FedRAMP wordt machineleesbaar

Het einde van het Word-pakket

Jarenlang was een FedRAMP-autorisatiepakket vooral één ding: heel veel document. System security plans van honderden pagina's, beschrijvingen van beheersmaatregelen in Word-sjablonen, inventarissen en testresultaten in Excel. Nog in 2025 draaiden Rev5-autorisaties vrijwel volledig op deze sjablonen – terwijl OSCAL al lang bestond als machineleesbaar alternatief.

In januari 2026 zette FedRAMP met RFC-0024 de koerswijziging in gang: autorisatiegegevens moeten worden aangeleverd als gestructureerde, machineleesbare data in plaats van stapels documenten. Voor overheidsinstanties betekent dit snellere reviews en vergelijkbare pakketten. Voor aanbieders van clouddiensten betekent het een overgang die je veel beter vroeg dan laat kunt plannen.

• Word- en Excel-sjablonen verdwijnen als indieningsformaat
• Gestructureerde data maakt pakketten controleerbaar, vergelijkbaar en herbruikbaar
• De overgang geldt voor alle aanbieders, niet alleen voor het moderniseringstraject 20x

Van RFC-0024 naar de Consolidated Rules 2026

De weg naar de definitieve regels is op zich al een les in publieke standaardisatie. Het oorspronkelijke voorstel legde harde grenzen al op 30 september 2026. Tijdens de consultatieperiode, die op 11 maart 2026 sloot, vroegen aanbieders vrijwel unaniem om meer voorbereidingstijd.

FedRAMP gaf daaraan gehoor: de tussentijdse uitkomst die in maart 2026 werd gepubliceerd, schoof de deadlines op. Alles werd vervolgens samengebracht in de definitieve Consolidated Rules for 2026 (CR26), eind juni 2026 gepubliceerd, die de eisen indelen in certificeringsklassen A tot en met D. De boodschap is onveranderd: machineleesbaarheid komt eraan – alleen het tijdschema is realistischer geworden.

De deadlines in één oogopslag

Wat telt, is het definitieve CR26-schema; eerdere tussentijdse concepten met formaatdeadlines per klasse zijn achterhaald.

• Sinds 4 juli 2026: optionele vroege toepassing van de nieuwe regels, waarbij de pipelines per klasse vanaf augustus 2026 opengaan
• Vanaf 1 januari 2027: de Consolidated Rules zijn verplicht van toepassing; nieuwe certificeringen in de hoogste klasse D vereisen machineleesbare autorisatiegegevens als JSON die valideert tegen de gepubliceerde FedRAMP-schema's
• Bestaande certificeringen: overgang uiterlijk bij de eerste onafhankelijke beoordeling die na 1 januari 2027 begint
• 11 juni 2027: einde van nieuwe Rev5-certificeringen – vanaf dan lopen nieuwe aanvragen volledig volgens de nieuwe regels

Belangrijk voor de planning: wie in 2027 een nieuwe autorisatie nastreeft, werkt in feite al in 2026 met de nieuwe formaten – pakketvoorbereiding, gapanalyses en tests beginnen ruim vóór de deadline.

De rol van OSCAL

De definitieve regels verankeren machineleesbaarheid in JSON-documenten die valideren tegen gepubliceerde FedRAMP-schema's – FedRAMP schrijft geen specifieke authoringtool voor. In de praktijk loopt de weg via OSCAL: de NIST-standaard is het gevestigde open datamodel voor precies deze inhoud, FedRAMP werkt met de OSCAL-community samen aan sjablonen en hulpmiddelen, en het tool-ecosysteem groeit daar het snelst – ons artikel over het OSCAL-toollandschap geeft een overzicht.

Hoe de documentmodellen op elkaar aansluiten – van catalogus via profiel naar SSP en beoordeling – behandelen we in onze introductie Wat is OSCAL?

Wat cloudaanbieders nu moeten doen

Uit ons werk met gestructureerde compliancedata is een eenvoudige volgorde effectief gebleken. Die werkt ongeacht of het doel FedRAMP is of een ander programma met machineleesbare eisen.

• Inventarisatie: welke delen van het huidige pakket staan waar – en in welke kwaliteit?
• Pilot: zet een deel van het SSP om naar OSCAL en controleer het tegen de schema's, bijvoorbeeld met onze gratis OSCAL Validator
• Werkmodel: richt eigenaren, reviews en de omgang met bewijs zo in dat gestructureerde data de standaard is, niet een export aan het eind

Precies daarvoor bouwen we Secani: een platform waarin autorisatiegegevens vanaf het begin gestructureerd zijn – met bronnen, goedkeuringen en historie. Plant u de overgang? Neem contact met ons op.