Uit twee recente onderzoeken komt een consistent beeld naar voren voor de defense industrial base: veel contractors voelen zich steeds zekerder over hun cybersecurity-compliance rond CMMC. Tegelijkertijd blijkt het CMMC bewijs — dus de inhoudelijke onderbouwing die die zekerheid ondersteunt — achter te lopen. Dat verschil tussen vertrouwen en verifieerbare feiten wordt steeds zichtbaarder, zeker nu de CMMC 2.0-regels rondom derde-partijbeoordelingen tijdelijk zijn gepauzeerd.
De kernvraag voor organisaties is daarom niet alleen of ze “klaar” zijn, maar of ze die gereedheid ook kunnen aantonen met actuele inzendingen en controleerbare systemen. Hieronder lees je wat de surveys precies meten, welke frictie er ontstaat in de praktijk en welke richting contractors verwachten.
Waarom contractors nu meer vertrouwen hebben
In één onderzoek van Kiteworks (273 defense contractors, uitgevoerd in de dagen na de Pentagon-suspensie van CMMC 2.0 Phase 2 third-party assessments) geeft het merendeel aan dat het goed zit met hun eigen inschatting. Een grote groep zegt namelijk dat ze vertrouwen hebben dat hun Supplier Performance Risk System (SPRS)-score standhoudt als die wordt beoordeeld.
Op papier lijkt de compliance daardoor stabiel of zelfs verbeterd. Dat is belangrijk, want contractors moeten bijhouden wat ze doen onder de relevante verplichtingen, waaronder de self-attested componenten die nodig zijn om de eigen naleving te onderbouwen. Maar precies daar wringt het: vertrouwen in de score is niet hetzelfde als aantoonbaarheid met de juiste data en platformen.
De kloof: veel zekerheid, te weinig aantoonbaar CMMC bewijs
Het meest opvallende detail uit het Kiteworks-onderzoek is het verschil tussen “denken dat het klopt” en “kunnen bewijzen dat het klopt”. Van de respondenten zegt 96% dat ze vertrouwen hebben in hun SPRS-score. Slechts 29% kan dat echter onderbouwen met twee concrete voorwaarden: een actuele SPRS-inzending én een platform dat is geautoriseerd onder FedRAMP.
Om die discrepantie kwantitatief te vangen combineerde Kiteworks twee readiness-maten. De rapportage laat zien dat het niet volstaat om op één onderdeel goed te scoren: de combinatie wordt strenger benaderd door scores te vermenigvuldigen in plaats van te middelen. Daardoor komt het gecombineerde resultaat uit op 60 uit 100, aanzienlijk lager dan de waarde die je zou krijgen als je die twee componenten “gewoon gemiddeld” zou nemen.
Ongeveer een derde van de respondenten valt daarbij op als grootste afzonderlijke groep: organisaties die laag scoren op beide dimensies tegelijk. Dat wijst erop dat het probleem niet bij iedereen “een klein detail” is, maar dat de kern van het CMMC bewijs voor een deel van de markt structureel moeilijker te produceren is.
Wettelijke verplichtingen bleven doorlopen
Een belangrijk punt voor compliance-teams is dat de suspensie van de third-party toetsing de juridische risico’s niet automatisch wegnam. De onderliggende DFARS-verplichting om nauwkeurig te attesteren stopte niet. Met andere woorden: een gepauzeerde controle verandert niets aan de verplichting om eerlijk en correct te verklaren.
Daarom geven contractors ook expliciet aan dat ze bezorgd zijn over aansprakelijkheid, waaronder risico’s die kunnen voortkomen uit de False Claims Act bij een onjuiste score. In het onderzoek zegt 84% van de contractors die zorgen te hebben. Daarnaast laat 92% weten dat ze al juridische of compliance-review hebben ingeschakeld om de juiste lijn te bewaken.
Ook hier zie je de kloof terugkomen: bijna de helft van de respondenten wist niet dat de self-assessment verplichtingen uit Phase 1 doorliepen tijdens de pauze. Bovendien scoren organisaties die zichzelf “heel zeker” noemen op het feitelijke testonderdeel niet beter dan partijen die het als “enigszins zeker” beoordelen. Dat suggereert dat zelfinschatting niet altijd overeenkomt met de concrete kennis die nodig is om aan regels te voldoen.
Effect op aanbestedingen: lagere drempel, andere uitkomsten
De marktbeweging na het verlagen of verschuiven van de CMMC-onderdelen is ook merkbaar in aanbestedingen. In het Kiteworks-onderzoek geeft 55% aan dat ze nu weer inschrijven op werk dat ze eerder mijdde rond CMMC Level 2 vereisten. Tegelijkertijd rapporteert een deel ook negatieve gevolgen: 52% trok zich terug van een opdracht in oorlogsdomein-achtige procedures, en 38% zegt een contract te hebben verloren of gediskwalificeerd te zijn op basis van dezelfde vereisten.
