Waarom MSP’s en MSSP’s hun CMMC-praktijken bouwen op Kiteworks
Handhaving van CMMC 2.0 Fase 1 is van kracht en verandert niet: contractanten die Federal Contract Information (FCI) of Controlled Unclassified Information (CUI) verwerken, moeten nu zelf de NIST SP 800-171 controls beoordelen en hierover verklaren, met blootstelling aan de False Claims Act bij valse verklaringen. Fase 2 — de verplichting tot onafhankelijke C3PAO-beoordeling van Level 2- en Level 3-contractanten — ligt anders: op 13 juli 2026 heeft het Department of War deze fase opgeschort, samen met “alle lopende en toekomstige CMMC-mijlpalen”, in afwachting van een 60-daagse “top-to-bottom”-evaluatie van het programma.
DoD/DoW Chief Information Officer Kirsten Davies schreef in het memo van 13 juli dat het huidige CMMC-programma “aanzienlijke en vaak prohibitieve lasten” oplegt aan kleine en niet-traditionele defensiebedrijven, en gaf een nieuwe CMMC Reform Task Force de opdracht een raamwerk aan te bevelen dat drempels verlaagt zonder de bescherming van CUI in gevaar te brengen. De bevindingen van de task force worden binnen 60 dagen verwacht, wat een beslismoment rond half september 2026 oplevert. Tot die tijd vertrouwt DoW op self-assessments en selecte, door de overheid geleide beoordelingen in plaats van C3PAO-audits. Level 1 self-assessment (voor FCI) en Level 2 self-assessment (voor CUI), die sinds november 2025 van kracht zijn, blijven verplicht in huidige en toekomstige contracten.
De bedrijven die door CMMC worden geraakt, bestrijken nog altijd de volle breedte van de defense industrial base — van aerospace-systeemintegrators tot kleine fabrikanten en IT-leveranciers — en de overgrote meerderheid bestaat uit kleine tot middelgrote bedrijven zonder eigen compliance-personeel. Zij zijn op zoek naar een vertrouwde adviseur die hen kan begeleiden langs de CMMC-compliance-roadmap en de technische infrastructuur kan leveren die nodig is om te slagen voor een C3PAO-beoordeling zodra de derde-partijverplichting weer wordt ingevoerd.
Precies daar komen MSP’s en MSSP’s in beeld. Een MSP die als Registered Practitioner Organization (RPO) is geaccrediteerd binnen het raamwerk van de CMMC Accreditation Body kan klanten adviseren over assessmentvoorbereiding, hun omgevingen configureren en doorlopende compliance als dienst leveren. Maar deze praktijk werkt alleen als het platform dat de MSP inzet daadwerkelijk voldoet aan de onderliggende NIST SP 800-171 controls — of deze nu worden getoetst via de huidige self-assessment of via een toekomstige C3PAO-audit.
Kiezen voor een platform dat CMMC-gereedheid claimt zonder gedocumenteerde certificeringen is niet alleen een technische tekortkoming. Onder de False Claims Act brengt het ten onrechte certificeren dat een contractant CMMC-compliant is terwijl dat niet zo is, civiele boetes met zich mee die kunnen oplopen tot $28.619 per valse claim, plus drievoudige schadevergoeding. De platformkeuze is dus net zozeer een zakelijke en juridische beslissing als een technische.
Kiteworks is ontworpen voor precies deze omgeving. Het platform levert uniforme CMMC 2.0-compliance over elk kanaal waarlangs Controlled Unclassified Information beweegt, ondersteund door certificeringen die zonder enige twijfel voldoen aan de eisen van het DoD.
Belangrijkste inzichten
1. De defense industrial base blijft de duidelijkst afgebakende markt voor compliance-diensten binnen managed IT — opschorting of niet.
