Belangrijkste punten
- Bepaal of u als External Service Provider die CUI (Controlled Unclassified Information) verwerkt binnen de scope van de beoordeling valt.
- Koppel elke managed service aan de 110 controls van NIST SP 800-171, stel samen met de klant een Shared Responsibility Matrix op en leg compliance-hiaten vast in een POA&M.
- Houd een volledig System Security Plan bij en lever gestructureerde compliance-rapportages die aan specifieke NIST-controls zijn gekoppeld, zodat assessors over de benodigde documentatie beschikken.
- Volg configuration drift, patch-hiaten en wijzigingen in rechten doorlopend en in realtime om aan te tonen dat controls niet alleen zijn ingericht maar ook worden afgedwongen.
- Bereid het personeel van de klant voor op de interviews met assessors en lever binnen 180 dagen op verzoek auditbewijs aan om de Conditional-status om te zetten in een definitieve CMMC Level 2-certificering.
Cybersecurity Maturity Model Certification (CMMC) 2.0 is een federaal kader dat de cybersecurity toetst van defensieleveranciers die controlled unclassified information (CUI) verwerken. Juist bij die toetsingen wordt MSP-ondersteuning bij CMMC-audits veel praktischer van aard.
Maak federale audits bij uw klanten vooraf eenvoudiger met meer inzicht. Deze gids over CMMC Level 2 biedt een strategische checklist om certificering te behalen en tegelijk risico’s te beperken.
Wat MSP’s moeten doen tijdens een CMMC Level 2-audit
Bepaal de scope van de MSP binnen de auditgrens
Bepaal allereerst of uw MSP binnen de scope van de Level 2-audit valt. Volgens het Department of Defense geldt voor elke External Service Provider (ESP) die invloed heeft op de vertrouwelijkheid van Controlled Unclassified Information dezelfde compliance-norm als voor de hoofdaannemer.
Onder CUI vallen onder meer:
- Personally Identifiable Information (PII)
- Vertrouwelijke bedrijfsinformatie (CBI)
- Exportgecontroleerde technische gegevens (ITAR/EAR)
- Beveiligingsgegevens over kritieke infrastructuur
Beheert uw team e-mailservers, cloudopslag en endpointtools waarbij CUI betrokken is, dan vallen uw diensten onder MSP-ondersteuning bij CMMC-audits. Stel daarom vóór de start van een beoordeling samen met uw klant een shared responsibility matrix op, zodat duidelijk is wat de MSP beheert, wat de klant beheert en wat gedeeld is.
💡 Belangrijk: MSP’s die CUI verwerken, overdragen en opslaan moeten zelf een CMMC Level 2- of Level 3-certificering behalen. MSP’s die geen CUI verwerken zijn hiervan vrijgesteld.
Stem uw dienstverlening af op de eisen van CMMC Level 2
CMMC Level 2 omvat alle 110 practices uit NIST SP 800-171 ter bescherming van CUI. Valt uw MSP binnen de scope van de audit, dan moet u uw beveiligingscontrols afstemmen op de specifieke eisen van NIST. Enkele voorbeelden:
- Beheer van geprivilegieerde toegang
- Periodieke toegangsreviews
- Strikte scheiding tussen tenants
- Volledige logging van CUI-gerelateerde incidenten
- Afdwingen van beveiligingsconfiguraties
Voer een control-to-service mapping uit waarmee u per domein van NIST 800-171 vaststelt welke tool of welk proces van de MSP eraan voldoet. Signaleer eventuele hiaten vóór de beoordeling begint in plaats van tijdens de beoordeling.
Bouw auditklare documentatie op en houd die bij
Nu digitale omgevingen steeds verder veranderen, is auditgereedheid een basisvoorwaarde geworden. In een recent rapport van Greenberg Traurig LLP. schatten externe assessors dat 25% van de aanvragers van een certificering al in de pre-assessmentfase afviel en dat de documentatie bij de meesten van hen onvolledig was of niet aansloot op de eisen.
Zo bent u auditklaar:
- Houd een actueel System Security Plan (SSP) bij met onder meer basisconfiguraties, endpoints en personeelswijzigingen.
- Volg openstaande hiaten met een Plan of Action and Milestones (POA&M).
- Haal de drempel van 80% op uw score in het Supplier Performance Risk System (SPRS).
Richt compliance-rapportage in voor MSP’s
Assessors hechten altijd meer waarde aan bewijs dan aan mondelinge toezeggingen. MSP’s moeten niet alleen aan de CMMC-normen voldoen maar ook herhaalbaar, gestructureerd bewijs leveren dat die controls in de loop van de tijd consistent zijn toegepast.
