Uw DSPM heeft aangegeven waar uw CUI zich bevindt. Waarom slaagt u dan nog steeds niet voor CMMC?

Organisaties in de industriële defensiebasis geven zes- en zevencijferige bedragen uit aan Data Security Posture Management-tools. En die tools doen precies wat ze beloven: ze scannen bestandsoverdracht, cloudopslag, databases en SaaS-apps om Controlled Unclassified Information te vinden die verspreid is over de hele organisatie.

De dashboards zien er indrukwekkend uit tijdens bestuursvergaderingen. De gap-rapportages zijn grondig. De risicoscores zijn kleurgecodeerd en terecht alarmerend.

Er is echter één probleem. Ontdekking beschermt niets.

5 Belangrijke Inzichten

1. DSPM lost het ontdekkingsprobleem op, niet het beschermingsprobleem. DSPM-platforms zijn uitermate geschikt voor het scannen van bestandsoverdracht, cloudopslag, databases en SaaS-applicaties om Controlled Unclassified Information te lokaliseren. Ze brengen in kaart waar CUI zich bevindt, wie er toegang toe heeft en of bestaande controles toereikend zijn. Maar ontdekking is slechts de eerste helft van CMMC 2.0-naleving. DSPM-tools bieden niet de beveiligde enclave, FIPS 140-3 gevalideerde encryptie of gereguleerde communicatiekanalen die beoordelaars vereisen. CUI vinden en CUI beschermen zijn twee fundamenteel verschillende disciplines.
2. Externe samenwerking is het blinde vlek van DSPM. DIB-organisaties delen dagelijks CUI met hoofdaannemers, onderaannemers en overheidsinstanties. DSPM-tools richten zich op interne opslagplaatsen. Ze hebben geen mechanisme om te reguleren hoe CUI tussen organisaties beweegt — wie het ontvangt, via welk kanaal, onder welke encryptie of met welke audittrail. Voor bedrijven die afhankelijk zijn van gecontroleerde informatie-uitwisseling over de grenzen van de toeleveringsketen heen, is dit het meest kritieke gat in hun nalevingsstatus.
3. Detectie achteraf is geen preventie. DSPM waarschuwt je wanneer CUI verkeerd wordt behandeld — nadat de overtreding al heeft plaatsgevonden. CMMC-beoordelaars willen controles zien die ongeautoriseerde toegang en overdracht voorkomen op het moment van gegevensuitwisseling. Een notificatiesysteem dat rapporteert over overtredingen is niet hetzelfde als een handhavingsplatform dat ze stopt.
4. Het “Better Together”-model wint aan terrein. Vooruitstrevende DSPM-leveranciers en handhavingsplatforms vormen strategische partnerschappen die gegevensontdekking verbinden met geautomatiseerde beleidsafhandeling. Deze integraties gebruiken classificatielabels om realtime controles te activeren — encryptie, toegangsbeperkingen, tijdsgebonden delen — wanneer gevoelige gegevens extern worden gedeeld. De organisaties die het snelst richting CMMC-certificering bewegen, zetten beide mogelijkheden in als parallelle werkstromen.
5. DSPM is de beoordelingslaag; je hebt nog steeds een beschermingslaag nodig. De volledige CMMC-tech stack omvat beoordeling (DSPM), bescherming (beveiligde CUI-enclave en gereguleerde communicatie), infrastructuur (EDR, firewalls, SIEM), identiteit (multi-factor authentication, beheer van bevoorrechte toegang) en governance (GRC-platforms). DSPM beslaat één laag. Certificering behalen vereist ze allemaal.

De ongemakkelijke waarheid over DSPM en CMMC 2.0

DSPM-platforms zijn goed in wat ze doen. Ze vinden CUI waarvan je niet wist dat die bestond. Ze signaleren slapende accounts met toegang tot gevoelige data. Ze identificeren privilege-creep die zich jarenlang heeft opgebouwd. Ze brengen datastromen in kaart en lichten nalevingsgaten uit ten opzichte van CMMC Level 2-praktijken.

Dat is belangrijk. Je kunt geen data beschermen die je niet hebt gevonden. Maar hier gaat de logica mis: data vinden en data beveiligen zijn twee totaal verschillende disciplines.

