31 oktober 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
CMMC 2.0 Pentest: Wat de Amerikaanse Defensiestandaard van Europese Toeleveranciers Vraagt en Waar een Penetratietest Bewijs Levert
Sinds 10 november 2025 staat CMMC in nieuwe contracten van het Amerikaanse ministerie van Defensie, en via de verplichte doorlegging bereikt de eis ook Nederlandse en Europese toeleveranciers in lucht- en ruimtevaart, defensie-elektronica, scheepsbouw en software. Dit artikel legt uit hoe de drie niveaus werken, welke NIST SP 800-171-eisen een penetratietest objectief aantoont en hoe u de test scopet rond uw CUI-enclave.
Wat CMMC 2.0 is en voor wie het geldt
De Cybersecurity Maturity Model Certification (CMMC) is het mechanisme waarmee het Amerikaanse ministerie van Defensie (DoD) controleert of contractanten en onderaannemers in de Defense Industrial Base (DIB) de beveiligingseisen daadwerkelijk toepassen waaraan zij contractueel al sinds 2017 gebonden zijn. Op grond van DFARS 252.204-7012 moet iedere contractant die Controlled Unclassified Information (CUI) opslaat, verwerkt of verzendt, de 110 beveiligingseisen van NIST SP 800-171 implementeren, incidenten binnen 72 uur aan het DoD melden en die verplichtingen doorleggen aan onderaannemers. Jarenlang was naleving een eigen verklaring. CMMC vervangt de eigen verklaring door een beoordeling.
Twee regelingen maken het programma concreet. De programmaregel, 32 CFR Part 170, is in oktober 2024 gepubliceerd en op 16 december 2024 in werking getreden; zij definieert de niveaus, de soorten beoordelingen, het ecosysteem van beoordelaars en de scoring. De inkoopregel, de wijziging van de DFARS die clausule 252.204-7021 in aanbestedingen en contracten opneemt, is in september 2025 gepubliceerd en op 10 november 2025 in werking getreden. Vanaf die datum verschijnt CMMC in vier fasen in nieuwe DoD-aanbestedingen: fase 1 (vanaf november 2025) werkt met zelfbeoordelingen; fase 2 (vanaf november 2026) vereist Level 2-certificering door een C3PAO waar het contract dat voorschrijft; fase 3 (vanaf november 2027) voegt Level 3 toe; fase 4 (vanaf november 2028) past CMMC toe op alle relevante aanbestedingen en contracten.
Voor Nederlandse en Europese bedrijven is het misverstand dat CMMC een Amerikaanse aangelegenheid is. Dat is het niet. Wie CUI verwerkt voor een Amerikaanse hoofdaannemer, of voor een onderaannemer van die hoofdaannemer, valt binnen de reikwijdte, ongeacht het land van vestiging. De clausule wordt doorgelegd tot het niveau waarop de CUI-stroom stopt. Nederlandse toeleveranciers in programma's als de F-35, in NAVO-projecten en in de keten van Duitse en Nederlandse integrators met DoD-werk ontvangen deze clausules nu al.
De drie CMMC-niveaus en wat elk niveau vraagt
CMMC 2.0 heeft de oorspronkelijke vijf niveaus teruggebracht tot drie. Het niveau dat een contract vereist, wordt bepaald door de informatie die u verwerkt, niet door de omvang van uw bedrijf.
Level 1 (Foundational): 15 maatregelen, jaarlijkse zelfbeoordeling
Geldt voor contractanten die Federal Contract Information (FCI) verwerken maar geen CUI. De 15 maatregelen komen uit FAR 52.204-21 en betreffen basishygiëne: toegangsbeheer, identificatie en authenticatie, het wissen van media, fysieke beveiliging, perimeterbeveiliging en het verhelpen van kwetsbaarheden. De contractant beoordeelt zichzelf jaarlijks en een senior functionaris bevestigt het resultaat in het Supplier Performance Risk System (SPRS). Een penetratietest is op Level 1 niet verplicht, maar een korte externe test is een eenvoudige manier om te toetsen of de perimetermaatregelen die u heeft bevestigd ook standhouden.