Naar schatting meer dan 80.000 DIB-contractanten zullen uiteindelijk CMMC Level 2-certificering nodig hebben, en de meeste beschikken niet over interne compliance-medewerkers. De opschorting van juli 2026 pauzeert de deadline voor de C3PAO-derde-partijbeoordeling, niet de onderliggende NIST SP 800-171 self-assessmentverplichting of het contractrisico daarachter. MSP’s en MSSP’s die nu een geloofwaardige CMMC-praktijk opbouwen, veroveren een terugkerende, verplichte omzetstroom — en staan het beste gepositioneerd om als eerste te bewegen zodra de derde-partijbeoordelingsverplichting wordt hervat.
2. De platformkeuze bepaalt of een CMMC-praktijk slaagt of faalt.
Veel leveranciers claimen CMMC-afstemming zonder de certificeringen te dragen die daadwerkelijk door DoD-eisen worden erkend. Een MSP die een ongekwalificeerd platform inzet, stelt klanten bloot aan mislukte assessments en, onder de False Claims Act, stelt beide partijen bloot aan civiele boetes tot $28.619 per valse claim plus drievoudige schadevergoeding.
3. Kiteworks dekt standaard 90% van de CMMC 2.0 Level 2-eisen.
Die dekking omvat de controlfamilies waar een C3PAO het scherpst op zal letten — toegangscontrole, audit en verantwoording, configuratiebeheer, identificatie en authenticatie, en systeem- en communicatiebeveiliging — en geeft klanten daarmee het sterkst mogelijke startpunt voordat de beoordeling zelfs maar begint.
4. Kiteworks beschikt over een echte FedRAMP Moderate Authority to Operate, geen zelf-verklaarde equivalentieclaim.
Die autorisatie wordt elk jaar sinds juni 2017 bevestigd door een geaccrediteerde derde-partijbeoordelingsorganisatie, en voldoet zonder aanvullende equivalentiebepaling van de contractant aan de DFARS 7012-eis voor cloudbeveiliging.
5. Een single-tenant architectuur en één uniform auditlog maken CMMC-assessments sneller en overzichtelijker.
Elke DIB-klant krijgt een eigen, toegewijde Kiteworks-omgeving zonder gedeelde infrastructuur. Elke interactie met CUI — e-mail, bestandsdeling, managed file transfer, SFTP, dataformulieren — komt samen in één onveranderlijk auditlog, waardoor de beoordelaar of het eigen compliance-team van de contractant een compleet, manipulatiebestendig bewijspakket krijgt, zonder dat de MSP dit handmatig hoeft samen te stellen.
CMMC 2.0 Compliance Stappenplan voor DoD-aannemers
Lees nu
De CMMC-kans die MSP’s en MSSP’s niet kunnen negeren
De CMMC Final Rule stelde een gefaseerd compliance-tijdpad vast. Level 2-eisen — die rechtstreeks corresponderen met alle 110 controls uit NIST 800-171 — gelden voor elke contractant die Controlled Unclassified Information verwerkt onder een DoD-contract. Onder het oorspronkelijke tijdpad zouden Level 2-contractanten uiteindelijk beoordeeld moeten worden door een geaccrediteerde C3PAO; sinds 13 juli 2026 heeft het Department of War die opschaling van derde-partijbeoordelingen (oorspronkelijk gepland om te starten op 10 november 2026) opgeschort in afwachting van zijn 60-daagse hervormingsevaluatie, terwijl de self-assessmentverplichtingen voor Level 1 en Level 2 van kracht blijven. Met meer dan 80.000 contractanten die uiteindelijk onder Level 2 vallen, is de markt voor gekwalificeerde CMMC-adviseurs niet theoretisch — die is direct, gedocumenteerd en groeit naarmate contractverlengingen meer van de toeleveringsketen binnen bereik brengen, ongeacht welk beoordelingsmechanisme DoW uiteindelijk kiest.