Een DSPM-scan kan bijvoorbeeld CUI aantreffen in een niet-goedgekeurde SharePoint-map, gedeeld met een “Iedereen”-groep, zonder enige encryptie. Nuttige informatie. Maar de DSPM-tool kan die data niet verplaatsen naar een geharde omgeving, deze niet versleutelen met FIPS 140-3 gevalideerde cryptografie, geen least-privilege toegang afdwingen of de onveranderlijke audittrail genereren die een CMMC-beoordelaar zal eisen.

DSPM stelt de diagnose. Het biedt geen behandeling.

Dat onderscheid is belangrijker dan de meeste DIB-organisaties beseffen. CMMC 2.0 Level 2 vereist aantoonbare bescherming van CUI over 110 beveiligingspraktijken afgeleid van NIST SP 800-171. Ontdekking en classificatie dekken slechts een handvol van deze praktijken. De meerderheid — vooral die in de families Access Control, Audit and Accountability en System and Communications Protection — vereisen actieve handhaving: encryptie van gegevens in rust en onderweg, gecontroleerde datastromen, onveranderlijke logs en least-privilege toegangscontroles die werken op het moment van gegevensuitwisseling.

Geen enkele DSPM-tool op de markt biedt die handhavingslaag. En geen enkele mate van ontdekkingscomplexiteit verandert die fundamentele beperking.

Wat DSPM daadwerkelijk goed doet

Voordat we ingaan op de gaten, is het goed om precies te zijn over wat DSPM toevoegt. Deze mogelijkheden zijn reëel en van belang voor CMMC-voorbereiding.

CUI-ontdekking en classificatie. DSPM-platforms scannen on-premise bestandsoverdracht, cloudopslag, databases en SaaS-applicaties om CUI te lokaliseren. Ze brengen in kaart waar het is opgeslagen, wie toegang heeft en of bestaande bescherming voldoet aan de basisvereisten. Voor organisaties die hun CUI nog nooit hebben geïnventariseerd — wat de meeste zijn — is dit een essentiële eerste stap.

Risicobeoordeling van toegang. Deze tools identificeren overmatig blootgestelde CUI: bestanden gedeeld met brede groepen, slapende accounts met toegang, permissies die zich jarenlang hebben opgestapeld zonder review. De output is een risicogestuurd overzicht van wie gevoelige data kan bereiken en of dat terecht is.

Nalevingsgap-analyse. DSPM-platforms vergelijken ontdekte data met CMMC 2.0-praktijken. Ze genereren gap-rapportages, prioriteren herstel op basis van risico en nalevingsimpact, en volgen de voortgang richting gereedheid. Deze rapporten zijn daadwerkelijk nuttig in de vroege stadia van CMMC-voorbereiding.

Continue monitoring. Eenmaal ingezet, waarschuwen DSPM-tools bij nieuwe CUI-opslagplaatsen buiten goedgekeurde systemen, detecteren beleidschendingen zoals CUI opgeslagen in niet-goedgekeurde cloudservices en monitoren configuratieafwijkingen die nalevingsgaten kunnen veroorzaken.

Dit alles is waardevol. Maar het is niet voldoende.

Drie pijnpunten die het DSPM-plus-bescherming-gesprek aanjagen

Organisaties die CMMC 2.0-certificering nastreven, lopen tegen dezelfde muren aan, en het patroon is voorspelbaar.

CUI is overal, en niemand pakt de opschoning op. DSPM-scans tonen CUI aan in tientallen — soms honderden — opslagplaatsen over e-mail, bestandsoverdracht, cloudopslag en samenwerkingsplatforms. Securityteams hebben nu een volledige probleeminventaris. Wat ontbreekt is een gereguleerde bestemming: een beveiligde enclave, speciaal gebouwd voor CUI-opslag en -overdracht. Zonder zo’n omgeving blijven de gap-rapportages groeien. Elke kwartaal-scan brengt meer CUI aan het licht op niet-goedgekeurde locaties, en de herstelachterstand groeit omdat er geen aangewezen “juiste” plek is om het naartoe te verplaatsen.