Level 2 (Advanced): 110 maatregelen, C3PAO-certificering om de drie jaar
Geldt voor iedere contractant die CUI verwerkt. De 110 maatregelen zijn de eisen van NIST SP 800-171 Revision 2, verdeeld over 14 families en gescoord volgens de DoD-beoordelingsmethodiek. Voor de meeste CUI-contracten moet de certificering komen van een CMMC Third-Party Assessment Organization (C3PAO), geaccrediteerd door de Cyber AB, om de drie jaar vernieuwd met een jaarlijkse bevestiging ertussen. Een beperkte groep programma's staat een Level 2-zelfbeoordeling toe. Een contractant kan een voorwaardelijke certificering krijgen bij een minimumscore van 88 van de 110 met een Plan of Action and Milestones (POA&M), dat binnen 180 dagen gesloten moet zijn, anders vervalt de certificering.
Level 3 (Expert): 110 maatregelen plus 24 uit NIST SP 800-172, beoordeeld door DIBCAC
Geldt voor contractanten die de gevoeligste programma's ondersteunen, waar het dreigingsmodel geavanceerde statelijke actoren omvat. Level 3 vereist eerst een definitieve Level 2-certificering en voegt daarna 24 verzwaarde eisen uit NIST SP 800-172 toe, beoordeeld door het Defense Industrial Base Cybersecurity Assessment Center (DIBCAC) van het DoD zelf. Op dit niveau wordt penetratietesten een expliciete eis: de verzwaarde eis in de familie Security Assessment vraagt om penetratietesten met een door de organisatie vastgestelde frequentie, met geautomatiseerde scantools en ad-hoctests door vakexperts, en CMMC beoordeelt die als maatregel the NIST SP 800-172 enhanced Security Assessment requirement.
Waar een penetratietest op Level 2 objectief bewijs levert
NIST SP 800-171 Rev. 2 gebruikt op Level 2 nergens het woord 'penetratietest'. Beoordelaars hebben echter objectief bewijs nodig dat maatregelen werken, en een goed gescopete pentest is voor deze maatregelen het meest directe bewijs dat er is.
| CMMC-maatregel | Wat de eis in het kort zegt | Wat een penetratietest aantoont |
|---|---|---|
| CA.L2-3.12.1 (Security assessment) | Beoordeel periodiek de beveiligingsmaatregelen in organisatiesystemen om vast te stellen of zij in de praktijk effectief zijn | Een onafhankelijke, offensieve test van de maatregelen die de CUI-grens beschermen; het rapport is het beoordelingsartefact, gedateerd en ondertekend door testers bij naam |
| RA.L2-3.11.2 (Vulnerability scanning) | Scan periodiek op kwetsbaarheden en wanneer nieuwe kwetsbaarheden bekend worden | Geauthenticeerde en niet-geauthenticeerde scans van de assets binnen de scope, met handmatige verificatie die false positives verwijdert en vindt wat scanners missen |
| RA.L2-3.11.3 (Vulnerability remediation) | Verhelp kwetsbaarheden in overeenstemming met risicobeoordelingen | Een naar ernst gerangschikte lijst met bevindingen, herstelaanwijzingen en een hertest die de sluiting bevestigt: precies het bewijsspoor dat het POA&M-proces nodig heeft |
| SI.L2-3.14.1 (Flaw remediation) | Identificeer, rapporteer en corrigeer systeemfouten tijdig | Uitbuitbare ontbrekende patches en misconfiguraties op CUI-assets en Security Protection Assets, aangetoond in plaats van verondersteld |
| IR.L2-3.6.3 (Incident response testing) | Test het incident-responsvermogen van de organisatie | Een testvenster waarin uw SOC of MDR-dienstverlener zou moeten detecteren en reageren; de tijdlijn van wat wel en niet is gezien, is direct bewijs voor deze maatregel |
| SC.L2-3.13.1 en 3.13.5 (Boundary protection, DMZ) | Bewaak, beheers en bescherm communicatie op externe en belangrijke interne grenzen; scheid publiek toegankelijke componenten | Pogingen om vanaf internet-facing systemen of het kantoornetwerk de enclave binnen te dringen, die ofwel mislukken (bewijs) ofwel slagen (een bevinding die u liever zelf vindt dan de C3PAO) |
| Verzwaarde penetratietesteis uit NIST SP 800-172 (alleen Level 3) | Voer penetratietesten uit met een door de organisatie vastgestelde frequentie, met geautomatiseerde tools en vakexperts | De opdracht zelf, gescopet op de CUI-omgeving en gedocumenteerd tegen de frequentie die uw System Security Plan (SSP) vastlegt |
De test scopen: de CUI-grens, enclaves en FIPS
CMMC wordt beoordeeld tegen een gedefinieerde grens, en zo moet de penetratietest ook worden gescopet. De CMMC Level 2 Scoping Guide verdeelt assets in vijf categorieën: CUI Assets (verwerken, bewaren of verzenden CUI), Security Protection Assets (leveren beveiligingsfuncties voor de enclave, zoals de firewall, de identity provider, de SIEM en de EDR-console), Contractor Risk Managed Assets (zouden CUI kunnen verwerken, maar worden daar beleidsmatig van weggehouden), Specialized Assets (OT, IoT, testapparatuur, door de overheid verstrekte apparatuur) en Out-of-Scope Assets. De eerste twee categorieën worden volledig beoordeeld; de test moet ze op dezelfde manier dekken, want een zwakte in een Security Protection Asset is een zwakte in iedere maatregel die erop steunt.
