Klanten voorbereiden op een onaangekondigde compliance-audit (HIPAA, CMMC, SOC 2)

Om klanten voor te bereiden op een onaangekondigde compliance-audit, moeten MSP’s devices taggen op basis van de scope van het kader, de status van patches, antivirus en versleuteling valideren, beleidsbaselines afdwingen, de bewaartermijn van logboeken bevestigen, toegang beoordelen en back-upbewijs paraat houden. Deze zes taken ondersteunen de auditvoorbereiding in HIPAA-, SOC 2- en CMMC-omgevingen. Koppel de resultaten aan de eisen die voor elke klant gelden en bewaar het onderliggende bewijs.

Onaangekondigde audits komen veel voor in gereguleerde sectoren, omdat ze hiaten in documentatie, inconsistent beleid en beveiligingszwaktes blootleggen die geplande beoordelingen kunnen missen. Managed service providers (MSP’s) doen er goed aan audit readiness het hele jaar door in hun dagelijkse werkzaamheden te verankeren, zeker wanneer zij HIPAA-, SOC 2- en CMMC-compliance ondersteunen.

MSP’s die defensieleveranciers ondersteunen die werken met CUI (Controlled Unclassified Information) moeten elke taak bovendien koppelen aan de relevante NIST 800-171-controls.

Dit artikel loopt elke taak langs, inclusief de commando’s en stappen in het portaal die u uitvoert en het bewijs dat u bewaart.

Liever video? Bekijk Klanten voorbereiden op een onaangekondigde compliance-audit (HIPAA, CMMC, SOC 2) voor meer informatie.

Weinig tijd? Zo blijven MSP’s klaar voor een CMMC-audit

De voorbereiding op audits zoals HIPAA, SOC 2 en CMMC vraagt meer dan handmatige processen. MSP’s hebben tools nodig die compliancecontroles automatiseren en continu inzicht geven in alle klantomgevingen.

NinjaOne RMM combineert Endpoint management, automatisering en rapportage in één platform. Daarmee kunnen MSP’s devices binnen de scope taggen, compliancecontroles met scripts uitvoeren en rapporten genereren, zodat het auditbewijs in alle klantomgevingen actueel blijft.

Checklist audit readiness voor MSP’s

Gebruik deze checklist om snel de audit readiness in HIPAA-, SOC 2- en CMMC-omgevingen te verifiëren.

Klik op een taak om door te springen	Doel
Taak 1: inventariseer devices per compliance-scope	Endpoints classificeren onder HIPAA, CMMC of SOC 2 voor gerichte controles
Taak 2: valideer de status van patches, AV en versleuteling	Bevestigen dat systemen gepatcht, beschermd en versleuteld zijn
Taak 3: dwing beleidsbaselines af	Consistent beveiligingsbeleid op alle devices toepassen
Taak 4: valideer logboeken, bewaartermijnen en monitoringbeleid	Zorgen dat logboeken worden gegenereerd, bewaard en gecontroleerd
Taak 5: verifieer toegangscontrole en het volgen van gebruikers	Accounts, rechten en remote access bijhouden
Taak 6: documenteer bewijs van back-up en herstel	Bewijs van geslaagde back-ups tonen voor de audit

Compliance-eisen in 2026: wat geldt vandaag

Status van CMMC

Sinds oktober 2026 is CMMC Fase 1 van kracht. Contracten waarbij CUI (Controlled Unclassified Information) betrokken is, kunnen daardoor een zelfbeoordeling op Level 2 vereisen. Het Department of War heeft de overgang naar Fase 2, met verplichte certificering op Level 2 door een derde partij, op 13 juli 2026 opgeschort en er loopt een programmabeoordeling. DFARS 252.204-7012 en NIST SP 800-171 Rev 2 blijven van toepassing, dus de zes taken in deze checklist blijven nuttige endpointcontroles binnen een breder complianceprogramma.