Externe samenwerking is het blinde vlek. DIB-organisaties delen dagelijks CUI met hoofdaannemers, onderaannemers en overheidsinstanties. DSPM-tools richten zich op interne opslagplaatsen. Ze hebben geen mechanisme om te reguleren hoe CUI tussen organisaties beweegt — wie het ontvangt, via welk kanaal, onder welke encryptie, met welke audittrail. Voor bedrijven die afhankelijk zijn van gecontroleerde informatie-uitwisseling over de grenzen van de toeleveringsketen heen, is dit geen klein gat. Het is het gat. En het is het gat dat tijdens een CMMC-beoordeling het meest onder de loep wordt genomen, omdat beoordelaars specifiek beoordelen hoe organisaties CUI beschermen tijdens externe overdracht.

Detectie achteraf is geen preventie. DSPM waarschuwt je wanneer iemand CUI opslaat op een niet-goedgekeurde locatie — nadat de overtreding al heeft plaatsgevonden. Beoordelaars willen controles zien die ongeautoriseerde toegang en overdracht voorkomen op het moment van uitwisseling, niet een notificatiesysteem dat er later over rapporteert. Stel je het scenario voor: een ingenieur mailt een technische tekening met CUI naar een onderaannemer via een persoonlijk Gmail-account. Een DSPM-tool kan dit achteraf signaleren. Maar de data heeft de organisatie al verlaten via een niet-versleuteld, niet-gereguleerd kanaal zonder audittrail. De nalevingsschending is compleet. De schade is aangericht. Preventie op het moment van uitwisseling is wat CMMC vereist, en dat is een mogelijkheid die DSPM niet biedt.

Waar DSPM stopt en bescherming begint: een vereistenoverzicht

De duidelijkste manier om de verdeling van verantwoordelijkheden te begrijpen, is door specifieke CMMC-vereisten te koppelen aan de tools die ze aanpakken.

Voor Access Control-praktijk AC.L2-3.1.1 — systeemtoegang beperken tot geautoriseerde gebruikers — ontdekt DSPM wie momenteel toegang heeft tot CUI-opslagplaatsen. Een beschermingsplatform dwingt least-privilege toegang tot CUI af binnen een beveiligde enclave.

Voor AC.L2-3.1.20 — CUI-stroom beheersen — brengt DSPM huidige datastromen in kaart. Een beschermingsplatform dwingt goedgekeurde CUI-stromen af via gereguleerde, versleutelde kanalen.

Voor Audit and Accountability-praktijk AU.L2-3.3.1 — auditlogs aanmaken en bewaren — identificeert DSPM systemen zonder auditlogging. Een beschermingsplatform genereert onveranderlijke audittrails voor elke CUI-toegang, wijziging en overdracht.

Voor System and Communications Protection-praktijk SC.L2-3.13.11 — FIPS-gevalideerde cryptografie toepassen — identificeert DSPM CUI die zonder encryptie is opgeslagen. Een beschermingsplatform biedt FIPS 140-3 gevalideerde encryptie voor CUI in rust en onderweg.

Voor SC.L2-3.13.16 — CUI-vertrouwelijkheid beschermen — beoordeelt DSPM de huidige beschermingsstatus. Een beschermingsplatform implementeert een geharde enclave voor CUI-communicatie.

Dit patroon geldt voor alle CMMC-controlefamilies. DSPM laat zien waar naleving tekortschiet. De beschermingslaag bouwt het weer op.

Het DSPM-partnerschapsmodel: ontdekking ontmoet handhaving

De meest effectieve aanpak van CMMC-naleving beschouwt DSPM en bescherming als complementaire lagen in een geïntegreerde stack, niet als concurrerende oplossingen. Dit is geen theoretisch argument. De markt beweegt deze kant op via strategische partnerschappen tussen DSPM-leveranciers en handhavingsplatforms.

Deze integraties werken doorgaans via classificatielabels. Wanneer een DSPM-platform een document classificeert als “Confidentieel” of labelt met nalevingslabels zoals “CMMC” of “ITAR“, past het handhavingsplatform automatisch bijbehorende controles toe — encryptie, toegangsbeperkingen, tijdsgebonden delen, bewerken zonder bezit — telkens wanneer die data extern wordt gedeeld. De classificatie stuurt het beleid. Het beleid stuurt de handhaving. En de handhaving genereert de audittrail.

