Belangrijkste punten
- IT-dienstverleners vallen onder CMMC als zij systemen beheren of beveiligen die CUI (Controlled Unclassified Information) verwerken, ook zonder directe toegang tot de gegevens zelf.
- U moet een duidelijk document opstellen dat precies laat zien welke beveiligingstaken bij de IT-dienstverlener liggen, welke bij de klant en welke gedeeld zijn.
- Het dichten van beveiligingsgaten mag niet onnodig worden uitgesteld: tijdelijke uitzonderingen zijn alleen toegestaan voor risico’s met een lage impact en moeten binnen 180 dagen volledig zijn opgelost.
- Een audit doorstaat u alleen als u aantoont dat uw vastgelegde beleid ook echt werkt, door technisch bewijs uit de praktijk zoals systeemlogs veilig te verzamelen.
- IT-teams moeten van compliance een dagelijkse gewoonte maken door bewijsverzameling te automatiseren en beveiligingsplannen bij te werken zodra een systeem verandert.
Eén verkeerd geconfigureerde IT-tool kan de uitkomst van de compliance-audit van uw defensieklant beïnvloeden. CMMC readiness is vandaag de dag een operationele vereiste voor dienstverleners die organisaties ondersteunen die onder CMMC vallen. Certificeringsaudits door derden zijn op 13 juli 2026 opgeschort in afwachting van een herziening van het programma, maar de verplichtingen rond zelfbeoordeling, SPRS-scores en de jaarlijkse bevestiging blijven onverkort van kracht.
Actiechecklist 1: breng de grenzen van uw CMMC-scope in kaart
Het afbakenen van uw beoordelingsgebied is de eerste stap richting CMMC readiness. Daarmee bepaalt u precies welke IT-systemen en processen aan de normen van het Department of Defense moeten voldoen.
Op grond van de CMMC-vereisten kunnen uw activiteiten invloed hebben op de audit van uw klant. Zelfs als u nooit gevoelige klantgegevens (CUI, Controlled Unclassified Information) verwerkt, kan het beheren van hun firewalls of IT-supporttools u binnen de scope brengen.
Deze tools worden aangemerkt als Security Protection Assets (SPA’s). Ze genereren Security Protection Data (SPD), zoals adminwachtwoorden en systeemlogs, die auditors grondig zullen beoordelen.
Gedeelde verantwoordelijkheid
Voordat u technische wijzigingen doorvoert, moet u vastleggen wie verantwoordelijk is voor welke beveiligingsvereiste. Een matrix met gedeelde verantwoordelijkheden maakt duidelijk of een control bij de klant ligt, gedeeld is of volledig door uw MSP wordt beheerd.
| Beveiligingscontrol | Primaire verantwoordelijkheid |
| Patching van endpoints | MSP (overgenomen) |
| Handhaving van MFA | Gedeeld |
| Fysieke beveiliging van het kantoor | Klant (eigendom van de klant) |
| Logging van incidentrespons | MSP (overgenomen) |
Om uw CMMC-scopebepaling af te ronden, beantwoordt u deze operationele vragen als leidraad voor uw complianceplan:
- Hebben onze technici adminrechten op de netwerken van klanten?
- Verzamelen of bewaren onze IT-tools beveiligingslogs van klanten of andere Security Protection Data (SPD)?
- Zijn onze interne tools veilig gescheiden van de gevoelige gegevens van de klant?
- Beheren wij firewalls, back-ups of gebruikerstoegang voor de klant?
Actiechecklist 2: voer een gap-analyse uit en verhelp kwetsbaarheden
Het opsporen en verhelpen van beveiligingszwaktes is cruciaal om uw audit onder de CMMC-vereisten te doorstaan.
Technische hiaten opsporen en direct verhelpen
Na uw CMMC-scopebepaling moet u uw infrastructuur toetsen aan NIST SP 800-171 Revision 2. Vink niet alleen vereisten op hoofdlijnen af. U moet alle toepasselijke beveiligingscontrols implementeren en aantoonbaar maken om de beoordeling te doorstaan.
MSP’s zien kwetsbaarheden binnen hun eigen interne omgeving vaak over het hoofd. Om u op CMMC voor te bereiden, moet u die blinde vlekken opsporen en verhelpen voordat een assessor langskomt. Door deze technische hiaten direct aan te pakken, beschermt u zowel uw eigen bedrijf als uw defensieklanten.
Veelvoorkomende verbeterpunten
- Onbeheerde endpoints: zorg dat alle apparaten die in aanraking komen met netwerken binnen de scope strikt worden bijgehouden, gepatcht en beveiligd.
- Gedeelde beheerdersaccounts: geef elke technicus unieke, controleerbare referenties en deel nooit globale adminlogins.
- Zwakke remote access: handhaaf strikte multi-factor authentication (MFA) en beveiligde VPN’s voor alle beheersessies.
Binnen CMMC is een Plan of Action and Milestones (POA&M) een formeel document waarin u beschrijft hoe u niet-gerealiseerde beveiligingscontrols gaat verhelpen. Op dit document leunen om kritieke technische oplossingen uit te stellen is echter een riskante strategie.
Volgens de richtlijnen uit de definitieve CMMC-regel in het Federal Register zijn POA&M’s bijzonder streng. U kunt kwetsbaarheden met een hoog risico niet langer uitstellen om compliant te worden.
WAARSCHUWING (de strikte realiteit van CMMC-POA&M’s):
- Beperkte toepasbaarheid: alleen specifieke controls van 1 punt met een laag risico komen in aanmerking voor een POA&M.
- Minimale score vereist: u moet een strikte basisscore behalen voordat een POA&M überhaupt is toegestaan.