De compliance-verplichting eindigt niet bij één beoordelingsmoment, en dat is precies wat de DIB tot een sterke markt voor managed services maakt. Contractanten moeten hun beveiligingsmaatregelen operationeel houden, hun System Security Plan bijwerken bij significante wijzigingen, bevindingen aanpakken via een POA&M-proces en hun self-assessmentscore actueel houden in het Supplier Performance Risk System (SPRS). Die discipline geldt zowel voor contractanten die vandaag zelf verklaren als voor wie een volledige C3PAO-certificering heeft behaald of nastreeft zodra Fase 2 wordt hervat. Precies dit soort doorlopende operationele last is waarvoor MSP’s zijn gebouwd om klanten te ontzorgen.
Er speelt ook een dynamiek rond supply chain risk management die de moeite waard is om te begrijpen. Wanneer een hoofdaannemer gecertificeerd wordt, ontstaat er druk op zijn onderaannemers. Wanneer een Tier 1-onderaannemer slaagt voor zijn beoordeling, komen de Tier 2-leveranciers die dezelfde FCI verwerken in beeld. Een MSP die is ingebed in het compliance-programma van een gecertificeerde contractant staat goed gepositioneerd om ook de onderaannemersrelaties van die contractant te bedienen naarmate eisen zich verder door de keten verspreiden. De CMMC-compliance-checklist geeft MSP’s een gestructureerde inventarisatie van alle 110 Level 2-controls om af te zetten tegen klantomgevingen — een essentieel startpunt om elk nieuw traject nauwkeurig te scopen voordat het werk begint.
Waarom het platform onder de praktijk allesbepalend is
CMMC Level 2 vereist het voldoen aan 110 controls verdeeld over 17 domeinen. Die controls bepalen hoe gebruikers zich authenticeren, hoe CUI tussen systemen beweegt, hoe toegangsgebeurtenissen worden gelogd en hoe incidenten worden gedetecteerd en gerapporteerd. Geen enkel platform dekt alle 110 controls — beleid, procedures en aanvullende tooling blijven altijd nodig — maar het platform bepaalt hoeveel controls de klant gedocumenteerd en afgedekt heeft als startpunt, versus hoeveel er vanaf nul opgebouwd moeten worden.
Dat verschil in startpunt is in de praktijk enorm bepalend. Een klant die een platform inzet dat 40% van de Level 2-eisen dekt, staat een aanzienlijk langer en duurder traject naar certificering te wachten dan een klant die bij 90% start. Het tijdpad voor assessmentvoorbereiding van de MSP, de kans op slagen bij de eerste poging en de totale trajectkosten volgen allemaal uit die basislijn. Kiteworks dekt standaard 90% van de CMMC Level 2-eisen, wat RPO’s het best mogelijke fundament geeft nog voordat de CMMC-gap-analyse zelfs maar begint.
De platformkeuze heeft ook een juridisch gewicht dat veel MSP’s onderschatten — en dat gewicht is arguably groter nu dan vóór de opschorting van Fase 2, aangezien zelfverklaring in plaats van derde-partijaudit momenteel het primaire compliance-mechanisme is waarop DoW steunt. DFARS 7012 stelt dat cloudservices die CUI verwerken moeten voldoen aan de FedRAMP Moderate-beveiligingseisen. Leveranciers die zelfverklaarde FedRAMP-equivalentie aanbieden zijn niet hetzelfde als leveranciers met een bevestigde FedRAMP Moderate Authority to Operate. Of dit onderscheid nu wordt getoetst via het eigen SPRS-self-assessment van een contractant vandaag, of via een C3PAO-audit zodra Fase 2 wordt hervat — het is het verschil tussen een bevinding en een schoon resultaat. Het inzetten van een platform dat deze toets niet doorstaat, plaatst klanten in een gedocumenteerd compliance-gat, en onder de False Claims Act wordt dat gat juridische blootstelling op het moment dat de contractant compliance verklaart aan het DoD. Een formele risicobeoordeling die elke cloudservice die door DIB-klanten wordt gebruikt afzet tegen de FedRAMP Moderate-baseline — waarbij de autorisatiestatus wordt bevestigd via de officiële Marketplace in plaats van via leveranciersverklaringen — is de due-diligencestap die deze blootstelling voor MSP’s sluit voordat een self-assessmentpakket wordt ingediend.