Dat bewijs kan bestaan uit rapportage over patches en kwetsbaarheden, configuratiecompliance, activiteiten met verhoogde rechten en incidentlogboeken – stuk voor stuk bewijs van degelijk IT Management vóór en tijdens de CMMC Level 2-audit.
Standaardiseer uw rapportagesjablonen voor alle klanten met CUI en koppel in elk rapport de specifieke controls uit NIST 800-171 (een patchrapport verwijst bijvoorbeeld rechtstreeks naar control 3.14.1) om heen-en-weergepraat te voorkomen. Zo verloopt het auditproces soepeler, zowel voor u als voor de assessor.
🥷🏻| Voldoe aan 100% van de Level 2-eisen met geautomatiseerde rapportage.
Ontdek hoe NinjaOne u helpt om CMMC-gereedheid te bereiken.
Zorg voor doorlopende compliance-monitoring
MSP-ondersteuning bij CMMC-audits moet laten zien dat beveiliging doorlopend aandacht krijgt, via monitoringtools, realtime notificaties en geplande herstelacties. Gedocumenteerde en beproefde werkwijzen zijn daarbij essentieel. Beheertools die doorlopende monitoring centraal stellen helpen die consistentie te bereiken.
Richt per klantomgeving een doorlopend compliance-dashboard in waarmee u de realtime status van belangrijke beveiligingscontrols volgt. Dat dashboard moet minimaal configuration drift, mislukte authenticatiepogingen, hiaten in patch compliance en wijzigingen in gebruikersrechten signaleren, zodat uw MSP een actueel beeld houdt van het beveiligingsbeleid.
Verzamel en presenteer auditbewijs
Tijdens de formele audit houden assessors interviews, beoordelen ze beveiligingsartefacten en voeren ze technische validaties uit om de status van de controls vast te stellen. Zodra logboeken, configuratiebestanden, trainingsregistraties en andere bestanden zijn verzameld, worden ze ter beoordeling ingediend bij een CMMC Third-Party Assessment Organization (C3PAO).
Uw documentatie moet drie dingen aantonen: dat controls zijn ingericht, dat ze werken en dat ze consistent worden afgedwongen. Het C3PAO-team controleert elk van de 110 NIST-controls om te bepalen welke u hebt gerealiseerd. Voldoet uw klant aan minimaal 88 van de 110, dan krijgt die de Conditional CMMC-status.
Bouw vóór de beoordeling een bewijsbibliotheek op, gesorteerd per control family van NIST 800-171, om aan de compliance-eisen te voldoen. Voeg per control toe:
- Een output of screenshot die de implementatie aantoont
- Een logboek waaruit blijkt dat de control actief is
- Een verwijzing naar het beleidsdocument dat de control regelt
Ondersteun klanten gedurende het hele auditproces
MSP’s spelen een cruciale rol bij het voldoen aan de CMMC-eisen. Gap-analyse, herstelacties, documentatie, bewijsverzameling, het opstellen van een SSP en doorlopende monitoring zijn allemaal noodzakelijk om controls tussen beoordelingen door effectief te houden.
MSP-ondersteuning bij CMMC-audits bereidt u ook voor op de interviews met assessors, waarbij mogelijk rechtstreeks met externe leveranciers wordt gesproken. Wekt de MSP de indruk de CMMC-praktijken niet te kennen, dan kan dat een slecht licht werpen op uw klant.
Na de beoordeling ondersteunt uw MSP klanten idealiter ook tijdens de respijtperiode van 180 dagen bij het dichten van hiaten in de bestaande infrastructuur, zodat de Conditional-status kan overgaan in een definitieve certificering.
Stel daarvoor per klant een checklist voor auditgereedheid op met daarin:
- Een afgerond SSP en POA&M
- Een bewijsbibliotheek gekoppeld aan elke control family
- Medewerkers die zijn voorbereid op de interviews met assessors
- Een bevestigde shared responsibility matrix
- Een gedocumenteerd incident response-plan
MSP-ondersteuning bij CMMC-audits is uitvoerend, niet adviserend
MSP’s hebben tijdens een CMMC Level 2-audit een veel praktischere rol. Zorg dat u vóór de volgende beoordeling van uw klant een shared responsibility matrix hebt uitgewerkt. Ga daarna aan de slag: gebruik centrale tools om uw beveiligingsbeleid te monitoren en vast te leggen, volgens NIST SP 800-171, om het proces te stroomlijnen.
Gerelateerde onderwerpen:
