CMMC 2.0 Stappenplan in de DIB: Onderzoeksresultaten over de basis van naleving

Cybersecurity-kwetsbaarheden in de defensie-toeleveringsketen vormen een van de grootste nationale veiligheidsuitdagingen waarmee de Verenigde Staten vandaag worden geconfronteerd. Nu tegenstanders steeds vaker kleinere aannemers als toegangspunt gebruiken om gevoelige informatie te bemachtigen, heeft het Department of Defense het Cybersecurity Maturity Model Certification (CMMC) framework opgezet om voldoende bescherming van Controlled Unclassified Information (CUI) binnen de Defense Industrial Base (DIB) te waarborgen.

Een baanbrekend onderzoek van Kiteworks en Coalfire biedt ongekende inzichten in hoe DIB-organisaties omgaan met CMMC 2.0 Level 2-naleving. Het rapport “State of CMMC 2.0 Preparedness in the DIB” onderzocht 209 organisaties van diverse grootte en rollen, en onthult duidelijke patronen in nalevingsbenaderingen, implementatie-uitdagingen en strategische beslissingen die defensie-aannemers kunnen begeleiden in elke fase van hun certificeringstraject.

Dit onderzoek komt op een cruciaal moment—direct na de publicatie van de 32 CFR Final Rule in december 2024—en legt de reacties van organisaties op de definitieve vereiste vast. De bevindingen tonen aan dat organisaties die gestructureerde, systematische benaderingen van naleving hanteren, consequent betere beveiligingsresultaten behalen op alle gemeten dimensies, en bieden een stappenplan voor effectieve implementatiestrategieën.

Inzicht in CMMC 2.0 Level 2 Vereisten

CMMC 2.0 is een belangrijke verfijning van het oorspronkelijke certificeringsmodel, waarbij het aantal niveaus is teruggebracht van vijf naar drie, terwijl de strenge normen voor het beschermen van gevoelige defensie-informatie behouden blijven. Level 2—de focus van dit onderzoek—sluit direct aan bij NIST SP 800-171 en omvat 110 beveiligingsmaatregelen verdeeld over 14 domeinen.

Ontwikkeling van het CMMC-framework

Het Department of Defense heeft CMMC ontwikkeld om hardnekkige cybersecurity-kwetsbaarheden in de toeleveringsketen aan te pakken. Het framework erkent dat tegenstanders vaak kleinere aannemers als toegangspunt gebruiken om gevoelige informatie te verkrijgen, en creëert zo een allesomvattende aanpak voor het beveiligen van defensie-informatie in de hele keten.

In tegenstelling tot eerdere modellen van zelfattestatie, biedt CMMC een verificatiemechanisme om de daadwerkelijke implementatie van vereiste beveiligingspraktijken te waarborgen. Deze verschuiving van vertrouwen naar verificatie betekent een fundamentele verandering in de manier waarop het DoD de beveiliging van de toeleveringsketen benadert.

Organisaties die CMMC Level 2-certificering nastreven, moeten alle 110 vereiste praktijken implementeren en een beoordeling ondergaan via zelfevaluatie (voor geselecteerde contracten) of een beoordeling door derden uitgevoerd door een Certified Third-Party Assessment Organization (C3PAO). Deze vereisten gelden voor organisaties van elke omvang binnen de DIB die CUI verwerken, van kleine onderaannemers tot grote hoofdaannemers.

Het framework werkt naast aanvullende federale cybersecurity-regelgeving, waaronder Federal Acquisition Regulation (FAR) clausule 52.204-21 en Defense Federal Acquisition Regulation Supplement (DFARS) clausule 252.204-7012. Dit regelgevend ecosysteem zorgt voor een allesomvattende aanpak voor het beveiligen van defensie-informatie in de toeleveringsketen.

Onderzoeksmethodologie en Demografie van Respondenten

Het onderzoek van Kiteworks/Coalfire biedt uitzonderlijke validiteit dankzij de diverse en representatieve steekproef van DIB-organisaties. De studie verzamelde reacties van 209 deelnemers via 22 gerichte vragen om de nalevingsstatus, implementatiebenaderingen en uitdagingen te beoordelen.