Interessant is dat kleinere subcontractors relatief harder klappen lijken te krijgen. In de data rapporteren Tier 2 en lagere subcontractors bid losses van 55%, bijna dubbel zo hoog als 31% bij prime contractors. Dat wijst erop dat de praktische capaciteit om compliance te vertalen naar bewijsvoering niet gelijk verdeeld is.
Ook in 2026 terugkerend patroon: vertrouwen daalt, score stijgt
Een tweede rapport — de 2026 State of the DIB Report van CyberSheath en Merrill Research — bevraagt 302 contractors (mei 2026) voordat de suspensie effect had. Dit onderzoek toont een vergelijkbaar verschil dat zich over een langere periode opbouwt.
Daarin stijgt de gemiddelde SPRS-score naar een vijfjaarsmaximum van +51 (tegenover +33 in 2025), met een perfect mogelijk score van 110. Tegelijkertijd daalt de zekerheid dat die scores ook echt accuraat zijn: 65% zegt uiterst of zeer zeker te zijn, tegenover 89% een jaar eerder en 94% in 2024. Slechts 1% beschouwt zichzelf als volledig voorbereid op CMMC-certificering, en dat verandert nauwelijks ten opzichte van het vorige jaar.
Met andere woorden: verbetering in gemeten score gaat niet automatisch samen met een evenredige toename van vertrouwen in de juistheid van die score. Voor CMMC-compliance betekent dit dat organisaties hun bewijsproces moeten versterken, niet alleen hun rapportages of tooling.
Investeringen en beveiligingstechnologieën nemen toe
De onderzoeken kijken ook naar de financiële kant en naar implementatie van kernbeveiliging. Bij CyberSheath wordt een gemiddelde jaarlijkse DFARS-compliancebudget genoemd van $155.000. Daarvan vindt 53% het bedrag “ongeveer goed”, terwijl 24% het juist te laag vindt en zegt dat het meer dan voldoende is.
Verder stijgt de adoptie van meerdere security-technologieën. Multi-factor authenticatie wordt door 63% gebruikt, secure backup door 48%, en data-leakage bescherming én vulnerability management door 44%. Endpoint detection staat bij 40%. Het patroon suggereert dat teams wel investeren in maatregelen, maar dat het eindpunt — het CMMC bewijs dat uitlegbaar en controleerbaar is — nog steeds extra aandacht vraagt.
Wat contractors willen: verificatie blijft belangrijk
Een opvallend verschil met discussies in het publieke debat is dat contractors juist niet willen dat verificatie verdwijnt. In het Kiteworks-onderzoek zegt 93% dat onafhankelijke third-party autorisatie essentieel of belangrijk blijft bij de selectie van leveranciers. Daarnaast zegt 93% dat ze zullen reageren op een request for information, met 58% die verwachten dat Phase 2 terugkomt in een aangepaste vorm.
Ook in het CyberSheath-onderzoek klinkt dezelfde richting door. 90% wil dat de overheid minimale cybersecurity-standaarden verplicht stelt voor alle federale contractors. Daarnaast vindt 77% dat DFARS compliance aantoonbaar bijdraagt aan nationale veiligheid. Tegelijkertijd wil men ook praktische haalbaarheid: 74% vraagt om implementatie die eenvoudiger is en 70% wil meer opties qua leveranciers.
De echte boodschap: afstand tussen vertrouwen en evidence
De samenvattende interpretatie uit beide onderzoeken is helder: het gaat niet alleen om compliance op papier, maar om verificatie van wat er werkelijk gebeurt. Zoals een field CISO het verwoordt: het belangrijke inzicht is de afstand tussen “we zijn zeker” en “we kunnen het bewijzen”. Dat is precies het terrein waar veel organisaties hun processen kunnen aanscherpen.
Voor security- en compliance-teams betekent dit in de praktijk dat je niet alleen moet zorgen dat controles bestaan, maar ook dat je ze op het juiste moment kunt aantonen met actuele inzendingen, geschikte platforms en intern goed geborgde documentatie.
Conclusie
De twee surveys schetsen een markt die tegelijk vooruitgaat en worstelt. Scores en investeringen nemen toe, maar het CMMC bewijs blijft voor een deel van de defense-industrial base moeilijk om volledig rond te krijgen. Bovendien leiden gaten in kennis over doorlopende verplichtingen tot extra risico’s, terwijl juridische en compliance-review daardoor steeds vaker wordt ingeschakeld.
Wie CMMC serieus wil ondersteunen, doet er daarom goed aan om verificatie niet te zien als een eenmalige derde-partijcheck, maar als een doorlopend onderdeel van het complianceproces. Alleen dan kan zekerheid veranderen in aantoonbaarheid — precies wat contractors én overheden verwachten.
Gerelateerd lezen: wil je meer context over verplichtingen en risico’s rondom CMMC, dan sluit dit onderwerp aan op inzichten rond regelgeving en aantoonbaarheid, zoals in Bron: https://www.securityweek.com/contractors-cmmc-confidence-rises-as-ability-to-prove-it-falls-behind/
