De CMMC 2.0-routekaart: van uw huidige situatie naar certificering
De meeste defensie-toeleveranciers falen niet voor CMMC 2.0 omdat ze het framework niet begrijpen. Ze falen omdat ze het behandelen als één deadline in plaats van een reeks fasen, elk met eigen opleveringen, en onder tijdsdruk alles tegelijk proberen te doen in plaats van het stap voor stap te doorlopen.
Dit is die reeks: vijf fasen, in de volgorde waarin ze in de praktijk plaatsvinden, van uw eerste eerlijke blik op waar u vandaag staat tot het doorlopende werk om gecertificeerd te blijven. Sommige van deze fasen kennen veel onderliggende details; waar dat het geval is, verwijzen we naar de uitgebreidere gids in plaats van die hier te herhalen. Deze pagina is de kaart. De gelinkte gidsen zijn het terrein.
Let op: de vereisten voor certificering door derden in CMMC Fase 2 zijn in juli 2026 opgeschort door het Department of War, in afwachting van een programma-evaluatie. De vereisten voor zelfevaluatie en uw onderliggende NIST SP 800-171-verplichtingen blijven ongewijzigd van kracht. Zie onze post CMMC Fase II is opgeschort. Uw DFARS-verplichtingen niet. voor de actuele status van het programma.
Samenvatting
Kernpunt: CMMC 2.0-certificering is een traject van vijf fasen: bepaal het vereiste niveau, breng de huidige tekortkomingen in kaart, herstel en documenteer, verifieer via zelfevaluatie of certificering door een derde partij, en onderhoud de naleving doorlopend. Toeleveranciers die deze fasen proberen af te korten of in een andere volgorde te doorlopen, moeten werk vrijwel altijd overdoen.
Waarom dit belangrijk is: CMMC-naleving is geen keuze voor organisaties die willen meedingen naar opdrachten met Controlled Unclassified Information (CUI) — het is een harde voorwaarde. Maar het traject naar certificering is lang genoeg dat starten zonder duidelijke volgorde tijd en budget verspilt. Als u de fasen in de juiste volgorde kent, kunt u realistisch plannen in plaats van in paniek tegen een deadline aan te werken.
Fase 1: Bepaal uw vereiste CMMC-niveau
Voordat u een routekaart kunt uitstippelen, moet u weten waar u naartoe werkt. Het CMMC-niveau wordt bepaald door het type gegevens dat u verwerkt, niet door de grootte van uw organisatie of hoe gevoelig u uw eigen activiteiten zelf inschat.
Werkt u alleen met Federal Contract Information (FCI), dan volstaat Niveau 1 — geverifieerd via een jaarlijkse zelfevaluatie op basis van 17 basale beveiligingsmaatregelen. Werkt u met Controlled Unclassified Information (CUI), dan is Niveau 2 vereist — geverifieerd via zelfevaluatie of certificering door een derde partij, getoetst aan alle 110 controls uit NIST SP 800-171, afhankelijk van het specifieke contract. Een klein aantal programma’s met de hoogste prioriteit vereist Niveau 3, met aanvullende, verzwaarde controls uit NIST SP 800-172.
Controleer uw contracttekst en de doorgeleide vereisten van uw hoofdaannemer rechtstreeks — dit staat doorgaans expliciet vermeld en is niet iets waar u naar hoeft te raden. Voor een volledig overzicht van wat elk niveau vereist, zie onze gids voor CMMC-naleving.
Fase 2: Breng uw huidige tekortkomingen in kaart
Zodra uw doelniveau vaststaat, is de volgende stap een eerlijke gap-analyse: hoe verhoudt uw huidige omgeving zich tot de specifieke controls die uw niveau vereist, en wat ontbreekt er nog?
Dat betekent dat u elk systeem in kaart brengt dat met CUI of FCI in aanraking komt — niet alleen de voor de hand liggende systemen. CUI stroomt via e-mail, bestandsdeling, managed file transfer, webformulieren die door partners worden ingediend, en in toenemende mate via AI-tools die medewerkers gebruiken zonder formele goedkeuring. Een gap-analyse die alleen naar uw primaire systemen kijkt en deze secundaire kanalen over het hoofd ziet, levert vanaf het begin een compliance-plan met gaten op.
Het resultaat van deze fase moet een realistisch beeld zijn van waar u staat ten opzichte van elke vereiste controlefamilie — Access Control, Audit and Accountability, Configuration Management, Identification and Authentication, Media Protection, System and Communications Protection, en de rest — en niet een vaag gevoel van ‘grotendeels compliant’. Voor een gedetailleerde checklist om dit systematisch te doorlopen, zie onze CMMC-nalevingschecklist.