Wat CMMC betekent voor MSP’s

De CMMC-regel duidt MSP’s aan als external service providers (ESP’s). Een ESP die geen cloudserviceprovider is, wordt beoordeeld als onderdeel van de assessmentscope van de klant en heeft geen eigen CMMC-certificering nodig, al kan die vrijwillig worden behaald. Een ESP die wel cloudserviceprovider is en CUI verwerkt, moet voldoen aan FedRAMP Moderate of gelijkwaardige eisen. Bevestig de scope en contracteisen van elke klant voordat u het verzamelen van bewijs inplant.

Status van HIPAA

De in januari 2025 voorgestelde update van de HIPAA Security Rule is niet definitief en de huidige Security Rule blijft van kracht. Het voorstel zou maatregelen zoals multi-factor authentication en versleuteling van elektronische beschermde gezondheidsinformatie (ePHI) in rust en onderweg verplicht maken. Ze nu al in uw baselines opnemen is dus een risicoarme manier om u voor te bereiden.

Status van SOC 2

SOC 2 is een onafhankelijk attestatierapport op basis van de AICPA Trust Services Criteria. Een Type II-rapport beschrijft hoe controls gedurende een beoordelingsperiode functioneren, dus het bewijs moet die hele periode beslaan.

Voorwaarden voor audit readiness bij onaangekondigde compliance-audits

Voordat u begint, moeten MSP’s het volgende bevestigen:

• Implementatie van role-based access control op basis van minste voorrecht, inclusief afgedwongen MFA.
• Gestandaardiseerde oplossingen voor patchbeheer, antivirus/EDR en back-up.
• Correcte configuratie van Microsoft 365- of hybride Active Directory-omgevingen.
• Onderhouden scriptingmogelijkheden (register, CMD en PowerShell).
• Uitrol van een betrouwbare RMM-tool (zoals NinjaOne) die scripts kan uitrollen, beleid kan afdwingen en compliance-artefacten kan verzamelen.

Taak 1: inventariseer devices per compliance-scope

📌 Use case:
Door devices te taggen, kunnen MSP’s in RMM-tools (zoals NinjaOne) filteren en snel zien welke systemen onder de scope van HIPAA, CMMC of SOC 2 vallen. Duidelijk afgebakende systemen binnen de scope zijn vooral belangrijk voor CMMC, waar de scope bepaalt welke systemen moeten voldoen aan de eisen die CUI beschermen.
Correcte tagging van devices ondersteunt ook multi-tenant compliancebeheer, zodat MSP’s de juiste controles per klant toepassen zonder regelgevingseisen door elkaar te halen.

Compliancetags aanmaken in het register:

1. Open PowerShell als administrator. Druk op de Windows-toets, typ PowerShell, klik met de rechtermuisknop op Windows PowerShell en selecteer Als administrator uitvoeren.
2. Voer de volgende commando’s uit, maar vervang de waarden “True” door True of False, afhankelijk van de compliancecategorie van het endpoint (HIPAA, CMMC, SOC 2):

New-Item -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Force

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Name "HIPAA" -Value "True"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Name "CMMC" -Value "True"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Name "SOC2" -Value "True"

Tags handmatig verifiëren:

1. Open de opdrachtprompt als administrator. Druk op de Windows-toets + X en selecteer Opdrachtprompt (Administrator) of Windows Terminal (Administrator). Zorg bij gebruik van Windows Terminal dat u zich op een tabblad Opdrachtprompt bevindt en niet in PowerShell.
2. Voer de volgende commando’s uit:

reg query HKLM\SOFTWARE\Org\ComplianceTags

3. U kunt ook de Register-editor openen. Druk op de Windows-toets + R. Typ regedit en druk op Enter.
4. Ga naar: HKEY_LOCAL_MACHINE\SOFTWARE\Org\ComplianceTags
5. Controleer of de verwachte waarden van de compliancetags (bijvoorbeeld sleutels of tekenreeksen die uw organisatie gebruikt) aanwezig zijn en overeenkomen met het geconfigureerde beleid. Ontbreken ze of kloppen ze niet, dan wordt het systeem tijdens een audit mogelijk niet als compliant herkend.