Hoe Kiteworks CMMC Level 2 vanaf het begin dekt
De meeste organisaties die CMMC-compliance nastreven, stellen aparte tools samen voor e-mailbeveiliging, bestandsdeling, managed file transfer, SFTP en dataformulieren. Elke tool heeft zijn eigen beveiligingspositie, zijn eigen logformaat en zijn eigen model voor beleidshandhaving. Die versnippering creëert reële assessmentcomplexiteit: een beoordelaar — of die nu een self-assessment reviewt of een C3PAO-audit uitvoert — moet elk systeem afzonderlijk beoordelen tegen de relevante controlfamilies, en een gat in één van die systemen wordt een bevinding tegen de hele beoordeling. Data-classificatie die uniform wordt toegepast over alle kanalen — in plaats van afzonderlijk in elke tool — is een voorwaarde om consistente CUI-verwerking aan te tonen.
Kiteworks werkt anders. Het is een uniforme secure data exchange die CUI beheert over Kiteworks secure email, Kiteworks secure file sharing, secure managed file transfer, Kiteworks SFTP en Kiteworks secure dataformulieren via één centraal controlepunt. Toegangsbeleid, DLP-regels, malwarescans en anomaliedetectie gelden eenmalig over alle kanalen, in plaats van apart geconfigureerd en onderhouden te worden in vijf verschillende producten.
De impact op compliance is direct. Controlfamilies zoals Access Control (AC), Audit and Accountability (AU) en System and Communications Protection (SC) gelden voor elk systeem waarlangs CUI stroomt. In een uniform platform zijn die controls gedocumenteerd, gecentraliseerd en op één plek aantoonbaar. Kiteworks handhaaft FIPS 140-3-gevalideerde encryptie tijdens transport en opslag, genereert onveranderlijke auditlogs voor elke interactie en produceert geautomatiseerde compliance-rapporten die voldoen aan de CMMC Level 2-documentatie-eisen zonder handmatige samenstelling. Attribute-based access control (ABAC)-beleid beoordeelt gebruikersrol, gevoeligheid van content en aanvraagcontext bij elke CUI-toegangsgebeurtenis — zodat een gecompromitteerd account of een verkeerd geconfigureerde permissie niet stilzwijgend buiten zijn geautoriseerde bereik kan komen, precies het soort granulaire toegangsbewijs waar een beoordelaar naar zal zoeken binnen het AC-domein.
Voor een MSP die een CMMC-praktijk opbouwt, verandert die startpuntdekking het klantgesprek volledig. In plaats van aan te komen met een langdurige remediatie-roadmap, komt de MSP binnen met een platform dat de moeilijkste technische controls al afhandelt. Het traject richt zich op beleidsdocumentatie, omgevingsconfiguratie en assessmentvoorbereiding — werk dat de MSP efficiënt en op schaal kan leveren aan meerdere klanten tegelijk. Het CISO Dashboard geeft de MSP real-time inzicht in de CUI-activiteit van elke klant over alle kanalen, wat proactieve compliance-monitoring tussen beoordelingscycli mogelijk maakt. De onderliggende Kiteworks Private Data Network-architectuur levert de uniforme governance-positie — één beleidsengine, één audittrail, één gehard implementatiemodel — die CMMC-self-assessmentdocumentatie coherent maakt in plaats van samengeraapt uit vijf losstaande systemen.
FedRAMP-autorisatie en wat het werkelijk betekent voor DFARS
Het meest voorkomende compliance-gat in CMMC-implementaties is ook het meest te vermijden: het inzetten van een cloudserviceprovider die niet daadwerkelijk voldoet aan de DFARS 7012-beveiligingseis.
