De meest gestelde vragen over CMMC-naleving beantwoord

Wereldwijde organisaties die contracten hebben met het Amerikaanse Department of Defence (DoD) staan momenteel voor een cruciale uitdaging: het waarborgen van een staat van naleving die binnenkort verplicht wordt gesteld, zowel voor hun eigen organisatie als voor de volledige toeleveringsketen.

Met enkele van de hoogste niveaus van CMMC-naleving, die meer dan 110 unieke processen en praktijken omvatten, is dit geen eenvoudige taak. Toch is het van groot belang: organisaties moeten aantonen dat zij gevoelige informatie zoals Controlled Unclassified Information (CUI) en Federal Contract Information (FCI) vol vertrouwen en betrouwbaar kunnen verwerken.

Hieronder behandelen we enkele van de meest gestelde vragen rondom CMMC-naleving en geven we de antwoorden die nodig zijn om ervoor te zorgen dat uw nalevingstraject zo soepel en succesvol mogelijk verloopt.

Deze vragen zijn onder andere:

• Wat is CMMC-naleving?
• Wie heeft CMMC-naleving nodig?
• Is iemand vrijgesteld van CMMC-naleving?
• Wie certificeert CMMC-naleving?
• Wanneer moet ik voldoen aan CMMC 2.0?
• Wat zijn de vereisten voor CMMC-naleving?
• Kan mijn organisatie meerdere niveaus van CMMC 2.0-naleving tegelijk behalen?
• Is er doorlopend onderhoud vereist na het behalen van CMMC-certificering?

Wat is CMMC?

CMMC, of Cybersecurity Maturity Model Certification, is een essentieel raamwerk dat door het Amerikaanse Department of Defence is geïmplementeerd om robuuste cyberbeveiligingspraktijken te waarborgen bij aannemers die Federal Contract Information en Controlled Unclassified Information verwerken. De nieuwste versie, CMMC 2.0, stroomlijnt en versterkt beveiligingsvereisten en sluit aan bij standaarden zoals NIST 800-171 en NIST 800-172 om gevoelige gegevens effectief te beschermen. Het behalen van CMMC-naleving vereist beoordelingen door Certified Third Party Assessor Organisations, een proces dat wordt gecontroleerd door de CMMC Accreditation Body. Deze naleving versterkt niet alleen de cyberbeveiligingsstatus van een aannemer, maar vergroot ook de geschiktheid voor defensiecontracten, vergelijkbaar met andere federale raamwerken zoals FedRAMP.

Wat is CMMC 2.0?

CMMC 2.0 is de nieuwste ontwikkeling van het Cybersecurity Maturity Model Certification-raamwerk, vastgesteld door het Amerikaanse Department of Defense om Federal Contract Information en Controlled Unclassified Information te beveiligen.

Deze geüpdatete versie stroomlijnt het nalevingsproces door nauwer aan te sluiten bij NIST SP 800-171 en geavanceerde beveiligingsprotocollen uit NIST SP 800-172 te integreren voor hogere niveaus van naleving. Door samen te werken met Certified Third Party Assessor Organizations die zijn geaccrediteerd door de CMMC Accreditation Body, kunnen bedrijven ervoor zorgen dat ze aan deze strenge vereisten voldoen, gevoelige gegevens beschermen en hun geschiktheid voor federale contracten vergroten.

CMMC 2.0 is gericht op het versterken van de defensie-toeleveringsketen, terwijl er een balans wordt behouden tussen robuuste beveiligingsmaatregelen en beheersbare nalevingsverplichtingen, vergelijkbaar met het FedRAMP-raamwerk voor cloudserviceproviders. Inzicht in en naleving van deze standaarden is essentieel voor bedrijven die willen slagen in de competitieve defensiesector.

Wat is CMMC-naleving?

De nieuwste Cybersecurity Maturity Model Certification (CMMC 2.0) is een update en verbetering van de vorige certificering, met als algemeen doel het beveiligen van gevoelige defensie-informatie. Volgens het U.S Department of Defence:

“Het CMMC-model is ontworpen om Federal Contract Information (FCI) en Controlled Unclassified Information (CUI) te beschermen die via aanbestedingsprogramma’s met aannemers en onderaannemers van het ministerie worden gedeeld, tegen ongewenste risico’s en cyberdreigingen.”

Het behalen van CMMC-naleving betekent dat een organisatie de noodzakelijke cyberbeveiligingspraktijken en -maatregelen uit het CMMC-raamwerk heeft geïmplementeerd om gevoelige overheidsinformatie te beschermen. Het toont de inzet van de organisatie voor beste practices op het gebied van cyberbeveiliging en het vermogen om gevoelige gegevens te beschermen tegen cyberdreigingen.

