CMMC verandert de meeste MSP’s niet ingrijpend. Maar voor sommige MSP’s verandert alles.
CMMC is jarenlang in de maak geweest. Jarenlang voelde het als “volgend jaar is het zover”, met valse starts en steeds wisselende verwachtingen. Nu is het echt zover. Het kader is formeel vastgelegd, audits vinden plaats en de handhaving via contracten is begonnen met de CMMC Program Rule (32 CFR Part 170) van het DoD.
Dit is het punt dat veel managed service providers (MSP’s) over het hoofd zien: CMMC gaat niet de manier veranderen waarop de meeste MSP’s hun diensten aan hun hele klantenbestand leveren. In de meeste gevallen geldt het slechts voor een kleine groep klanten.
Maar voor MSP’s die markten als de maakindustrie bedienen is CMMC een kans met hoge waarde en hoge inzet om diensten te leveren die klanten sterker binden dan u ooit eerder hebt verkocht.
Het risico voor MSP’s is reëel
Als uw klant onder CMMC valt en u niet begrijpt hoe uw tools, processen en toegangscontroles hun audit beïnvloeden, kunt u de reden worden dat zij niet slagen.
U kunt ook urenlang in onbetaalde CMMC-gesprekken belanden omdat het werk nooit goed is afgebakend.
In sommige gevallen stapt de klant simpelweg over naar een MSP die dit werkveld al begrijpt.
Dit is een kans met een hoge opbrengst maar met een reëel nadeel als u probeert te doen alsof u het begrijpt.
Noem het niet langer “CMMC 2.0”
Dit klinkt muggenzifterig, maar het is belangrijk. “CMMC 2.0” was conceptterminologie. Wat er nu bestaat, is gewoon CMMC. Als u een klantgesprek begint met “2.0”, zal iedereen die dit vakgebied kent meteen betwijfelen of u het begrijpt. Precisie bouwt geloofwaardigheid op en geloofwaardigheid is waar het bij compliancewerk om draait.
CMMC is een regulering van de toeleveringsketen, geen cybersecuritystandaard
Ja, cybersecuritymaatregelen vormen een groot deel van CMMC. Maar MSP’s komen in de problemen wanneer zij aannemen dat dit een op zichzelf staande cybersecuritystandaard is. Alle cybersecuritytools inschakelen en de klant is automatisch compliant? Zo werkt het niet.
CMMC is een eis aan de toeleveringsketen die via contracten wordt gehandhaafd. Als een organisatie niet slaagt, krijgt zij geen boete zoals bij een handhavingsmodel in HIPAA-stijl. Zij verliest het recht om omzet binnen te halen. Dat zorgt voor een urgentie en focus die veel andere compliancestandaarden nooit hebben gehad.
Voor MSP’s betekent dat dat twee dingen tegelijk waar kunnen zijn:
- U kunt de held worden die een klant in staat stelt lucratieve contracten te behouden (of binnen te halen).
- Of u kunt de reden zijn dat zij niet slagen en dat is het soort mislukking dat klanten niet vergeten.
De kans is reëel, maar de totale markt is kleiner dan men denkt
Maar weinig MSP’s zullen ooit hun hele bedrijf omvormen tot “een CMMC-praktijk”. De meeste hebben een klein percentage klanten dat in deze wereld terechtkomt.
Waar zitten die klanten meestal? In de maakindustrie. Metaalbewerking. Machinefabrieken. Bedrijven die defensieketens ondersteunen, zelfs indirect. Als u dit soort organisaties ondersteunt, is de kans groot dat u al minstens één klant hebt die aan CMMC moet voldoen vanwege de partijen hoger in de keten waaraan zij leveren.
Een eenvoudige manier om dat vast te stellen is betere vragen stellen:
- Wie zijn uw klanten hoger in de keten: zitten daar primes tussen (denk aan grote defensieleveranciers)?
- bijv. Lockheed Martin, Boeing, General Dynamics, General Dynamics Electric Boat, Navistar, Northrop Grumman, Oshkosh Defense.
- Ziet u in contracten formuleringen over CMMC of NIST SP 800-171?
- Verwerkt u exportgecontroleerde gegevens zoals onder de International Traffic in Arms Regulations (ITAR)?
Is het antwoord ja, dan heeft uw klant vrijwel zeker al CMMC-bepalingen in de contracten gezien. Mogelijk weten zij alleen nog niet wat zij ermee aan moeten en daar komt u in beeld.
Het grootste risico voor MSP’s is binnen scope vallen zonder zelf gecertificeerd te zijn
Een van de gevaarlijkste aannames die ik zie, is dat MSP’s denken: “Wij hoeven niet gecertificeerd te zijn, dus dit is ons probleem niet.”
In de praktijk vallen de diensten en toolsets van een MSP vaak binnen de scope van de audit van de klant. Dat betekent dat een assessor het beveiligingsbeleid en de tools van de MSP onder de loep kan nemen, omdat die rechtstreeks van invloed zijn op het vermogen van de klant om aan de eisen te voldoen.
Dat kan een worstcasescenario opleveren: een klant slaagt niet en denkt dat dat door u komt. Dat kan komen doordat uw remote support-tools, uw encryptiemodules, uw processen of de manier waarop toegang wordt beheerd niet aan de CMMC-eisen voldoen.
Wees eerlijk over wat u doet, wat u niet doet en wat er moet veranderen.
Het lastigste is niet technisch – het is al het andere
De meeste MSP’s kunnen het technische werk aan. Waar zij vaak op vastlopen, is de zachte kant van compliance: beleid, procedures, operationele aspecten en changemanagement en zelfs fysieke beveiligingseisen die niets met IT te maken hebben.
U kunt uitstekende endpoint-tooling gebruiken en alsnog niet slagen als het pand de toegang niet kan beheersen, bezoekers niet kan registreren, gevoelige workflows niet kan scheiden of het proces niet kan aantonen. Daarom moedig ik MSP’s sterk aan om partnerschappen op te bouwen: vCISO’s, compliance-consultants en specialisten die in de wereld van beleid en procedures leven.
En nog een hard geleerde les. Als u derde partijen inschakelt, verberg dat dan niet. White labeling kan averechts werken als klanten het gevoel krijgen dat u doet alsof alle expertise intern aanwezig is. Transparantie schept vertrouwen en vertrouwen brengt u door een audit heen.
Hoog risico. Hoge beloning. Een relatie voor het leven.
Als u CMMC-werk goed doet, gaat u van IT-leverancier naar onderdeel van de omzetmotor van uw klant. U helpt hen in aanmerking te blijven komen voor contracten die hun bedrijf draaiende houden.
Dat soort partnerschap bindt. Het is moeilijk te vervangen, want wisselen van leverancier brengt risico met zich mee – en in deze wereld kan risico verloren omzet betekenen.
Ga er dus met open ogen in. Neem niet meer hooi op uw vork dan u aankunt. Wees eerlijk over wat u begrijpt en waar u partners nodig hebt. Want als u het goed aanpakt, bouwt u een relatie op die vrijwel onverwoestbaar is.
Download de NinjaOne-gids voor CMMC voor praktische richtlijnen over certificeringsgereedheid en doorlopende ondersteuning bij compliance.