Taak 2: valideer de status van patches, AV en versleuteling

Met deze taak verifieert u dat systemen gepatcht zijn, dat antivirus actief is en dat versleuteling wordt afgedwongen.
Deze controles sluiten aan op de controls uit NIST SP 800-171 en geven auditors bewijs dat endpoints goed beveiligd zijn.
Stappen
1. Open PowerShell als administrator. Druk op de Windows-toets, typ PowerShell, klik met de rechtermuisknop op Windows PowerShell en selecteer Als administrator uitvoeren.
2. Controleer de versie van het besturingssysteem op elk device binnen de scope. Windows 10 bereikte op 14 oktober 2025 het einde van de ondersteuning, dus devices die er nog op draaien ontvangen geen gratis beveiligingsupdates meer en moeten een upgrade krijgen of worden aangemeld voor Extended Security Updates.
Get-CimInstance Win32_OperatingSystem | Select-Object Caption, Version, BuildNumber
3. Verifieer de patchstatus voor Windows-updates met de volgende commando’s:
a. De laatste 5 geïnstalleerde updates bekijken:
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5
b. Beschikbare updates weergeven, als de module PSWindowsUpdate is geïnstalleerd:
Get-WindowsUpdate -MicrosoftUpdate
c. Een leesbaar Windows Update-logboek genereren uit de tracebestanden van updates (dit commando maakt een logbestand en toont geen ontbrekende updates):
Get-WindowsUpdateLog
4. De status van AV/Defender verifiëren:
Get-MpComputerStatus | Select AMServiceEnabled, AntivirusEnabled, RealTimeProtectionEnabled
5. Versleuteling (BitLocker) verifiëren:
Get-BitLockerVolume | Select MountPoint, ProtectionStatus
6. De resultaten kunnen indien nodig naar CSV worden geëxporteerd en aan tickets voor de auditvoorbereiding worden gekoppeld.

Taak 3: dwing beleidsbaselines af

📌 Use case:

Met deze taak past u consistent beveiligingsbeleid toe op alle systemen, wat de auditvoorbereiding ondersteunt. GPO’s of scripts kunnen compliance-instellingen afdwingen, waaronder het vergrendelingsbeleid voor accounts, wachtwoordlengte en -complexiteit, controle van objecttoegang en aanmeldgebeurtenissen, uitgeschakelde gastaccounts en de bewaartermijn van het beveiligingslogboek.

Voor systemen in een domein (via Groepsbeleid):

1. Open de Groepsbeleidsbeheerconsole (GPMC).
2. Bewerk of maak een GPO.
3. Ga naar:
   • Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Accountbeleid
   • Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Geavanceerde configuratie van controlebeleid
4. Configureer wachtwoordbeleid, accountvergrendelingen, schermbeveiliging (afdwingen van time-out bij inactiviteit) en controle.

Voor standalone systemen buiten een domein (via lokaal beleid of scripts):

1. Druk op Windows-toets + R, typ gpedit.msc en druk op Enter om de Editor voor lokaal groepsbeleid te openen.
2. Configureer hetzelfde beleid lokaal onder Beveiligingsinstellingen.
3. Is Groepsbeleid niet beschikbaar (bijvoorbeeld in Windows Home-edities), gebruik dan scripts op basis van het register om dezelfde baselines af te dwingen.

Taak 4: valideer logboeken, bewaartermijnen en monitoringbeleid

Met deze taak controleert u of gebeurtenissenlogboeken worden gegenereerd, bewaard en niet overschreven. Auditors verwachten doorgaans bewijs van continue monitoring, het volgen van gebeurtenissen en de bewaartermijn van logboeken.

