 2 versus Niveau 3: Hoe verhouden ze zich tot elkaar?

Niveau	beschermt	Voorwaarden	Beoordelingstype	Typische contracten
Niveau 1 (Fundamenteel)	FCI	15 basisbeschermingsmaatregelen (FAR 52.204-21)	Jaarlijkse zelfevaluatie	De meeste standaardcontracten van het Ministerie van Defensie hebben alleen betrekking op FCI.
Niveau 2 (Geavanceerd)	IN	110 beveiligingsvereisten afgestemd op NIST SP 800-171 Rev 2	Zelfevaluatie of evaluatie door een derde partij (C3PAO), afhankelijk van het contract.	Contracten met betrekking tot CUI vormen het grootste deel van de DIB-toekenningen.
Niveau 3 (Expert)	CUI loopt het grootste risico.	Vereisten van niveau 2 plus een subset van verbeterde vereisten uit NIST SP 800-172	Beoordeling door de overheid, uitgevoerd door het Defense Industrial Base Cybersecurity Assessment Center (DIBCAC).	Programma's ter ondersteuning van de technologieën met de hoogste prioriteit van het Ministerie van Defensie.

De niveaus zijn cumulatief: een organisatie die gecertificeerd is op niveau 2 moet ook voldoen aan de praktijken van niveau 1 die relevant zijn voor de afhandeling van FCI's, en niveau 3 bouwt direct voort op niveau 2 in plaats van het te vervangen.

Updatelogboek: Wat is er veranderd in deze vernieuwing?

In dit bericht werd CMMC oorspronkelijk beschreven volgens het raamwerk van 2020, dat vijf certificeringsniveaus hanteerde en voor elk niveau een beoordeling door een derde partij vereiste. Dat raamwerk is inmiddels ingetrokken. Deze update van augustus 2026 weerspiegelt CMMC 2.0 zoals het er nu voor staat:

• Het model met vijf niveaus is vervangen door de huidige structuur met drie niveaus (Basis, Gevorderd, Expert).
• De bevestigde ingangsdata voor zowel de CMMC-programmaregel (32 CFR Deel 170) als de DFARS-aanbestedingsregel die deze in contracten afdwingt, zijn toegevoegd.
• Het beoordelingsmodel is gecorrigeerd: de meeste Level 2-contracten staan ​​zelfevaluatie toe, niet een verplichte beoordeling door een derde partij voor elke organisatie.
• In plaats van de algemene beschrijving van het raamwerk is een praktische checklist voor zelfevaluatie van de volwassenheid en een lijst met herstelmaatregelen toegevoegd.

Wat zijn de beperkingen van CMMC-conformiteit?

CMMC-certificering is een minimumnorm, geen garantie. Enkele beperkingen verdienen het om duidelijk vermeld te worden:

• Certificering bevestigt dat de vereiste controles aanwezig waren op het moment van de beoordeling. Het certificeert niet dat een organisatie immuun is voor inbreuken of dat elke controle effectief blijft bij systeemwijzigingen.
• Gefaseerde uitrol betekent dat twee aannemers met vergelijkbare contracten vandaag de dag met verschillende eisen te maken kunnen krijgen, afhankelijk van wanneer hun contract is aanbesteed.
• NIST publiceerde SP 800-171 Revisie 3 in 2024, maar de huidige CMMC-beoordelingsbasislijn gebruikt nog steeds Revisie 2. Aannemers moeten rekening houden met toekomstige regelgeving die de basislijn zou kunnen wijzigen en hun beheersmaatregelen daarop afstemmen.
• De capaciteit van C3PAO is beperkt in verhouding tot de omvang van de DIB, waardoor organisaties die wachten tot een contractdeadline hen dwingt tot de aanvraag, het risico lopen op lange wachtrijen voor de beoordeling.

Wat zou Encryption Consulting aanbevelen?

Begin met de analyse van de tekortkomingen, niet met het inplannen van de beoordeling. De meeste organisaties waarmee we spreken, onderschatten hoeveel van hun CMMC-tekortkomingen te wijten zijn aan cryptografie: onbeheerde encryptiesleutels, zelfondertekende of verlopen certificaten en geen consistente registratie van wat de vertrouwelijke gegevens tijdens transport of opslag beschermt. Dat is precies het soort bevinding dat een routinebeoordeling in een mislukte beoordeling verandert.