Wie heeft CMMC-naleving nodig?

Elke organisatie binnen de toeleveringsketen van het Amerikaanse Department of Defence (DoD) moet aantonen dat zij voldoet aan CMMC 2.0. Dat betekent dat naar schatting 300.000 organisaties ervoor moeten zorgen dat zij gevoelige overheidsinformatie kunnen beveiligen.

Is iemand vrijgesteld van CMMC-naleving?

Hoewel er geen algemene vrijstellingen of uitzonderingen zijn op CMMC-naleving voor organisaties binnen de DoD-toeleveringsketen, kan het exacte nalevingsniveau verschillen. Er zijn drie verschillende niveaus van CMMC-naleving, en het vereiste niveau voor uw organisatie hangt af van het type informatie dat u verwerkt.

• CMMC Level 1 (fundamenteel) is gericht op het beschermen van basis federale informatie
• CMMC Level 2 (geavanceerd) beschermt gevoeligere gegevens
• CMMC Level 3 (expert) beschermt kritieke informatie tegen geavanceerde dreigingen

Waarom is CMMC noodzakelijk?

De Cybersecurity Maturity Model Certification (CMMC) is essentieel voor het waarborgen van de veiligheid en integriteit van gevoelige informatie die wordt beheerd door aannemers die werken met het Amerikaanse Department of Defense. De noodzaak van CMMC komt voort uit de toenemende dreigingen voor Federal Contract Information en Controlled Unclassified Information, die strenge beveiligingsmaatregelen vereisen. CMMC 2.0 pakt dit aan met een gestroomlijnde aanpak die cyberbeveiligingsstandaarden benadrukt in lijn met NIST SP 800-172. Dit raamwerk zorgt ervoor dat alleen Certified Third Party Assessor Organizations, erkend door de CMMC Accreditation Body, de naleving beoordelen en valideren. De introductie van CMMC is onmisbaar voor defensie-aannemers, omdat het niet alleen beveiligingsprotocollen versterkt, maar ook aansluit bij federale initiatieven zoals FedRAMP, waardoor aannemers hun geschiktheid voor defensiecontracten behouden en nationale veiligheidsbelangen beschermen.

Wie certificeert CMMC-naleving?

CMMC 2.0-naleving wordt gecertificeerd via beoordelingen door derden, uitgevoerd door Certified Third Party Assessor Organisations (C3PAO’s). Certificering kan voor niveau één al binnen zes maanden worden behaald, of tot wel 12 maanden duren voor niveau twee en drie.

C3PAO’s zijn gemachtigd door de CMMC Accreditation Body (CMMC AB). Zij zijn verantwoordelijk voor het uitvoeren van beoordelingen, het uitgeven van certificeringen en het onafhankelijk verifiëren of uw organisatie voldoet aan de nalevingsstatus.

Wanneer moet ik voldoen aan CMMC 2.0?

Op dit moment moeten defensie-aannemers en onderaannemers voldoen aan specifieke vereisten bij het verwerken van FCI en CUI. Voor contracten waarbij FCI betrokken is, moeten aannemers voldoen aan Federal Acquisition Regulation (FAR) clausule 52.204-21, die 15 basisbeveiligingsmaatregelen voorschrijft. Deze maatregelen vormen de minimale beveiligingsbasis voor elke entiteit die FCI van de Amerikaanse overheid ontvangt.

Bij het verwerken van CUI worden de vereisten strenger. DFARS-clausule 252.204-7012 vereist dat aannemers 110 beveiligingsvereisten uit NIST SP 800-171 implementeren. Deze uitgebreide set vereisten is bedoeld om adequate beveiliging te bieden op alle relevante informatiesystemen van de aannemer. Met de publicatie van de Final Rule 32 CFR Part 170 in het Federal Register op 15 oktober 2024, start de gefaseerde implementatie in Q1 2025 en is het moment voor DoD-aannemers en onderaannemers om te beginnen nu aangebroken.

Wat zijn de CMMC 2.0-certificatieniveaus en nalevingsvereisten?

