CUI: Gecontroleerde Ongeclassificeerde Informatie — De VS Overheid's "Gevoelig Maar Niet Geheim" Label

CUI (Controlled Unclassified Information) is een gestandaardiseerd маркиeringssysteem gebruikt door de VS federale overheid om informatie te identificeren die:

• Is niet geclassificeerd (Vertrouwelijk/Geheim/Zeer Geheim)
• Maar gevoelig genoeg is om beveiliging te vereisen en gecontroleerde verspreiding
• Moet beschermd worden per wet, regulatie, of landelijk beleid

Wat Telt Als CUI?

Meer dan 125 categorieën over 20+ groeperingen, inclusief:

• Privacy: PII (BSN, medisch, financieel), FERPA, HIPAA data
• Handhaving: Onderzoeksdossiers, informantenidentiteiten, technieken
• Kritieke Infrastructuur: Kwetsbaarheidsanalyses, netkaarten, SCADA data
• Exportcontrole: ITAR, EAR technische data (niet geclassificeerd maar beperkt)
• Financieel: Banktoezicht, aankoopintegriteit, subsidiedetails
• Proprietaire Zaak: Handelsgeheimen, bod/voorstel info ingediend bij overheid
• Statistisch: Census microdata, BLS enquête responsen

Waarom CUI Bestaat

Voor 2010 (EO 13556) gebruikten agentschappen 50+ inconsistente markeringen (FOUO, SBU, LES, etc.). CUI creëert een geünificeerd raamwerk voor:

• Markeren (banner regels, deelmarkeringen: CUI//CAT//SP-CTRL)
• Afhandelen (toegangscontroles, versleuteling, need-to-know)
• Decontroleren (geautoriseerde vrijgave, vernietiging)
• Training & auditing

Wie Moet Naleven?

Alle federale agentschappen, aannemers, subsidieontvangers, en subaannemers die CUI afhandelen — gemandateerd door 32 CFR Part 2002 en NIST SP 800-171 (voor niet-federale systemen). CMMC (Cybersecurity Maturity Model Certification) dwingt het af voor defensieaannemers.

CUI is niet "geheim" — maar verliezen ervan kan privacy, veiligheid, concurrentiekracht, of publiek vertrouwen schaden. Behandel het alsof het ertoe doet. Want het doet.