CMMC Stappenplan: Uw Ultieme Gids voor CMMC 2.0-naleving

CMMC 2.0 biedt het Amerikaanse ministerie van Defensie (DoD) de middelen om privégegevens te beschermen tegen kwaadaardige aanvallen op zijn toeleveringsketen. Het koppelt NIST 800-171 vereisten aan elk van de Level 2-praktijken plus 24 extra NIST 800-172 vereisten voor Level 3.

DoD-aannemers moeten aantonen dat ze voldoen aan de Cybersecurity Maturity Model Certification (CMMC) 2.0 via zelfevaluaties én het inschakelen van CMMC Organisaties van derde beoordelaars (C3PAO’s). Een gefaseerde implementatie van CMMC 2.0 wordt verwacht te starten in Q1 2025, waarbij CMMC in alle DoD-contracten voor aannemers en onderaannemers uiterlijk in 2028 verplicht is. Ter voorbereiding op de publicatie van de definitieve CMMC-regel en de inwerkingtreding in Q1 2025, eisen sommige DoD-aannemers nu al van hun onderaannemers dat zij compliance aantonen.

Over CMMC

De Cybersecurity Maturity Model Certification (CMMC) is een regelgeving die is ingevoerd om de cyberbeveiligingsprocedures en -normen binnen de Industriële Defensiebasis (DIB) te verbeteren. Het is ontstaan als reactie op groeiende zorgen over de beveiliging van gecontroleerde, niet-geclassificeerde informatie (CUI) binnen de toeleveringsketen.

CMMC heeft impact op alle organisaties die contracten afsluiten met het Department of Defense (DoD), inclusief kleine bedrijven, leveranciers van commerciële producten en buitenlandse leveranciers. Volgens de regelgeving moeten deze organisaties gecertificeerd zijn op vijf verschillende volwassenheidsniveaus, elk met specifieke cyberbeveiligingspraktijken en -processen.

De regelgeving is cruciaal omdat het een uniforme standaard biedt voor het implementeren van cyberbeveiliging binnen de DIB die met gevoelige informatie werkt. Het is ontworpen om volledige bescherming te bieden van kritische, eigendoms-, strategische en operationele gegevens tegen datalekken en cyberaanvallen.

De voordelen van het aantonen van CMMC-naleving zijn onder meer verbeterde nationale veiligheid door gegevensbescherming, het vergroten van de geloofwaardigheid en marktpositie van het bedrijf dankzij verbeterde cyberbeveiligingspraktijken, en het behouden van de geschiktheid voor DoD-contracten. Het helpt organisaties ook om hun sterke en zwakke punten op het gebied van cyberbeveiliging te identificeren, wat leidt tot efficiëntere en effectievere bedrijfsvoering.

Beoordeling van de dreiging voor de DoD-toeleveringsketen

Hoewel CUI niet geclassificeerd is, vindt de overheid dat CUI beschermd moet worden, omdat een datalek een bedreiging kan vormen voor de nationale veiligheid. Vooral DoD-computersystemen bevatten enorme hoeveelheden gevoelige data, waaronder CUI, die intern en met honderden duizenden aannemers en onderaannemers wordt verzonden, gedeeld, ontvangen en opgeslagen.

Deze data, zowel onderweg als in rust, kan kwetsbaar zijn voor cyberaanvallen. Een goed geïmplementeerde beveiligingsstatus van een DoD-aannemer, scherpe inkoopzorgvuldigheid en contractbepalingen elimineren niet per se alle kwetsbaarheden die samenhangen met het verzenden, delen, ontvangen en opslaan van CUI en de potentiële impact op het DoD en zijn aannemers en onderaannemers.

CMMC 2.0 vereenvoudigt wat oorspronkelijk werd geïntroduceerd in CMMC 1.0, door van vijf niveaus naar drie te gaan en elk van de gebieden in Level 2 te koppelen aan NIST 800-171.

CMMC 2.0: Wie wordt geraakt?

Alle civiele organisaties die zaken doen met de overheid moeten voldoen aan CMMC 2.0. De lijst met entiteiten omvat:

• DoD-hoofdaannemers
• DoD-onderaannemers
• Leveranciers op alle niveaus in de Industriële Defensiebasis (DIB)
• Kleine leveranciers binnen de DoD
• Commerciële leveranciers die CUI verwerken, behandelen of opslaan
• Buitenlandse leveranciers
• Teamleden van DoD-aannemers die CUI verwerken, zoals IT managed service providers

CMMC level compliance wordt toegewezen aan aannemers en onderaannemers op basis van het type CUI en FCI dat zij verwerken en uitwisselen.

CMMC 2.0 Rechtsbevoegdheid: Hoe ver strekt CMMC zich uit in de DoD-toeleveringsketen?

De CMMC-standaard geldt voor alle entiteiten binnen de DoD-toeleveringsketen, inclusief organisaties die Federal Contract Information (FCI), Controlled Unclassified Information (CUI) en andere gevoelige informatie verwerken, ongeacht met welke specifieke organisatie het contract is afgesloten. Dit omvat zowel hoofdaannemers als hun onderaannemers op elk niveau, inclusief leveranciers, verkopers en adviseurs.