De compliance-adviesdiensten van Encryption Consulting helpen aannemers van het Amerikaanse Ministerie van Defensie (DoD) om de NIST SP 800-171- en CMMC-vereisten af ​​te stemmen op hun daadwerkelijke omgeving, cryptografische en sleutelbeheerlacunes te dichten en de documentatie te produceren die een C3PAO- of DIBCAC-auditor verwacht te zien. We beschikken zelf over ISO/IEC 27001:2022- en SOC 2-certificeringen en zijn gecertificeerd als een door minderheden beheerd bedrijf in Texas. Deze referenties zijn van belang bij de keuze van een partner die uw compliance-positie kan waarborgen. Voor de onderliggende certificaat- en sleutelbeheerarchitectuur, die volgens de meeste CMMC-analyses een zwak punt vormt, bieden onze PKI-as-a-Service- en HSM-as-a-Service -oplossingen aannemers een gevalideerde, auditklare basis in plaats van een lappendeken van handmatig beheerde sleutels en certificaten.

Voor een diepere technische relatie tussen CMMC en de cryptografische vereisten van het Amerikaanse Ministerie van Defensie (DoD), inclusief CNSA 2.0, raadpleegt u onze gerelateerde handleiding: CNSA 2.0 Compliance Guide for Defense Contractors en de DIB . Als uw CUI-omgeving zich uitstrekt over meerdere regio's of cloudproviders, beschrijft ons artikel over Data Sovereignty en Regional Compliance Challenges in PKIaaS hoe CMMC- en ITAR-verplichtingen samenhangen met de locatie waar uw gegevens en sleutels zich daadwerkelijk bevinden. Voor een gedetailleerdere definitie van de controlestructuur van CMMC 2.0, raadpleegt u ons artikel in het Educatiecentrum: CMMC 2.0 and Cryptography: What Defense Contractors Need to Know.

Conclusie

Veelgestelde vragen over CMMC-naleving

Is CMMC nu al verplicht, of wordt het nog gefaseerd ingevoerd? Beide. De regel die CMMC in contracten verplicht stelt, is van kracht sinds 10 november 2025, maar het Ministerie van Defensie voert de volledige handhaving gefaseerd in over een periode van ongeveer drie jaar. Of een specifiek contract het nu al vereist, hangt af van wanneer dat contract is aanbesteed. Controleer daarom elke aanbesteding afzonderlijk in plaats van alleen af ​​te gaan op de fasering.

Kan mijn organisatie zelf een CMMC-certificering behalen? Dat hangt af van uw niveau en de gevoeligheid van de betrokken vertrouwelijke informatie. Niveau 1 is altijd een zelfbeoordeling. Niveau 2 kan een zelfbeoordeling zijn of een beoordeling door een externe C3PAO-instantie, afhankelijk van de specifieke contractvereisten. Niveau 3 vereist altijd een door de overheid geleide beoordeling door DIBCAC.

Wat gebeurt er als mijn organisatie niet voldoet aan het vereiste CMMC-niveau? Dan komt u niet langer in aanmerking voor de toekenning of verlenging van contracten die de DFARS 252.204-7021-clausule bevatten op het niveau dat u vereist. Voor veel aannemers betekent dit dat ze niet langer in aanmerking komen voor een hele categorie opdrachten van het Ministerie van Defensie, en niet slechts voor één contract.

Is CMMC van toepassing op onderaannemers, of alleen op hoofdaannemers? Het is van toepassing op elke schakel in de keten die namens de overheid FCI of CUI afhandelt. Een onderaannemer die zich meerdere niveaus onder het Ministerie van Defensie bevindt, kan nog steeds verplicht zijn om het toepasselijke CMMC-niveau te behalen, en de certificering van een hoofdaannemer dekt geen onderaannemer die niet is beoordeeld.

Hoe lang duurt het om aan de CMMC-normen te voldoen? Er is geen vaste tijdslijn; het hangt af van de omvang van de tekortkoming en het vereiste niveau. Organisaties met reeds volwaardige NIST SP 800-171-programma's hebben de tekortkomingen binnen enkele maanden weggewerkt. Organisaties die helemaal opnieuw beginnen, met name organisaties met een onbeheerde cryptografische infrastructuur, hebben doorgaans zes tot twaalf maanden nodig om de tekortkomingen te verhelpen en een beoordeling in te plannen.

Referenties

• Amerikaans Ministerie van Defensie, Officiële programmasite van CMMC
• Federaal register, Certificeringsprogramma voor Cybersecurity Maturity Model (CMMC), 32 CFR Deel 170
• Federaal register, Aanvulling op de Defense Federal Acquisition Regulation: Beoordeling van de implementatie door aannemers van cyberbeveiligingsvereisten, DFARS-zaak 2019-D041
• Acquisition.gov, DFARS 252.204-7021, Naleving door aannemers van de vereisten voor het certificeringsniveau van het Cybersecurity Maturity Model
• NIST-onderzoek Speciale publicatie 800-171 Revisie 2, Bescherming van gecontroleerde niet-geclassificeerde informatie in niet-federale systemen en organisaties