Dit model elimineert de handmatige overdracht die complianceprogramma’s historisch heeft geplaagd. In plaats van dat een security-analist een DSPM-rapport doorneemt, een gat identificeert, een ticket aanmaakt en wacht op herstel, wordt de hele cyclus automatisch gesloten: classificeren, handhaven, loggen. Die snelheid en consistentie zijn van belang tijdens CMMC-beoordelingen, waar beoordelaars niet alleen beoordelen of controles bestaan, maar of ze continu en betrouwbaar werken.

Het Kiteworks Private Data Network is gebouwd rond dit integratiemodel. Het gebruikt Microsoft Information Protection-labels die door DSPM-platforms zijn toegepast en gebruikt deze om automatisch beleid te creëren en af te dwingen wanneer data extern wordt gedeeld. Dit omvat of bestanden gekopieerd of gedownload mogen worden, hoe lang ontvangers toegang hebben en welk encryptieniveau wordt toegepast tijdens verzending en opslag. Elke actie genereert een onveranderlijk auditrecord.

Kiteworks heeft sinds 2017 een FedRAMP Matige Autorisatie en behaalde in 2025 de FedRAMP High Ready-status. Die autorisatiegeschiedenis is belangrijk tijdens CMMC-beoordelingen omdat het vooraf gevalideerde beveiligingscontroles aantoont die direct aansluiten op Level 2-vereisten. Gecombineerd met FIPS 140-3 gevalideerde cryptografie en een geharde virtual appliance-architectuur biedt het de CUI-beschermingsinfrastructuur die DSPM-tools als noodzakelijk signaleren, maar zelf niet kunnen bieden.

De complete CMMC-technologiestack

DSPM- en beschermingsplatforms werken niet op zichzelf. De volledige CMMC-nalevingsarchitectuur omvat vijf lagen, elk met een eigen doel:

• Beoordeling: CUI ontdekken, gaten identificeren, herstel prioriteren. Dit is de DSPM-laag.
• Bescherming: Beveiligde CUI-opslag en -overdracht via een gereguleerde enclave en versleutelde communicatiekanalen.
• Infrastructuur: Geharde endpoints, netwerksegmentatie, detectie en reactie van eindpuntbedreigingen, firewalls en SIEM.
• Identiteit: Multi-factor authentication, beheer van bevoorrechte toegang en identity governance.
• Governance: Beheer van beleid, nalevingstracking en GRC-platforms die de andere lagen verbinden.

Organisaties die zwaar investeren in één laag en de andere verwaarlozen, zullen indrukwekkende mogelijkheden hebben op één gebied en schrijnende tekortkomingen op een ander. Beoordelaars evalueren de volledige stack, niet de losse componenten.

Wat dit betekent voor DIB-organisaties in diverse stadia

Als jouw organisatie al DSPM heeft ingezet, heb je de eerste vraag beantwoord: waar is onze CUI en wie kan erbij? De tweede vraag is lastiger: wat doen we eraan? Een uitgebreide DSPM-inzet zonder handhavingsplatform is een dure manier om je eigen non-compliance te documenteren. De gap-rapportages zullen grondig zijn. De beoordelaar zal je alsnog afwijzen. De volgende stap is het opzetten van de beschermingslaag — een beveiligde enclave met gereguleerde communicatiekanalen die CUI kan ontvangen, opslaan en verzenden volgens de CMMC-vereisten.

Als jouw organisatie DSPM evalueert, plan dan vanaf het begin voor zowel ontdekking als bescherming. Veel DIB-organisaties maken de fout DSPM als een op zichzelf staande CMMC-oplossing te zien, om er maanden later achter te komen dat ontdekking zonder handhaving hen tekort doet voor certificering. Begroot voor beide. Zet ze parallel of opeenvolgend in, maar besef vanaf dag één dat je beide lagen nodig hebt.

