Was ist CMMC-Compliance? Definition, Stufen & Anforderungen

CMMC-Compliance ist das Zertifizierungsframework des DoD zum Schutz von CUI und FCI über drei Reifegrade hinweg. Erfahren Sie mehr über die 14 Praxisdomänen und den Rollout-Zeitplan.

Was ist CMMC?

Die Cybersecurity Maturity Model Certification (CMMC) ist das Rahmenwerk des US-Verteidigungsministeriums zur Überprüfung, dass Auftragnehmer tatsächlich sensible Informationen schützen. Auf Programmebene legt die CMMC Program Final Rule den Zweck von CMMC fest: den Schutz von Controlled Unclassified Information (CUI) und Federal Contract Information (FCI), die Sie während der Vertragsdurchführung mit dem DoD verarbeiten, speichern oder übertragen. Gemäß DFARS 204.7500 ist CMMC „ein Rahmenwerk zur Bewertung der Informationssicherheitsmaßnahmen eines Auftragnehmers“, das Richtlinien und Verfahren für die Aufnahme von Zertifizierungsanforderungen in DoD-Verträge vorschreibt. CMMC 2.0 hat das ursprüngliche Modell mit fünf Stufen auf drei Stufen verschlankt, und die Final Rule dokumentiert diese aktualisierte Struktur.

Vor CMMC bestätigten Auftragnehmer die Einhaltung von NIST SP 800-171 selbst, mit begrenzter externer Überprüfung. Wenn Sie einen überhöhten Supplier Performance Risk System (SPRS) Score einreichten und eine Prüfung einen deutlich negativen tatsächlichen Score ergab, konnten Sie ein Problem mit dem False Claims Act auslösen, nicht nur eine fehlgeschlagene Compliance-Prüfung. Das ist der operative Grund für die Existenz von CMMC: Das DoD verlässt sich nicht mehr auf Selbstbestätigungen, wenn CUI im Spiel ist.

Vorfälle in der Lieferkette machten die Risiken deutlicher. 2022 griffen Angreifer Viasat mit einem zerstörerischen Wiper-Angriff auf das KA-SAT-Satellitennetzwerk an und störten laut dem SentinelLabs-Bericht die Kommunikation für Zehntausende Kunden in Europa und der Ukraine. 2020 erreichte der SolarWinds-Lieferkettenkompromiss laut CISA-Warnung bis zu 18.000 Kunden. Wenn Ihre Umgebung DoD-Programme berührt, fordert CMMC von Ihnen, nachzuweisen, dass Sie CUI schützen können – nicht nur zu behaupten, dass Sie es tun.

FCI vs. CUI: Was Ihr Zertifizierungslevel schützt

CMMC-Compliance verbindet die Dokumentation von Kontrollen mit überprüfbaren Nachweisen, dass diese in Ihrer Umgebung funktionieren. CMMC erzwingt ein Bestehen/Nichtbestehen-Zertifizierungsmodell. Sie weisen entweder den Betrieb von Kontrollen durch überprüfbare Belege nach, oder Sie erhalten keine Zertifizierung. Zwei Informationskategorien bestimmen Ihre Anforderungen:

• Federal Contract Information (FCI): Die Regierung stellt diese Informationen für Ihre Vertragsarbeit bereit oder erzeugt sie, und sie sind nicht für die öffentliche Freigabe bestimmt. Sie schützen sie mit grundlegenden Maßnahmen gemäß FAR 52.204-21.
• Controlled Unclassified Information (CUI): Gesetze oder regierungsweite Richtlinien verlangen den Schutz dieser Informationen. Sie schützen sie durch Ausrichtung an NIST SP 800-171.

Diese Unterscheidung bestimmt, wie Sie Systeme abgrenzen, ein Ziellevel wählen und Ihren Nachweisplan erstellen. Das ISOO der National Archives erläutert die Hierarchie in der ISOO-Leitlinie: „Alle CUI im Besitz eines Regierungsauftragnehmers ist FCI, aber nicht alle FCI ist CUI.“ Wenn Sie Ihre Daten korrekt klassifizieren, können Sie korrekt abgrenzen – und die Abgrenzung ist der Ausgangspunkt für die meisten CMMC-Ergebnisse.