Fase 3: Herstel en documenteer
Hier vindt het merendeel van het daadwerkelijke werk plaats, en dit is doorgaans de langste fase. Voor elke tekortkoming die in Fase 2 is vastgesteld, hebt u ofwel een geïmplementeerde control nodig, ofwel een gedocumenteerd Plan of Action and Milestones (POA&M) met een realistisch tijdpad voor herstel.
Twee documenten vormen de kern van deze fase. Uw System Security Plan (SSP) beschrijft, control voor control, hoe uw organisatie elke vereiste beveiligingsmaatregel implementeert — dit is het document dat een C3PAO-assessor regel voor regel doorneemt, en het moet weergeven wat u daadwerkelijk doet, niet wat u zou willen doen. Uw POA&M houdt elke control bij die nog niet volledig is geïmplementeerd, met concrete herstelstappen en data. Een SSP die uw werkelijke situatie mooier voorstelt dan hij is, vormt een groter risico dan een eerlijke SSP met een gedocumenteerd herstelplan — zeker gezien de focus van het Civil Cyber-Fraud Initiative van het Amerikaanse Ministerie van Justitie op toeleveranciers die hun compliance-status verkeerd voorstellen.
Voor toeleveranciers met beperkte middelen of technische capaciteit — kleinere teams, een beperkt beveiligingsbudget, geen toegewijd compliance-personeel — is dit vaak de fase waarin één centraal platform dat beleidshandhaving consolideert en over elk kanaal audit-klare documentatie oplevert, het verschil maakt tussen een beheersbaar project en een overweldigende opgave. Voor advies specifiek gericht op kleine en middelgrote toeleveranciers, zie Beste CMMC-compliancesoftware voor kleine defensie-toeleveranciers.
Fase 4: Verifieer via een assessment
Zodra controls zijn geïmplementeerd en gedocumenteerd, bevestigt verificatie dit. Hoe dit precies verloopt, hangt af van uw niveau en, bij Niveau 2, van hoe kritiek uw specifieke programma is.
Niveau 1 wordt jaarlijks geverifieerd via zelfevaluatie, waarbij de resultaten worden bevestigd door een senior functionaris binnen het bedrijf. Niveau 2 wordt geverifieerd via zelfevaluatie (voor niet-geprioriteerde programma’s) of via beoordeling door een geaccrediteerde C3PAO (voor geprioriteerde programma’s met de meest kritieke nationale veiligheidsinformatie) — al is de C3PAO-vereiste momenteel opgeschort in afwachting van de eerder genoemde programma-evaluatie van het Department of War. Niveau 3 vereist een door de overheid geleide beoordeling.
Welk traject ook van toepassing is, uw SPRS-score — geplaatst in het Supplier Performance Risk System — moet ongeacht het type assessment actueel en accuraat zijn, aangezien hoofdaannemers en contracting officers deze score rechtstreeks raadplegen bij het beoordelen van subcontractors.
Fase 5: Onderhoud naleving doorlopend
Certificering is geen eenmalige prestatie. CMMC-naleving is een continue staat, geen project met een einddatum — controls moeten blijven functioneren, documentatie moet actueel blijven, en hercertificering keert voor Niveau 2 en Niveau 3 elke drie jaar terug.
Neem hercertificering vanaf het begin op in uw routekaart in plaats van het als een probleem voor later te beschouwen: wijs duidelijke verantwoordelijkheid toe voor het actueel houden van uw SSP en POA&M naarmate uw omgeving verandert, plan periodieke interne reviews in in plaats van te wachten tot de hercertificeringsdeadline om afwijkingen te ontdekken, en houd uw audit trail doorlopend up-to-date, zodat bewijs van naleving op elk moment beschikbaar is en niet pas vlak voor een assessment moet worden gereconstrueerd.
Organisaties die Fase 5 serieus nemen, ervaren hercertificering doorgaans als veel minder ingrijpend dan organisaties die hun SSP en POA&M tussen assessments in laten verouderen en hun compliance-beeld elke drie jaar vanaf nul moeten opbouwen.
Hoe Kiteworks elke fase van de CMMC-routekaart ondersteunt
Kiteworks is opgebouwd rond de specifieke technische vereisten die NIST SP 800-171 stelt aan organisaties die met CUI werken, en ondersteunt out of the box bijna 90% van de vereisten van CMMC Niveau 2.