- Deadline van 180 dagen: alle vastgelegde oplossingen moeten binnen 180 dagen volledig zijn doorgevoerd en door een assessor geverifieerd, anders voldoet u mogelijk niet aan de certificeringseisen.
Let op: deze vereisten gelden nog steeds voor uw zelfbeoordelingsscore en de jaarlijkse bevestiging, ook nu audits door derden zijn opgeschort.
Actiechecklist 3: lever objectief bewijs en stem uw documentatie af
Een audit doorstaat u alleen door met verifieerbaar bewijs uit de praktijk aan te tonen dat uw beveiligingsbeleid actief wordt gehandhaafd.
Toon uw compliance aan met bewijs uit de praktijk
Vastgelegd beleid is waardeloos zonder objectief bewijs. Assessors lezen niet alleen uw beleid, ze vragen om historische logs en systeembaselines. Gebruik daarvoor een platform voor Governance, Risk and Compliance (GRC).
Organisaties die grote hoeveelheden compliance-artefacten beheren doen er goed aan tools te overwegen die de traceerbaarheid, de ordening van bewijs en de auditgereedheid verbeteren.
Documentatie versus bewijs: welke documentatie vereist CMMC?
Om te voldoen aan de strikte normen uit de definitieve CMMC-regel in het Federal Register, moet u uw strategie op hoofdlijnen afstemmen op de dagelijkse praktijk. U stapt af van het simpelweg verklaren dat u compliant bent en gaat het zichtbaar aantonen.
Vereiste documentatie (de strategie):
- System Security Plan (SSP): beschrijft in detail hoe elke control technisch is geïmplementeerd
- Netwerkdiagrammen: brengen de grenzen van uw CMMC-scope visueel in kaart
- Customer Responsibility Matrix (CRM): legt de beveiligings- en complianceverantwoordelijkheden tussen de betrokken partijen vast
- Incidentresponsplannen: beschrijven hoe uw team beveiligingsincidenten met CUI detecteert, indamt en rapporteert, inclusief de vereiste meldtermijnen richting het DoD.
Vereist bewijs (het bewijsmateriaal):
- Technisch bewijs: screenshots van de MFA-handhaving, kwetsbaarheidsscans en gecentraliseerde auditlogs.
- Administratief bewijs: ondertekende presentielijsten van beveiligingstrainingen, onboardingdossiers en resultaten van tabletop-oefeningen.
Vergeet niet dat er streng wordt toegezien op de integriteit van bewijs. Organisaties doen er goed aan bewijs zo te bewaren dat de integriteit ervan aantoonbaar blijft en dat het de auditvereisten ondersteunt. Bewaar bewijs ook conform de geldende bewaartermijnen.
Actiechecklist 4: maak compliance onderdeel van de dagelijkse workflows
Echte CMMC readiness betekent dat u cybersecurity behandelt als een dagelijkse norm en niet als een eenmalige audit.
Maak van auditvoorbereiding een doorlopende managed service
Om aan de CMMC-vereisten te blijven voldoen, moet u uw systemen continu monitoren om beveiligingsgaten te voorkomen. Gebruik geautomatiseerd IT Management en logtools (zoals RMM- en SIEM-platformen) om uw omgeving te bewaken en bewijs van compliance te verzamelen.
Ook uw helpdeskteam speelt een cruciale rol. Het oplossen van dagelijkse IT-tickets mag nooit in strijd zijn met uw vastgestelde beveiligingsregels.
Dagelijkse compliancetaken
- Automatiseer rapportage: laat uw IT-tools systeemlogs, instellingen en kwetsbaarheidsscans automatisch verzamelen en veilig opslaan. Zo wordt bewijsverzameling een automatisch dagelijks proces.
- Handhaaf change management: behandel uw System Security Plan (SSP) als een levend document. Vereis goedkeuring voor alle technische wijzigingen en werk het SSP direct bij zodra instellingen veranderen.
- Train uw helpdesk: zorg dat alle technici de grenzen van uw CMMC-scope kennen. Zij moeten weten hoe ze routinetaken zoals wachtwoordresets of het beëindigen van accounts uitvoeren zonder gevoelige gegevens bloot te stellen.
Met deze dagelijkse gewoontes bereidt u zich op meer voor dan alleen een beoordeling. U maakt van een strikte wettelijke eis een waardevolle dienst op lange termijn voor uw defensieklanten.
CMMC readiness bereiken met een kader voor compliancesucces
Echte CMMC readiness vraagt om meer dan basiskennis: het vraagt om strikte operationele consistentie.
Door uw beoordelingsscope nauwkeurig af te bakenen, gedeelde verantwoordelijkheden helder in kaart te brengen en dagelijks objectief bewijs te verzamelen, beschermt u cruciale defensiecontracten. Behandel compliance als een doorlopende managed service om zowel uw klanten als uw eigen bedrijf veilig te stellen.
Quick-start guide
Zo maakt u een CMMC readiness-checklist in NinjaOne:
- Gebruik de functie Checklists in NinjaOne Documentation om een eigen CMMC readiness-template op te bouwen
- Zet Security Configuration Management in om CMMC-conforme configuraties te beoordelen en af te dwingen
- Genereer compliancerapporten om de stand van zaken te volgen
- Gebruik beleidsregels en automatisering om CMMC-vereisten af te dwingen op alle beheerde apparaten van uw MSP
Gerelateerde onderwerpen:
- CMMC 2.0: CMMC-certificering uitgelegd voor MSP’s
- CMMC is niet wat de meeste MSP’s denken
- Zo herkent u een CMMC-kans: vragen om te stellen en waarschuwingssignalen
- Zo bereidt u klanten voor op een onverwachte compliance-audit (HIPAA, CMMC, SOC 2)
- Cybersecuritychecklist voor MSP’s 2026: bescherming tegen ransomware & bedreigingen