De meeste middelgrote contractanten verkleinen de grens door een enclave te bouwen: een afgescheiden omgeving, vaak een virtuele desktop of een aparte cloudtenant, waar de CUI leeft en de rest van het bedrijf niet. Een enclave is zo sterk als haar randen. De vragen die een tester stelt, zijn de vragen die een C3PAO stelt: kan een aanvaller die een werkplek op het kantoornetwerk overneemt de enclave bereiken? Kan CUI de enclave verlaten via klembord, printer, e-mail of een onbeheerde cloudsynchronisatie? Zijn de beheerpaden naar de enclave beschermd met multifactorauthenticatie die phishing weerstaat? Eindigt de externe toegang op een geharde gateway of op een jump host die tevens als bestandsserver dienstdoet?
Twee verdere scopingpunten laten beoordelingen struikelen. Ten eerste vereist maatregel SC.L2-3.13.11 FIPS-gevalideerde cryptografie overal waar cryptografie de vertrouwelijkheid van CUI beschermt. Dat betekent modules die onder FIPS 140-2 of 140-3 zijn gevalideerd door het Cryptographic Module Validation Program, niet simpelweg 'AES'. Een tester controleert wat er daadwerkelijk wordt onderhandeld op de lijn en in opslag. Ten tweede moeten externe dienstverleners die CUI verwerken, cloudaanbieders inbegrepen, voldoen aan FedRAMP Moderate of een gelijkwaardig niveau volgens het DoD-memorandum over gelijkwaardigheid van december 2023, en moet de verdeling van verantwoordelijkheden schriftelijk zijn vastgelegd. De penetratietest dekt uw kant van die verdeling; de attestatie van de aanbieder dekt de andere kant.
Wat u gereed moet hebben voordat de C3PAO komt
Een C3PAO-beoordeling is een bewijsoefening. De penetratietest is één artefact van vele, en is het meest waard wanneer hij aantoonbaar aan de andere artefacten is gekoppeld.
- Een System Security Plan (SSP) dat de grens, de assetcategorieën en voor elk van de 110 maatregelen de implementatie benoemt; de pentestscope citeert de SSP-grens letterlijk
- Een netwerkdiagram en een datastroomdiagram die tonen waar CUI binnenkomt, wordt verwerkt, wordt bewaard en vertrekt, inclusief elke externe dienstverlener
- Uw actuele SPRS-score met beoordelingsdatum en methodiekversie, en het POA&M voor openstaande punten
- Het penetratietestrapport van de afgelopen 12 maanden, met scope, data, testers bij naam en hun certificeringen, methodiek (NIST SP 800-115, PTES of gelijkwaardig), bevindingen gekoppeld aan CMMC-maatregelen en hertestbewijs
- Scanresultaten op de frequentie die uw SSP belooft, met bewijs dat kritieke kwetsbaarheden binnen de termijn uit uw beleid zijn verholpen
- Testverslagen van de incident response: een tabletop of, beter, de detectietijdlijn uit het penetratietestvenster
- FIPS 140-validatiecertificaten van de cryptografische modules die CUI in opslag en in transit beschermen
- Verantwoordelijkheidsmatrices en FedRAMP- (of gelijkwaardigheids-)bewijs van iedere externe dienstverlener binnen de grens
NIST SP 800-171 Rev. 2 versus Rev. 3, SPRS-scores en de doorlegging aan onderaannemers
NIST publiceerde in mei 2024 Revision 3 van SP 800-171. Die herstructureert de eisen langs NIST SP 800-53 Rev. 5, consolideert ze tot 97 eisen, introduceert door de organisatie te definiëren parameters en scherpt de familie Security Assessment and Monitoring aan, zodat effectiviteitsbeoordeling, actieplannen en continue monitoring preciezer zijn omschreven. CMMC beoordeelt er nog niet tegen. Een DFARS class deviation van mei 2024 houdt DFARS 252.204-7012 en daarmee CMMC op Revision 2 totdat het DoD anders besluit. Bouw uw programma op Rev. 2, volg Rev. 3 en vraag uw tester om bevindingen aan beide te koppelen, zodat het rapport niet veroudert zodra de overstap komt.