Voor Fase 2 en 3 consolideert Kiteworks de kanalen waarmee CUI wordt verwerkt — beveiligde e-mail, beveiligde bestandsdeling, managed file transfer, SFTP en beveiligde dataformulieren — in één centrale beleidsengine, ter vervanging van de gefragmenteerde tools en inconsistente beleidsregels die gap-analyse en herstel onnodig lastig maken. AES-256-versleuteling met FIPS 140-3-gevalideerde cryptografische modules en encryptiesleutels die eigendom blijven van de klant, adresseren de controlefamilie System and Communications Protection rechtstreeks.
Voor Fase 4 zorgt één centraal, onveranderlijk audit trail over alle kanalen ervoor dat assessors — of het nu gaat om een zelfevaluatie of een C3PAO-beoordeling — precies het bewijs krijgen dat ze nodig hebben, zonder dat u handmatig logs uit losstaande systemen hoeft samen te stellen.
Voor Fase 5 blijft datzelfde centrale audit trail doorlopend actueel, waardoor hercertificering neerkomt op het beoordelen van bestaand bewijs in plaats van het elke drie jaar opnieuw opbouwen van uw compliance-positie vanaf nul. Kiteworks beschikt bovendien over FedRAMP Moderate-autorisatie, wat toeleveranciers gedocumenteerde control-overerving biedt waarmee de reikwijdte van assessments in elke fase van deze routekaart wordt beperkt.
Wilt u weten hoe Kiteworks uw organisatie kan ondersteunen in de specifieke fase van de CMMC-routekaart waarin u zich bevindt? Plan een demo op maat.
Veelgestelde vragen
Vijf fasen, in deze volgorde: bepaal het vereiste CMMC-niveau op basis van het type gegevens dat u verwerkt (FCI of CUI); voer een gap-analyse uit over elk systeem dat met die gegevens in aanraking komt; herstel de vastgestelde tekortkomingen en documenteer uw beveiligingssituatie in een System Security Plan en een Plan of Action and Milestones; verifieer uw naleving via zelfevaluatie of certificering door een externe C3PAO, afhankelijk van uw niveau en programma; en onderhoud de naleving doorlopend, inclusief driejaarlijkse hercertificering voor Niveau 2 en Niveau 3. Toeleveranciers die deze fasen in de juiste volgorde doorlopen, hebben doorgaans een soepeler traject dan wie onder tijdsdruk probeert af te koersen op de gap-analyse of documentatie.
De doorlooptijd verschilt sterk, afhankelijk van de startpositie op het gebied van beveiliging, de omvang van de organisatie en het vereiste CMMC-niveau. Organisaties met een volwassen beveiligingsprogramma en goede documentatiepraktijken kunnen het traject in enkele maanden afronden. Organisaties die starten met gefragmenteerde tools, inconsistent beleid en geen formele documentatie hebben vaak een jaar of langer nodig, met name voor certificering op Niveau 2, waarvoor alle 110 controls uit NIST SP 800-171 vereist zijn. De fasen gap-analyse en herstel nemen doorgaans de meeste tijd in beslag, omdat ze zowel het implementeren van ontbrekende controls als het opstellen van documentatie omvatten die een assessor kan beoordelen.
Een System Security Plan (SSP) documenteert hoe uw organisatie elke vereiste beveiligingscontrol implementeert — het is een beschrijving van uw huidige beveiligingssituatie, control voor control, en het belangrijkste document dat een C3PAO-assessor tijdens certificering beoordeelt. Een Plan of Action and Milestones (POA&M) documenteert controls die nog niet volledig zijn geïmplementeerd, samen met concrete herstelstappen en streefdata. Beide documenten moeten accuraat en actueel zijn; een SSP die controls beschrijft die u in werkelijkheid niet hebt geïmplementeerd, creëert juridisch risico onder het Civil Cyber-Fraud Initiative van het Amerikaanse Ministerie van Justitie, dat False Claims Act-zaken aanspant tegen toeleveranciers die hun compliance-status verkeerd voorstellen.
Nee. CMMC-naleving is een doorlopende staat, geen project met een vaste einddatum. Certificering op Niveau 2 en Niveau 3 vereist driejaarlijkse hercertificering, en de onderliggende beveiligingscontrols moeten tussen assessments in geïmplementeerd en effectief blijven, niet alleen op het moment van certificering zelf. Organisaties die gedurende de hele certificeringscyclus actuele documentatie, doorlopende monitoring en een continu bijgewerkt audit trail bijhouden, ervaren hercertificering doorgaans aanzienlijk eenvoudiger dan organisaties die hun compliance-positie laten verwateren en deze voor elk assessment opnieuw moeten opbouwen.