DFARS 7012 vereist dat cloudservices die namens een DoD-contractant CUI verwerken, opslaan of doorgeven, ofwel FedRAMP Moderate Authorized zijn, ofwel voldoen aan gedocumenteerde equivalente beveiligingseisen. Het equivalentietraject bestaat, maar vereist substantiële documentatie — een gedetailleerde vergelijking van de controls van de CSP met de FedRAMP Moderate-baseline en een brief die wordt ingediend bij de DoD CIO. Het is geen vinkje. Nu de handhaving van CMMC volwassener wordt, signaleert het DoD toenemende scrutiny op equivalentieclaims, en verschillende vroege beoordelingen hebben bevindingen opgeleverd die specifiek gekoppeld zijn aan ongekwalificeerde cloudservices.
Kiteworks beschikt over een daadwerkelijke FedRAMP Moderate-autorisatie, een formele Authority to Operate uitgegeven door de Joint Authorization Board en elk jaar sinds juni 2017 bevestigd door een geaccrediteerde 3PAO. Dat is geen marketingclaim. Het is een gedocumenteerde federale autorisatie die voldoet aan de FedRAMP-compliance-eisen onder DFARS 7012, zonder aanvullende equivalentiebepaling van de contractant. Voor een MSP die Kiteworks inzet voor een DIB-klant heeft de vraag over de cloudservice een definitief, gedocumenteerd antwoord.
Dat is direct relevant voor blootstelling aan de False Claims Act. Een contractant die ten onrechte CMMC-compliance certificeert — inclusief het ten onrechte verklaren dat zijn cloudservice aan de vereiste beveiligingsstandaard voldoet — riskeert civiele boetes tot $28.619 per valse claim, plus drievoudige schadevergoeding. Een MSP die een platform inzet zonder echte FedRAMP-autorisatie, plaatst zijn klant in dat blootstellingsvenster. De autorisatie van Kiteworks sluit dat risico. Organisaties die per abuis hebben vertrouwd op de FedRAMP-equivalentieclaim van een leverancier moeten de overstap naar een daadwerkelijk geautoriseerd platform behandelen als een urgente remediatie, niet als een toekomstig roadmap-item.
Dit punt weegt zwaarder, niet lichter, na de opschorting van Fase 2: nu de derde-partijverificatie door C3PAO’s is gepauzeerd, leunt DoW op zelfverklaring om de CMMC-baseline te handhaven. De SPRS-score en het self-assessmentpakket van elke contractant vormen nu het primaire bewijs dat DoW ziet — wat betekent dat een valse verklaring over cloudbeveiliging dichter aan de oppervlakte ligt, en dichter bij directe blootstelling aan de False Claims Act, dan toen een C3PAO-audit nog tussen verklaring en handhaving in stond. Data-governance-documentatie die elke cloudservice die CUI verwerkt koppelt aan zijn FedRAMP-autorisatiestatus — onderhouden als een levend document in plaats van een momentopname — is de organisatorische praktijk die zelfverklaring verdedigbaar maakt onder toetsing.
Een CMMC-praktijk met terugkerende omzet opbouwen
De business case voor MSP’s en MSSP’s reikt ver voorbij één enkel traject — en de opschorting van Fase 2 in juli 2026 maakt het argument voor terugkerende omzet sterker, niet zwakker. Contractanten moeten hun NIST SP 800-171-self-assessment en SPRS-score vandaag continu bijhouden, incidenten beantwoorden volgens gedocumenteerde incident response-procedures en klaarstaan om die self-assessmentpositie om te zetten in een C3PAO-gereed programma zodra de aanbevelingen van de CMMC Reform Task Force van kracht worden. Nieuwe en verlengde contracten verwijzen al naar de actuele self-attestation-status, wat betekent dat elk gat in het compliance-programma nu al directe contractuele gevolgen heeft — met als extra risico dat een valse zelfverklaring, anders dan een mislukte derde-partijaudit, directe aansprakelijkheid onder de False Claims Act creëert.