Uitgebreide Organisatierepresentatie

Respondenten vertegenwoordigden alle groottecategorieën binnen de defensiesector:

• Kleine organisaties met minder dan 500 medewerkers (32%)
• Middelgrote organisaties met 500-9.999 medewerkers (48%)
• Grote organisaties met 10.000+ medewerkers (20%)

Deze verdeling maakt een gedetailleerde analyse mogelijk van hoe de grootte van een organisatie de aanpak en uitdagingen van CMMC-gereedheid beïnvloedt, en onthult belangrijke patronen in resource-allocatie en implementatiestrategieën binnen diverse organisatiecontexten.

Diversiteit in Leiderschapsperspectieven

De enquête bracht inzichten in kaart vanuit het volledige spectrum van leiderschap:

• CIO/IT-leiders (20%)
• Cybersecurity-leiders (17%)
• CEO/Oprichters (14%)
• Leiders risicobeheer (15%)
• General Counsel/Juridische leiders (8%)
• COO’s (4%)
• CFO’s (1%)

Deze leiderschapsdiversiteit maakt het mogelijk te analyseren hoe functionele rollen de perceptie van nalevingsgereedheid en prioriteiten beïnvloeden, en onthult belangrijke verschillen in de benadering van CMMC-implementatie door technische specialisten en het hogere management.

De data-analyse richtte zich op het identificeren van correlaties tussen organisatiekenmerken en nalevingsbenaderingen, waarbij relaties werden onderzocht tussen het afronden van gap-analyses, documentatiematuriteit en de implementatie van kritieke beveiligingsmaatregelen. Om patronen duidelijker te identificeren, werden de antwoorden gegroepeerd in drie categorieën: kleine, middelgrote en grote organisaties.

Gap-analyse: De Basis van CMMC-succes

Het uitvoeren van een formele gap-analyse op basis van NIST SP 800-171-vereisten komt uit het onderzoek naar voren als de kritieke basis voor alle volgende nalevingsactiviteiten. Organisaties die grondige gap-analyses uitvoeren, laten aanzienlijk hogere niveaus van gestructureerde nalevingsvoorbereiding zien.

Impact van Uitgebreide Beoordeling

Van de ondervraagde organisaties gaf 41% aan een grondige gap-analyse te hebben afgerond, terwijl 37% aangaf dat hun gap-analyse momenteel in uitvoering was. Verontrustend is dat 16% nog niet was begonnen maar van plan was binnenkort te starten, en 6% was onzeker over hun gap-analyse-status—wat wijst op mogelijke communicatieproblemen of planningsgaten binnen die organisaties.

De data tonen opvallende verschillen in gereedheid tussen organisaties die zich richten op beoordelingen en andere organisaties:

Organisaties met afgeronde gap-analyses hadden aanzienlijk vaker ervaren externe partners ingeschakeld, waarbij 62% samenwerkte met derde partij adviseurs, Geregistreerde Aanbiedersorganisaties (RPO’s) of C3PAO’s, tegenover slechts 40% van de organisaties met gap-analyses in uitvoering en 21% van de organisaties die nog niet waren begonnen. Dit patroon suggereert dat grondige gap-analyses organisaties helpen de complexiteit van naleving te herkennen en de waarde van gespecialiseerde, externe expertise inzien.

De correlatie tussen het afronden van gap-analyses en documentatiematuriteit onthult een ander belangrijk patroon. Organisaties met afgeronde gap-analyses rapporteerden hogere percentages volledig gedocumenteerd cybersecuritybeleid en procedures (73%) dan organisaties met analyses in uitvoering (44%) of nog niet gestart (28%). Deze correlatie benadrukt hoe gap-analyses concrete documentatieverbeteringen stimuleren door specifieke tekortkomingen te identificeren die herstel vereisen.

De status van de gap-analyse correleert ook sterk met de implementatie van encryptie. Van de organisaties met afgeronde gap-analyses meldde 77% dat zij gedocumenteerde encryptiestandaarden volgden met verificatie van implementatie. Dit percentage daalt naar 63% voor organisaties met gap-analyses in uitvoering en slechts 42% voor organisaties die nog niet waren begonnen. Deze verschillen onderstrepen de rol van gap-analyses bij het identificeren en aansturen van herstel van specifieke technische tekortkomingen.