SPRS, het Supplier Performance Risk System, bevat de score die hoofdaannemers en contracting officers raadplegen vóór gunning. De DoD-beoordelingsmethodiek weegt elke niet-geïmplementeerde maatregel met 5, 3 of 1 punt, wat een schaal oplevert van min 203 tot 110. Een penetratietest verandert de score niet rechtstreeks, maar is de snelste manier om te ontdekken of de maatregelen die u als geïmplementeerd heeft gescoord, ook zo zijn geïmplementeerd dat zij een aanvaller weerstaan. Contractanten die dat verschil pas tijdens de C3PAO-beoordeling ontdekken, betalen ervoor in tijd en in contractgeschiktheid.
Tot slot de doorlegging. DFARS 252.204-7021 verplicht een hoofdaannemer om vóór gunning CMMC op het passende niveau te eisen van iedere onderaannemer die FCI of CUI zal verwerken. Europese onderaannemers in lucht- en ruimtevaart, defensie-elektronica, scheepsbouw en software krijgen deze clausules steeds vaker van Amerikaanse hoofdaannemers en van Nederlandse of Duitse integrators met DoD-werk. Het praktische gevolg is dat een Nederlands ingenieursbureau een Level 2-certificering van een C3PAO kan nodig hebben, beoordeeld naar Amerikaanse regels, met bewijs van testers die zowel de NIST-terminologie als de Europese infrastructuur begrijpen die het bureau daadwerkelijk draait.
Hoe HackersHub CMMC-programma's ondersteunt
Wij scopen de test op uw SSP-grens: de CUI-enclave, haar Security Protection Assets en de paden ernaartoe vanaf het kantoornetwerk en vanaf internet. De opdracht combineert doorgaans een externe test van de blootgestelde diensten van de enclave, een assumed-breach-test vanaf een standaard kantoorwerkplek om te meten of de enclavegrens standhoudt, en een beoordeling van identiteit, externe toegang en cryptografische configuratie tegen de hierboven genoemde Rev. 2-maatregelen. Ondersteunt u Level 3-programma's, dan leveren wij de terugkerende penetratietesten die de verzwaarde eis voorschrijft, met de frequentie die uw SSP vastlegt.
Het rapport koppelt iedere bevinding aan een CMMC-maatregelcode en aan de eistekst van NIST SP 800-171, zodat uw compliance-lead het zonder vertaalslag als bewijs kan archiveren, en bevat een hertest zodat het POA&M met bewijs kan worden gesloten. Testers zijn OSCP-gecertificeerd en worden in het rapport bij naam genoemd, wat het onafhankelijkheids- en kwalificatiebewijs is dat een C3PAO verwacht bij maatregel CA.L2-3.12.1. HackersHub is gevestigd in Amsterdam, Nederland en werkt voor toeleveranciers in de hele EU en de Verenigde Staten; Amerikaanse klantsystemen worden op afstand getest binnen afgesproken vensters en Amerikaanse kantooruren.
Veelgestelde vragen
Bereidt u zich voor op een C3PAO-beoordeling?
Wij testen de CUI-grens zoals een beoordelaar haar leest en zoals een aanvaller haar benadert, en rapporteren iedere bevinding tegen de CMMC-maatregel die zij aantoont. Praat met een expert over de scoping vóór uw beoordelingsvenster.