Kiteworks ondersteunt die doorlopende relatie. Elke DIB-klant krijgt een volledig geïsoleerde single-tenant-instantie — toegewijde infrastructuur en toegewijde encryptiesleutels, zonder gedeelde CUI-blootstelling binnen het klantenbestand van de MSP. De MSP configureert, bewaakt en rapporteert elke omgeving afzonderlijk. De SIEM-integraties van het platform voeden CUI-activiteitsgegevens in realtime door naar de security-operationstools van de MSP, wat proactieve compliance-monitoring mogelijk maakt in plaats van haastig voorbereiden op een geplande audit.
Dit stelt de MSP in staat om platformbeheer, security-monitoring, beleidsgovernance en assessmentvoorbereiding aan te bieden als een doorlopend traject in plaats van een reeks eenmalige projecten. Dat model genereert voorspelbare omzet, verdiept klantrelaties en bouwt overstapdrempels op die het account op de lange termijn beschermen. De CMMC-gap-analyse waarmee de relatie begint, wordt de basis voor een compliance-managementprogramma met gedefinieerde deliverables en heldere verlengingslogica.
De DIB is geen discretionaire markt, zelfs met Fase 2 op pauze. Contractanten die CUI verwerken onder DoD-contracten zijn verplicht — niet aangemoedigd, niet gestimuleerd, verplicht — om zelf te beoordelen en te verklaren, en DoW’s eigen intentie is om binnen 60 dagen terug te komen met een “schaalbaar, realistisch” beoordelingsraamwerk, niet om derde-partijverificatie helemaal los te laten. Dat vertaalt zich direct naar aanhoudende vraag naar gekwalificeerde MSP-partners die het juiste platform kunnen leveren, correct kunnen configureren en klanten audit-gereed kunnen houden, ongeacht welk beoordelingsmodel DoW uiteindelijk kiest. Kiteworks geeft MSP’s 90% out-of-the-box Level 2-dekking, een FedRAMP Moderate-autorisatie die voldoet aan DFARS 7012 zonder omwegen, en een uniform CUI-governancemodel dat standhoudt onder zowel self-assessment als C3PAO-scrutiny. MSP’s die ook klanten bedienen met ITAR-compliance-verplichtingen zullen merken dat de single-tenant-architectuur en FIPS-gevalideerde encryptie van Kiteworks ook aan die eisen voldoen, waardoor één platform de volledige gereguleerde defensie-toeleveringsketen kan bedienen.
Wil je weten hoe Kiteworks MSP’s en MSSP’s helpt om winstgevende, terugkerende CMMC-praktijken op te bouwen voor hun klanten binnen de defense industrial base? Plan vandaag nog een persoonlijke demo.
Veelgestelde vragen
Een Registered Practitioner Organization (RPO) is een door Cyber-AB geautoriseerde status voor adviesorganisaties — waaronder MSP’s — die niet-gecertificeerde CMMC-adviesdiensten leveren via de inzet van Registered Practitioners (RP’s). RPO’s helpen contractanten met gap-analyse, begeleiding bij de implementatie van controls en de voorbereiding van het System Security Plan, maar mogen geen Certified CMMC Assessment uitvoeren; die bevoegdheid ligt uitsluitend bij C3PAO’s. Om RPO te worden, registreert een organisatie zich bij Cyber-AB, onderschrijft zij de Code of Professional Conduct en heeft zij minstens één RP in dienst of onder contract (iemand die een door Cyber-AB goedgekeurde training heeft afgerond en het vereiste examen en de achtergrondcontrole heeft doorstaan). MSP’s hebben de RPO-status niet strikt nodig om algemene managed services aan defensiecontractanten te verkopen, maar zonder deze status mogen zij de Cyber-AB RPO-aanduiding of het logo niet gebruiken, en klanten verwachten dit steeds vaker als basale geloofwaardigheidssignaal — vooral nu C3PAO-beoordelingen door derden zijn opgeschort en zelfverklaring meer direct juridisch gewicht draagt. Gebruik de CMMC-compliance-checklist als gestructureerd naslagwerk voor elke Level 2-control die een RPO-traject moet behandelen. De gids CMMC Level 2-eisen biedt de uitsplitsing per domein die MSP’s helpt om trajecten nauwkeurig te scopen en te prijzen voordat het werk begint.