De ontwikkeling van het Plan of Action and Milestones (POA&M) vertoont misschien wel de sterkste correlatie met de status van de gap-analyse. Organisaties met afgeronde gap-analyses hadden meer dan twee keer zoveel kans op gedetailleerde POA&M’s met toegewezen verantwoordelijkheden en tijdlijnen (71%) vergeleken met organisaties die nog niet aan gap-analyses waren begonnen (33%). Deze bevinding onderstreept de praktische operationele waarde van gap-analyses bij het structureren van herstelinspanningen. DIB-organisaties moeten ervaren en vertrouwde derde partij experts inschakelen om hen te begeleiden bij de CMMC 2.0 Level 2-nalevingsbeoordeling en implementatieprocessen.

Gap-analyse Benaderingen per Organisatiegrootte

De enquête onthulde ook interessante patronen in de relatie tussen het afronden van gap-analyses en de grootte van de organisatie:

Grote organisaties (10.000+ medewerkers) rapporteerden het hoogste percentage afgeronde gap-analyses met 47%, tegenover 40% voor middelgrote organisaties (500-9.999 medewerkers) en 38% voor kleine organisaties.

De onderzoeksdata maken duidelijk dat organisaties in verschillende fasen van gap-analyse-afronding aanzienlijk verschillende CMMC-gereedheidsuitdagingen ervaren. Organisaties die geen gap-analyses hebben afgerond, worstelen vaak met fundamentele vragen over de toepasbaarheid en reikwijdte van vereisten, terwijl organisaties met afgeronde analyses zich meer richten op specifieke technische implementatie-uitdagingen en resource-allocatie. Deze ontwikkeling onderstreept de kritieke rol van gap-analyses bij het begeleiden van organisaties van algemeen bewustzijn naar specifieke, gerichte nalevingsinspanningen.

Documentatiematuriteit: De Kritieke Schakel naar Implementatie

De onderzoeksresultaten tonen een fundamentele relatie tussen de maturiteit van de cybersecuritydocumentatie van een organisatie en de effectiviteit bij het implementeren van specifieke beveiligingsmaatregelen die vereist zijn voor CMMC 2.0 Level 2. Documentatiematuriteit fungeert zowel als indicator van algemeen cybersecuritybeheer als praktische basis voor consistente implementatie van maatregelen.

Status van Documentatie binnen de DIB

Onder de ondervraagde organisaties:

• 61% rapporteerde volledig gedocumenteerd en regelmatig bijgewerkt cybersecuritybeleid en procedures
• 32% gaf aan dat de documentatie gedeeltelijk was en nog werd bijgewerkt
• 2% rapporteerde minimale documentatie met plannen voor aanzienlijke updates
• 5% was onzeker over hun documentatiestatus

Deze cijfers suggereren dat, hoewel een meerderheid van de DIB-organisaties het belang van uitgebreide documentatie erkent, een aanzienlijk deel nog steeds te maken heeft met documentatiegaten die hun certificeringsgereedheid kunnen beïnvloeden.

De enquête liet interessante variaties zien in documentatiematuriteit naar bedrijfsgrootte. Grote organisaties (10.000+ medewerkers) rapporteerden het hoogste percentage volledig gedocumenteerd beleid met 68%, tegenover 63% voor middelgrote organisaties (500-9.999 medewerkers) en 58% voor kleine organisaties.

Documentatie als Beveiligingsvoorspeller

De correlatie tussen documentatiematuriteit en effectiviteit van beveiligingsimplementatie komt naar voren als een van de belangrijkste bevindingen van het onderzoek. Deze relatie is vooral duidelijk in kritieke beveiligingsdomeinen:

De correlatie tussen documentatiematuriteit en encryptie-implementatie springt eruit als bijzonder significant. Van de organisaties met volledig gedocumenteerd beleid en procedures meldde 83% dat zij gedocumenteerde encryptiestandaarden volgden met verificatie van implementatie. Dit percentage daalt drastisch naar 49% voor organisaties met gedeeltelijk gedocumenteerd beleid en 0% voor organisaties met minimale documentatie.

Nog opvallender is dat organisaties met minimale documentatie 30 keer meer kans hadden op inconsistente encryptie van CUI (60%) dan organisaties met volledig gedocumenteerd beleid (2%). Deze grote verschillen onderstrepen hoe uitgebreide documentatie de basis legt voor consistente, verifieerbare implementatie van beveiligingsmaatregelen.

