FedRAMP bliver maskinlæsbart

Slut med Word-pakken

I årevis var en FedRAMP-autorisationspakke først og fremmest én ting: en masse dokumenter. Systemsikkerhedsplaner på flere hundrede sider, kontrolbeskrivelser i Word-skabeloner, fortegnelser og testresultater i Excel. Så sent som i 2025 kørte Rev5-autorisationer næsten udelukkende på disse skabeloner, selvom OSCAL for længst fandtes som det maskinlæsbare alternativ.

I januar 2026 indledte FedRAMP kursskiftet med RFC-0024: Autorisationsdata skal indsendes som strukturerede, maskinlæsbare data i stedet for stakke af dokumenter. For myndighederne betyder det hurtigere gennemgange og sammenlignelige pakker. For cloududbydere betyder det en overgang, som det er langt bedre at planlægge tidligt end sent.

• Word- og Excel-skabeloner udfases som indsendelsesformater
• Strukturerede data gør pakkerne kontrollerbare, sammenlignelige og genbrugelige
• Overgangen gælder alle udbydere, ikke kun moderniseringssporet 20x

Fra RFC-0024 til Consolidated Rules 2026

Vejen til den endelige regel er i sig selv en lektion i offentlig standardisering. Det oprindelige forslag fastsatte faste skæringsdatoer allerede den 30. september 2026. I høringsperioden, der sluttede den 11. marts 2026, bad udbyderne næsten enstemmigt om mere forberedelsestid.

FedRAMP reagerede: Det foreløbige resultat, der blev offentliggjort i marts 2026, rykkede fristerne. Alt blev derefter samlet i de endelige Consolidated Rules for 2026 (CR26), der blev offentliggjort i slutningen af juni 2026, og som organiserer kravene i certificeringsklasserne A til D. Budskabet er uændret: Maskinlæsbarheden kommer, kun tidsplanen er blevet mere realistisk.

Fristerne i overblik

Det er den endelige CR26-tidsplan, der gælder; tidligere foreløbige udkast med formatfrister pr. klasse er afløst.

• Siden 4. juli 2026: frivillig tidlig indførelse af det nye regelsæt, hvor pipelines for klasserne åbner fra august 2026
• Fra 1. januar 2027: Consolidated Rules gælder obligatorisk; nye certificeringer i den højeste klasse D kræver maskinlæsbare autorisationsdata som JSON, der validerer op imod de offentliggjorte FedRAMP-skemaer
• Eksisterende certificeringer: overgang senest ved den første uafhængige vurdering, der begynder efter 1. januar 2027
• 11. juni 2027: slut med nye Rev5-certificeringer; derefter kører nye ansøgninger udelukkende på det nye regelsæt

Vigtigt for planlægningen: Den, der sigter mod en ny autorisation i 2027, arbejder i praksis med de nye formater allerede i 2026, for forberedelse af pakken, gap-analyser og test begynder i god tid før skæringsdatoen.

Den rolle, OSCAL spiller

De endelige regler forankrer maskinlæsbarheden i JSON-dokumenter, der validerer op imod offentliggjorte FedRAMP-skemaer; FedRAMP foreskriver ikke et bestemt redigeringsværktøj. I praksis går vejen gennem OSCAL: NIST-standarden er den etablerede åbne datamodel for netop dette indhold, FedRAMP samarbejder med OSCAL-fællesskabet om skabeloner og ressourcer, og økosystemet af værktøjer vokser hurtigst dér. Vores indlæg om landskabet af OSCAL-værktøjer giver et overblik.

Hvordan dokumentmodellerne hænger sammen, fra katalog over profil til SSP og vurdering, gennemgås i vores introduktion Hvad er OSCAL?

Hvad cloududbydere bør gøre nu

Ud fra vores arbejde med strukturerede compliancedata har en enkel rækkefølge vist sit værd. Den virker, uanset om målet er FedRAMP eller et andet program med krav om maskinlæsbarhed.

• Kortlægning: Hvilke dele af dagens pakke ligger hvor, og i hvilken kvalitet?
• Pilot: Konverter et udsnit af SSP'en til OSCAL, og kontroller det op imod skemaerne, for eksempel med vores gratis OSCAL-validator
• Arbejdsmodel: Etabler ejere, gennemgange og håndtering af dokumentation, så strukturerede data er standarden og ikke en eksport til sidst

Det er præcis det, vi bygger Secani til: en platform, hvor autorisationsdata er strukturerede fra starten, med kilder, godkendelser og historik. Hvis I planlægger overgangen, så tal med os.