DFARS 252.204-7012 vereist dat elke cloudservice die namens een DoD-contractant CUI verwerkt, ofwel FedRAMP Moderate Authorized is, ofwel voldoet aan een gedocumenteerde equivalentiestandaard. Kiteworks voldoet hieraan op de directe manier: het beschikt over een daadwerkelijke FedRAMP Moderate Authority to Operate, uitgegeven door de Joint Authorization Board en elk jaar sinds juni 2017 opnieuw bevestigd door een geaccrediteerde 3PAO. Een MSP die Kiteworks inzet, hoeft geen FedRAMP-equivalentiepakket op te bouwen of te verdedigen voor de klant — de autorisatie bestaat al en voldoet aan de DFARS 7012-cloudbeveiligingseis zonder aanvullende equivalentiebepaling. MSP’s moeten de autorisatiestatus verifiëren via de officiële FedRAMP-compliance-documentatie in plaats van via marketingmateriaal van de leverancier — de Marketplace-vermelding is het gezaghebbende record waarnaar een self-assessmentpakket of C3PAO-beoordelaar zal verwijzen. Organisaties moeten ook hun praktijken op het gebied van supply chain risk management beoordelen om te bevestigen dat onderaannemers die CUI ontvangen via door Kiteworks beheerde kanalen zelf voldoen aan de toepasselijke DFARS- en NIST 800-171-verplichtingen op hun niveau.
Het betekent dat een MSP die een CMMC-traject start op Kiteworks, begint vanaf ongeveer 96 van de 110 NIST SP 800-171-practices die al gedocumenteerd en technisch afgedwongen worden door het platform — verspreid over de controlfamilies (toegangscontrole, audit en verantwoording, configuratiebeheer, identificatie en authenticatie, systeem- en communicatiebeveiliging) die de meeste scrutiny krijgen in elke beoordeling, zelf uitgevoerd of door derden. In de praktijk beperkt dat het werk van de MSP tot beleidsdocumentatie, omgevingsconfiguratie en de resterende controls die afhangen van de eigen procedures en fysieke omgeving van de klant, in plaats van een beveiligingsarchitectuur vanaf nul op te bouwen. Dat vertaalt zich in kortere trajecten, een hoger slagingspercentage bij de eerste poging en de mogelijkheid om meer trajecten tegelijk winstgevend uit te voeren. Zie de volledige control-mapping in de CMMC 2.0-compliance-documentatie van Kiteworks. Een risicobeoordeling die de resterende 10% van de controls in kaart brengt — de beleids-, fysieke en procedurele domeinen die Kiteworks niet direct afdekt — geeft de MSP de geprioriteerde remediatie-roadmap die een geslaagde eerste poging haalbaar maakt.
Elke DIB-klant van Kiteworks draait in zijn eigen toegewijde, geïsoleerde omgeving met eigen encryptiesleutels, niet in een gedeelde multi-tenant-instantie. Dat elimineert een hele categorie scopingvragen voor een beoordelaar: er is geen gedeelde infrastructuur waarmee rekening gehouden moet worden, geen data van andere tenants binnen de CUI-grens, en geen multi-tenant-isolatiecontrols die apart geverifieerd moeten worden. In combinatie met één onveranderlijk auditlog dat elk kanaal dekt — e-mail, bestandsdeling, managed file transfer, SFTP, dataformulieren — krijgt de beoordelaar één helder bewijspakket in plaats van vijf versnipperde. Dat geldt zowel voor de eigen self-assessment van een contractant vandaag als voor een C3PAO-audit zodra Fase 2 wordt hervat. MSP’s moeten de data-governancegrens van elke klant documenteren — de specifieke Kiteworks-instantie, de kanalen binnen scope en de verwerkte CUI-typen — in het System Security Plan, aangezien beoordelaars het SSP zullen kruisverwijzen naar de geïmplementeerde architectuur. Data-minimalisatie-beleid dat CUI beperkt tot alleen de kanalen en gebruikersrollen die operationeel noodzakelijk zijn, verkleint de bewijslast verder door de assessmentgrens zo smal mogelijk te houden.