De status van het beveiligingslogboek controleren:

1. Open PowerShell als administrator. Druk op de Windows-toets, typ PowerShell, klik met de rechtermuisknop op Windows PowerShell en selecteer Als administrator uitvoeren.
2. Voer het volgende commando uit:

Get-WinEvent -LogName Security -MaxEvents 5 | Format-List

Dit commando bevraagt het beveiligingslogboek van Windows op de 5 meest recente gebeurtenissen en stuurt de uitvoer als lijstweergave naar het portaal (het scherm). Het getal “5” dient alleen ter illustratie en kan worden aangepast aan het aantal gebeurtenissen dat u wilt zien.

Door dit commando uit te voeren, bevestigt u dat er actief nieuwe gebeurtenissen worden gegenereerd en vastgelegd in het beveiligingslogboek. Tijdens een audit helpt dit aantonen dat het verzamelen van logboeken correct werkt en dat er geen logboeken ontbreken of overschreven zijn.

Het bewaarbeleid voor logboeken controleren:

1. Open de opdrachtprompt als administrator. Druk op de Windows-toets + X en selecteer Opdrachtprompt (Administrator).
2. Voer het volgende commando uit:

wevtutil gl Security | findstr /i "retention autoBackup

Dit commando toont de bewaarstatus van het beveiligingslogboek van Windows:

• Retention: false betekent dat de oudste gebeurtenissen worden overschreven door de nieuwste zodra het logboek vol is.
• Retention: true betekent dat gebeurtenissen niet worden overschreven wanneer het logboek vol is.
• autoBackup: true betekent dat een vol logboek automatisch wordt gearchiveerd.

Taak 5: verifieer toegangscontrole en het volgen van gebruikers

Met deze taak kunnen MSP’s gebruikersaccounts, geprivilegieerde toegang en RDP-rechten documenteren. Gedocumenteerde toegangsbeoordelingen ondersteunen audit-eisen rond accountgovernance, waaronder toegangscontrole en de verwachtingen rond minste voorrecht.

Lokale gebruikersaccounts controleren:

1. Open de opdrachtprompt als administrator. Druk op de Windows-toets + X en selecteer Opdrachtprompt (Administrator).
2. Voer het volgende commando uit: net user <username>

Dit commando toont gedetailleerde informatie over het opgegeven account, waaronder:

• Gebruikersnaam en volledige naam
• Of het account actief is
• Wachtwoordvereisten (verloop, laatst ingesteld, wijziging vereist)
• Groepslidmaatschappen
• Profielpad en basismap
• Toegestane aanmeldtijden

AD-gebruikers met verhoogde rechten weergeven:

1. Open PowerShell als administrator. Druk op de Windows-toets, typ PowerShell, klik met de rechtermuisknop op Windows PowerShell en selecteer Als administrator uitvoeren.
2. Voer het volgende commando uit:

Get-ADGroupMember -Identity "Domain Admins"

Dit commando haalt alle leden van de groep Domain Admins in Active Directory op, waartoe doorgaans de accounts met de hoogste rechten behoren. Door deze lijst te beoordelen, bevestigt u dat alleen geautoriseerde gebruikers verhoogde rechten hebben.

Get-LocalGroupMember -Group "Remote Desktop Users"

Dit commando toont alle accounts die op de lokale machine tot de groep Extern bureaublad-gebruikers behoren. Iedereen in deze groep kan zich op afstand aanmelden bij het systeem via Remote Desktop Protocol (RDP). Auditors controleren deze lijst vaak om er zeker van te zijn dat alleen goedgekeurde gebruikers remote access hebben, want te ruime of niet-gecontroleerde RDP-rechten leveren compliance- en beveiligingsrisico’s op.

Taak 6: documenteer bewijs van back-up en herstel

Met deze taak legt u de laatste geslaagde back-up vast in het register voor geautomatiseerde RMM-scans. Zo krijgen auditors verifieerbaar bewijs dat back-up- en herstelpraktijken worden afgedwongen en gecontroleerd. Geautomatiseerde back-upvalidatie ondersteunt ook compliancerapportage voor MSP’s en levert bewijs dat auditors vaak opvragen tijdens HIPAA-, CMMC- en SOC 2-beoordelingen.