Toegangscontroles voor derden vertonen vergelijkbare patronen met betrekking tot documentatiematuriteit. Van de organisaties met volledig gedocumenteerd beleid meldde 75% dat zij geavanceerde controles en systemen hadden om ervoor te zorgen dat derden alleen geautoriseerde CUI kunnen benaderen. Dit percentage daalt naar 56% voor organisaties met gedeeltelijk gedocumenteerd beleid en slechts 20% voor organisaties met minimale documentatie. Dit patroon toont aan hoe volwassen documentatiepraktijken de implementatie ondersteunen van complexe technische controles die duidelijke definities, processen en verificatiemechanismen vereisen.

Documentatiematuriteit correleert ook sterk met de betrokkenheid van stakeholders bij CMMC-gereedheidsinspanningen. Organisaties met volledig gedocumenteerd beleid rapporteerden meer dan twee keer zo vaak sterk samenwerkende benaderingen met regelmatige cross-functionele vergaderingen (56%) dan organisaties met gedeeltelijk gedocumenteerd beleid (26%). Deze relatie benadrukt hoe volwassen documentatiepraktijken zowel bredere organisatiebetrokkenheid vereisen als faciliteren, waardoor een positieve feedbackloop ontstaat die het algemene beveiligingsbeheer versterkt.

De perceptie van documentatiematuriteit varieerde opvallend op basis van de rol van de respondent, wat belangrijke verschillen onthult in hoe functionele gebieden de kwaliteit van documentatie beoordelen. CEO/Oprichters rapporteerden het hoogste percentage volledig gedocumenteerd beleid (80%), terwijl Cybersecurity-leiders een aanzienlijk lager percentage rapporteerden (54%). Dit verschil suggereert mogelijke communicatiegaten of verschillen in beoordelingsnormen, waarbij technische specialisten waarschijnlijk strengere criteria hanteren dan het hogere management. COO-respondenten rapporteerden het laagste percentage volledig gedocumenteerd beleid (33%) en het hoogste percentage gedeeltelijke documentatie (67%), mogelijk als gevolg van operationele zorgen over implementatie-uitdagingen van beleid.

De relatie tussen documentatiematuriteit en de ontwikkeling van het Plan of Action & Milestones (POA&M) biedt een andere indicator van de rol van documentatie in gestructureerde nalevingsbenaderingen. Organisaties met volledig gedocumenteerd beleid hadden drie keer meer kans op gedetailleerde POA&M’s met toegewezen verantwoordelijkheden en tijdlijnen (67%) dan organisaties met gedeeltelijk gedocumenteerd beleid (22%). Dit patroon suggereert dat volwassen documentatiepraktijken de overgang van algemeen bewustzijn naar specifieke, uitvoerbare nalevingsplanning vergemakkelijken.

Belangrijkste CMMC 2.0-nalevingslessen: Bouw uw Basis voor Certificeringssucces

Het onderzoek van Kiteworks en Coalfire levert overtuigend bewijs dat organisaties die gestructureerde nalevingsbenaderingen omarmen, superieure resultaten behalen op alle beveiligingsdimensies. De data tonen duidelijk aan dat gap-analyses de essentiële basis vormen voor nalevingssucces, waarbij organisaties die uitgebreide beoordelingen uitvoeren aanzienlijk betere resultaten behalen op het gebied van documentatie, encryptie-implementatie en toegangscontrole door derden.

Even belangrijk is dat het onderzoek documentatiematuriteit onthult als een kritieke voorspeller van de effectiviteit van beveiligingsimplementatie. Organisaties met robuuste documentatie presteren aanzienlijk beter bij het implementeren van technische maatregelen, wat suggereert dat uitgebreide beleidsontwikkeling een fundamentele stap is in het nalevingstraject.

Voor organisaties die beginnen aan hun voorbereiding op CMMC 2.0 Level 2 is de boodschap duidelijk: start met een grondige beoordeling van de huidige beveiligingsstatus ten opzichte van alle 110 NIST SP 800-171-maatregelen en geef prioriteit aan uitgebreide beleidsontwikkeling. Organisaties die al onderweg zijn, moeten hun documentatiematuriteit evalueren en zorgen voor afstemming tussen leidinggevende percepties en technische realiteit.