Als jouw organisatie geen van beide heeft, heb je twee parallelle behoeften: begrijpen waar je CUI zich nu bevindt en het bouwen van de beveiligde omgeving waar het hoort te zijn. Sommige organisaties beginnen met DSPM om het probleem te scopen en zetten daarna een beschermingsplatform in om het op te lossen. Anderen zetten eerst de beschermingslaag op en gebruiken daarna DSPM om CUI te vinden en te migreren. De volgorde is minder belangrijk dan het besef dat beide lagen onmisbaar zijn.

Wanneer DSPM-leveranciers te ver gaan: hoe claims te beoordelen

Sommige DSPM-leveranciers positioneren hun tools als volledige CMMC-oplossingen. De claim klinkt meestal als volgt: “Ons platform ontdekt, classificeert en monitort CUI, waardoor je continue CMMC-naleving hebt.” Zo beoordeel je die claim ten opzichte van wat CMMC daadwerkelijk vereist.

Biedt het een beveiligde enclave voor CUI? CMMC vereist dat CUI wordt opgeslagen en verzonden in beschermde omgevingen. DSPM scant bestaande systemen. Het creëert niet de geharde infrastructuur die CMMC vereist. Kan de tool geen FedRAMP-geautoriseerde, FIPS 140-3 gevalideerde infrastructuur bieden voor CUI-workflows, dan is het geen beschermingsoplossing.

Reguleert het externe CUI-deling? DIB-organisaties moeten CUI delen met externe partners onder gecontroleerde voorwaarden. Als de tool interne opslagplaatsen monitort, maar geen encryptie, toegangscontroles en auditlogging kan afdwingen bij overdracht van CUI naar een hoofdaannemer of overheidsinstantie, blijft het meest kritieke deel van de CMMC-beoordeling onbeantwoord.

Dwingt het controles af in realtime? Detectie en waarschuwingen zijn waardevol. Maar CMMC vereist preventie — controles die werken op het moment van gegevensuitwisseling, niet pas na een overtreding. Als het primaire mechanisme van de tool waarschuwingen achteraf zijn, is het een monitoringtool, geen handhavingstool.

Biedt het CMMC-klare audittrails? DSPM kan ontdekkingsscans en waarschuwingsgebeurtenissen loggen. CMMC-beoordelaars eisen onveranderlijke audittrails van elke CUI-toegang, wijziging en overdracht. Kan de tool die records niet leveren voor externe gegevensuitwisselingen, dan voldoet het niet aan de audit- en verantwoordingsvereisten.

Geen van deze beperkingen doet af aan de waarde van DSPM voor het beoogde doel. Maar ze moeten wel organisaties informeren bij het beoordelen van leveranciersclaims over CMMC-gereedheid.

De kern

DSPM vindt het probleem. Je hebt nog steeds iets nodig dat het oplost.

De organisaties die het snelst CMMC 2.0-certificering behalen, zijn degenen die dit onderscheid vanaf het begin begrijpen. Zij zetten DSPM in om hun CUI te ontdekken en te classificeren. Ze zetten een beschermingsplatform in om de beveiligde enclave te bouwen en externe communicatie te reguleren. Ze integreren beide zodat classificatielabels automatisch handhaving aansturen. En ze genereren de onveranderlijke audittrails die continue naleving aan beoordelaars bewijzen.

Ontdekking en bescherming. Beoordeling en handhaving. Diagnose en behandeling. CMMC vereist beide kanten van de vergelijking. De vraag is niet of je in DSPM moet investeren — maar of je hebt gepland voor wat erna komt, wanneer DSPM je vertelt waar je CUI is en hoe blootgesteld deze is.

Want dat is de vraag die de beoordelaar gaat stellen. En “we hebben een heel goed dashboard” is geen antwoord dat volstaat.

Wil je weten hoe Kiteworks kan helpen, plan vandaag nog een aangepaste demo.

Aanvullende bronnen

• Brief Kiteworks + Data Security Posture Management (DSPM)
• Blog Post DSPM vs Traditionele Data Security: Kritieke gaten in gegevensbescherming dichten
• Blog Post DSPM ROI Calculator: Branche-specifieke kostenvoordelen
• Blog Post Waarom DSPM tekortschiet en hoe risicoleiders beveiligingsgaten kunnen beperken
• Blog Post Essentiële strategieën voor het beschermen van door DSPM-geclassificeerde vertrouwelijke data in 2026