De tijdstempel van de laatste geslaagde back-up aanmaken in het register:

1. Open PowerShell als administrator. Druk op de Windows-toets, typ PowerShell, klik met de rechtermuisknop op Windows PowerShell en selecteer Als administrator uitvoeren.

2. Voer de volgende commando’s uit:

New-Item -Path "HKLM:\SOFTWARE\Org\ComplianceBackup" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceBackup" -Name "LastSuccessfulBackup" -Value (Get-Date).ToString("u")

3. Deze commando’s maken de sleutel ComplianceBackup aan onder HKEY_LOCAL_MACHINE en stellen de waarde LastSuccessfulBackup in op de huidige datum en tijd in universele notatie. Voer het tweede commando alleen uit als laatste stap van een geslaagde back-uptaak, zodat de tijdstempel een voltooide back-up weergeeft.

4. Integreer met uw RMM-systeem:

1. In de meeste RMM’s kunt u aangepaste velden of scanregels voor het register definiëren.
2. Configureer uw RMM zo dat deze de waarde van HKLM:\SOFTWARE\Org\ComplianceBackup\LastSuccessfulBackup uitleest.
3. Zo kan de RMM automatisch bijhouden wanneer de laatste geslaagde back-up is uitgevoerd en rapporten met compliancebewijs genereren.

Verifiëren dat de tijdstempel van de laatste geslaagde back-up in het register is vastgelegd.

1. Open de Register-editor. Druk op de Windows-toets + R. Typ regedit en druk op Enter.
2. Ga naar: HKEY_LOCAL_MACHINE\SOFTWARE\Org\ComplianceBackup
3. Controleer of de waarde LastSuccessfulBackup de juiste tijdstempel toont.

Naast het bijhouden via het register kunnen RMM-platformen zoals NinjaOne automatisch gedetailleerde back-uprapporten genereren. Door beleid toe te passen, kunt u ook bewaartermijnen voor back-ups vastleggen om te voldoen aan eisen uit regelgeving zoals HIPAA, CMMC of SOC 2.

⚠️ Problemen oplossen en aandachtspunten

Risico’s	Mogelijke gevolgen	Oplossingen
Ontbrekende registertags	Auditbewijs van back-up- of compliance-activiteit bestaat mogelijk niet.	Controleer of scripts in de SYSTEM-context worden uitgerold.
Bewaren van logboeken uitgeschakeld	Belangrijke beveiligings- en compliance-gebeurtenissen kunnen ontbreken, waardoor auditcontroles mislukken.	Gebruik een GPO om minimale logboekgrootten en bewaartermijnen af te dwingen.
Onjuiste gebruikerslijsten	Auditors kunnen afwijkingen vinden in de documentatie van toegangscontrole.	Vernieuw de AD-synchronisatie of beoordeel geneste groepslidmaatschappen.
Versleuteling niet ingeschakeld	Devices zonder BitLocker kunnen als niet-compliant worden aangemerkt, waardoor gevoelige gegevens worden blootgesteld.	Controleer de toepassing van het BitLocker-beleid en de aanwezigheid van een TPM.
Niet-ondersteunde besturingssystemen	Devices met Windows-versies waarvan de ondersteuning is beëindigd kunnen tijdens een audit worden aangemerkt.	Upgrade het device of meld het aan voor Extended Security Updates.
Tijdstempel van back-up handmatig ingesteld	Het bewijs weerspiegelt mogelijk geen voltooide back-up.	Schrijf de tijdstempel weg vanuit de back-uptaak nadat die is geslaagd.

Extra aandachtspunten bij de voorbereiding op een onaangekondigde compliance-audit

Naast de gebruikelijke controlepunten raden we aan deze beste praktijken toe te passen om te voldoen aan uiteenlopende regelgeving. Ze zijn extra belangrijk voor MSP’s die klanten ondersteunen in gereguleerde sectoren zoals defensie en overheidsopdrachten.