CMMC-compliance is geen eenmalige gebeurtenis. Contractanten moeten hun beveiligingsmaatregelen operationeel houden, hun System Security Plan bijwerken wanneer de omgeving verandert, bevindingen verhelpen via een POA&M en hun self-assessmentscore actueel houden in SPRS — werk dat doorloopt gedurende de volledige driejarige certificeringscyclus en opnieuw begint bij herbeoordeling. Dat is een natuurlijk model voor terugkerende diensten voor een MSP: platformbeheer en monitoring, periodieke controlbeoordelingen, POA&M-tracking, door SIEM gevoede compliance-monitoring via tools zoals het Kiteworks CISO Dashboard, en voorbereiding op herbeoordeling, gefactureerd als doorlopend traject in plaats van eenmalig project — hetzelfde model geldt of de klant nu vandaag zelf verklaart of zich voorbereidt op een C3PAO-audit zodra Fase 2 wordt hervat. Een gedocumenteerd incident-responseplan dat scenario’s dekt zoals ransomware of gecompromitteerde inloggegevens met CUI — inclusief gedefinieerde DFARS 252.204-7012-meldingstermijnen en rollbackprocedures — is een deliverable met hoge waarde die de meeste DIB-klanten missen en die direct bijdraagt aan compliance met het IR-domein van NIST 800-171.
Nee — niet aan de kant van self-assessment. Op 13 juli 2026 heeft het Department of War CMMC Fase 2 opgeschort, wat betekent dat de opschaling van verplichte derde-partijbeoordelingen door C3PAO’s (oorspronkelijk gepland om te starten op 10 november 2026) gepauzeerd is in afwachting van een 60-daagse hervormingsevaluatie, met een rapport dat rond half september 2026 wordt verwacht. De Fase 1-eisen — Level 1 self-assessment voor FCI en Level 2 self-assessment voor CUI, beide van kracht sinds november 2025 — blijven gelden, en DoW heeft aangegeven dat programma’s self-assessmenteisen kunnen blijven opnemen in contracten. Contractanten moeten hun NIST SP 800-171-self-assessment, SSP, POA&M en SPRS-score actueel houden en de opschorting beschouwen als een planningsvenster, niet als een compliance-vakantie: DoW’s gestelde doel is een “schaalbare, realistische” vervanging van het huidige C3PAO-model, niet het einde van derde-partijverificatie. MSP’s moeten het venster van 60 dagen gebruiken om een risicobeoordeling uit te voeren van de huidige NIST 800-171-controlpositie van elke klant tegen de volledige set van 110 controls — gaten identificeren die kunnen leiden tot blootstelling onder de False Claims Act binnen het huidige zelfverklaringsregime, en deze sluiten voordat de CMMC Reform Task Force zijn aanbevelingen vrijgeeft.
Aanvullende bronnen
- Blog Post
CMMC-compliance voor kleine bedrijven: uitdagingen en oplossingen - Blog Post
CMMC Compliance Guide voor DIB-leveranciers - Blog Post
CMMC Auditvereisten: wat beoordelaars willen zien bij het beoordelen van je CMMC-gereedheid - Guide
CMMC 2.0 Compliance Mapping voor gevoelige contentcommunicatie - Blog Post
De werkelijke kosten van CMMC-compliance: waar defensie-aannemers rekening mee moeten houden