De Cybersecurity Maturity Model Certification (CMMC) is een raamwerk dat is ontworpen om de bescherming van gevoelige, niet-geclassificeerde informatie binnen de industriële defensiebasis te verbeteren. Het bestaat uit drie nalevingsniveaus, elk met toenemende vereisten:

1. CMMC Level 1 (Fundamenteel): CMMC Level 1 richt zich op basisbeveiligingsvereisten die nodig zijn om Federal Contract Information (FCI) te beschermen. Het omvat 17 praktijken die zijn afgestemd op Federal Acquisition Regulation (FAR) 52.204-21. Belangrijke vereisten zijn onder andere basis cyberhygiëne, zoals het implementeren van toegangscontroles, het beveiligen van media en het waarborgen van personeelsbeveiliging.
2. CMMC Level 2 (Geavanceerd): CMMC Level 2 is een overgangsniveau van Level 1 naar Level 3 en omvat 110 praktijken die zijn afgestemd op het National Institute of Standards and Technology (NIST) SP 800-171. Het richt zich op de bescherming van Controlled Unclassified Information (CUI). Organisaties moeten aantonen dat zij een breed scala aan cyberbeveiligingspraktijken hebben geïmplementeerd en beleid en procedures documenteren. Er worden tussentijdse maatregelen geïntroduceerd, zoals configuratiebeheer en incidentrespons, om de mogelijkheden voor gegevensbescherming te verbeteren.
3. CMMC Level 3 (Expert): CMMC Level 3 omvat 110 praktijken uit NIST SP 800-171 en aanvullende verbeterde beveiligingsmaatregelen. Dit niveau is bedoeld voor organisaties die de meest gevoelige soorten CUI verwerken. Level 3 legt de nadruk op proactieve en geavanceerde cyberverdediging, waaronder detectie- en responsmogelijkheden en voortdurende monitoring. Het vereist een volwassen, geïnstitutionaliseerde benadering van cyberbeveiliging, met formele processen en initiatieven voor continue verbetering.

Wat zijn de vereisten voor CMMC-naleving?

Zoals besproken zijn er drie verschillende niveaus van CMMC-naleving, waarbij elk niveau extra vereisten met zich meebrengt.

• Bij CMMC Level 1 moeten organisaties aantonen dat zij Federal Contract Information (FCI) kunnen beschermen. Dit niveau omvat daarom alleen praktijken die voldoen aan 15 basisbeveiligingsvereisten.
• CMMC Level 2-praktijken zijn geavanceerder dan niveau 1, met complexe cyberhygiënepraktijken die gevoeligere informatie beschermen. Op dit niveau zijn er 110 praktijken waaraan organisaties moeten voldoen, met een reeks jaarlijkse en driejaarlijkse beoordelingen.
• CMMC Level 3 is ontworpen om zeer kritieke informatie te beschermen tegen advanced persistent threats. Dit niveau is gericht op een selecte groep defensie-aannemers met capaciteiten die van vitaal belang zijn voor nationale veiligheidsbelangen. Level 3 bevat alle 110 vereisten van Level 2, plus 24 extra vereisten uit NIST SP 800-172, die zijn ontworpen om CUI te beschermen tegen advanced persistent threats (APT’s). Level 3 zal naar verwachting een kleinere, meer gerichte groep defensie-aannemers vertegenwoordigen die over capaciteiten beschikken die kritiek zijn voor nationale veiligheidsbelangen. De specifieke vereisten en beoordelingsmethodologie voor dit niveau zijn door het DoD gedefinieerd in de Level 3 Guide en binnen Final Rule 32 CFR.

Is er doorlopend onderhoud vereist na het behalen van CMMC-certificering?

Ja, het behouden van CMMC-naleving vereist voortdurende monitoring, onderhoud en voortdurende verbetering van cyberbeveiligingspraktijken. Bovendien kunt u voor elk niveau regelmatige beoordelingen verwachten om volledige naleving te waarborgen.

• CMMC Level 1:
  Verwacht jaarlijks een zelfevaluatie uit te voeren.
• CMMC Level 2:
  Hier hangt de beoordeling af van of de betrokken gegevens kritiek of niet-kritiek zijn voor de nationale veiligheid. Als het kritiek is, moeten organisaties elke drie jaar een beoordeling door een externe partij ondergaan. Is het niet kritiek, dan is een jaarlijkse zelfevaluatie vereist.
• CMMC Level 3:
  Vanwege het uiterst gevoelige karakter van de informatie op dit niveau, worden beoordelingen hier door de overheid zelf uitgevoerd op driejaarlijkse basis. Lees ons stappenplan voor CMMC-naleving vandaag nog om meer te weten te komen over deze verschillende niveaus.

Begin vandaag nog met uw CMMC-nalevingstraject met Kiteworks

Bij Kiteworks ondersteunen we u graag tijdens uw CMMC 2.0-nalevingstraject.

Het Kiteworks Private Content Network voldoet bijna aan 90% van de CMMC Level 2-vereisten direct uit de doos.

Vraag vandaag nog een demo aan en ontdek hoe Kiteworks uw CMMC-nalevingsbehoeften effectief kan ondersteunen.