• DLP-beleid: ga verder dan alleen Data Loss Prevention (DLP) inschakelen in Microsoft 365 of op endpoints. Tijdens een audit kan worden gevraagd hoe u voorkomt dat gevoelige gegevens de omgeving verlaten en hoe regels voor bewaring en archivering worden afgedwongen. Zorg dat u kunt aantonen dat back-upsystemen de vereiste bewaartermijnen halen (voor HIPAA, CMMC of SOC 2) en dat gearchiveerde gegevens toegankelijk zijn voor beoordeling.

RMM-oplossingen zoals NinjaOne vereenvoudigen deze stap door gedetailleerde rapporten te genereren over back-upstatus, bewaarinstellingen en compliance van endpoints. Zo krijgen auditors helder bewijs dat gegevens goed beschermd en bewaard worden.

• MFA-audit: zorg dat alle beheerders- en eindgebruikersaccounts Multi-Factor Authentication (MFA) gebruiken, een eis uit NIST SP 800-171 (control 3.5.3) die bij CMMC Level 2 wordt beoordeeld.
• Offboarding: bevestig dat er logboeken bestaan van gedeactiveerde accounts en teruggebrachte assets.
• Risicobewaking van leveranciers: houd een actuele lijst bij van derde partijen met toegang tot gegevens (een belangrijke eis voor MSP’s die CUI verwerken onder CMMC).
• Gereedheid voor incidentrespons: wees voorbereid om uw proces voor een gecompromitteerd endpoint uit te leggen, inclusief isolatie, opnieuw installeren en rapportageprocedures.
• Resultaten van kwetsbaarheidsscans: bewaar recente rapporten van kwetsbaarheidsscans per endpoint om proactief risicobeheer aan te tonen.
• Device-inventaris: houd een volledige, accurate inventaris bij van alle devices die toegang hebben tot bedrijfsgegevens.

Wilt u meer weten over wat NinjaOne kan? Bekijk dan onze FAQ over onze RMM-oplossing.

NinjaOne-diensten voor audit readiness bij compliance-audits

NinjaOne RMM ondersteunt de auditvoorbereiding voor HIPAA-, SOC 2- en CMMC-omgevingen met tagging van devices, scripting, notificaties en rapportage, met centraal inzicht in alle klant-tenants.

• Endpoint management: tag endpoints per compliance-scope (HIPAA, CMMC, SOC 2).
• Scripting: voer regelmatig controles uit op specifieke compliance-eisen, zoals de versleutelingsstatus en specifieke SaaS-data, naast het ingebouwde inzicht in AV-status, patching en back-ups.
• Notificaties: waarschuw bij hiaten in compliancedekking en problemen met agents.
• Rapportage: genereer rapporten voor de auditvoorbereiding en QBR’s, voor intern gebruik en voor klanten.

Tot slot over de voorbereiding op onaangekondigde compliance-audits

Audit readiness vraagt een gezamenlijke inspanning van MSP’s en klanten, zodat de beheerde IT-omgeving voldoet aan de regelgeving in de sector. MSP’s kunnen in het bijzonder praktijken toepassen zoals het taggen van devices, regelmatige validatiescripts, beleidshandhaving, bewaring van logboeken, het volgen van gebruikers en documentatie van back-ups om klanten voor te bereiden op onaangekondigde compliance-audits.

In combinatie met een platform voor Endpoint management zoals NinjaOne ondersteunen deze praktijken schaalbare audit readiness over alle tenants, zodat klanten er klaar voor zijn wanneer onafhankelijke auditors of toezichthouders een onaangekondigde compliancecontrole uitvoeren.

Gerelateerde onderwerpen:

• HIPAA-compliance: alles wat u moet weten
• Wat is SOC-compliance? Basisoverzicht voor bedrijven
• Wat is CMMC? Overzicht en definitie
• Wat is een compliance-audit? Definitie & belang
• Wat is een compliance-audit? Definitie & belang