Bestätigen Sie als Nächstes, ob CMMC für Ihre Verträge und Ihre Rolle in der Lieferkette gilt.

Für wen CMMC-Compliance gilt

CMMC gilt für Sie, wenn Sie Auftragnehmer oder Unterauftragnehmer in der Defense Industrial Base sind und während der Vertragsdurchführung mit dem DoD FCI oder CUI verarbeiten. Ihr erforderliches Level hängt von der Sensibilität der Informationen ab, mit denen Sie arbeiten, und davon, wohin diese Informationen fließen.

• Level 1 (Grundlegend): Sie verarbeiten nur FCI, ohne CUI. Dies passt oft zu grundlegenden Unterstützungsfunktionen, bei denen CUI nie in Ihre Systeme gelangt.
• Level 2 (Fortgeschritten): Sie verarbeiten CUI wie technische Daten, Konstruktionsspezifikationen, beschaffungsrelevante Informationen oder Konstruktionsdokumente. Dieses Level gilt, wenn CUI durch die Lieferkette weitergegeben wird, wenn Sie F&E-Programme mit CUI-gekennzeichneten Ergebnissen betreiben oder wenn Sie IT-Dienstleistungen erbringen, die Systeme mit CUI-Inhalten betreuen.
• Level 3 (Experte): Sie verwalten CUI in den höchstpriorisierten Programmen des DoD, bei denen ein Kompromittieren einen erheblichen gegnerischen Vorteil schaffen oder bei denen Missionsauswirkungen und Aggregation Ihr Risikoprofil erhöhen würden.

CMMC-Level sind kumulativ: Wenn Sie ein höheres Level anstreben, erfüllen Sie auch die Anforderungen der darunterliegenden Level, und die CMMC Program Final Rule definiert diese Struktur.

Sobald Sie Ihr Level kennen, können Sie es den Klauseln, Bewertungen und Konsequenzen zuordnen, die Ihre Berechtigung bestimmen.

Wie CMMC-Compliance funktioniert: Vorschriften und Konsequenzen

CMMC ist durch Vertragsklauseln bindend, nicht durch freiwillige Übernahme. Zwei Bundesvorschriften verleihen ihr rechtliche Verbindlichkeit, und die Nichteinhaltung hat Konsequenzen, die über eine nicht bestandene Prüfung hinausgehen. Das Verständnis der regulatorischen Struktur, Ihres Bewertungswegs und der tatsächlichen Kosten der Nichteinhaltung ist die Grundlage für eine korrekte Planung Ihrer Vorbereitungsmaßnahmen.

Das regulatorische Rahmenwerk

Zwei DFARS-Klauseln bringen CMMC in Ihre Verträge.

• Die DFARS 252.204-7021-Klausel verlangt von Ihnen, „für die Dauer des Vertrags einen aktuellen CMMC-Status auf dem folgenden CMMC-Level oder höher zu haben und aufrechtzuerhalten“.
• Die DFARS 252.204-7025-Bestimmung verlangt von Ihnen, Bewertungsergebnisse vor der Vergabe im SPRS zu veröffentlichen und die Systeme zu identifizieren, die FCI oder CUI verarbeiten werden.

Diese Klauseln machen aus CMMC ein vertragliches Zulassungskriterium statt einer bloßen Leitlinie.

Bewertungswege

Bewertungswege variieren je nach Level und Ausschreibung. Sie müssen zudem jährlich eine Bestätigung der fortlaufenden Compliance abgeben, und das DoD-Programm entscheidet, ob Ihr Level-2-Vertrag eine Selbsteinschätzung oder eine C3PAO-Zertifizierung erfordert.

Zwei operative Details bestimmen häufig den Ablauf in der Praxis:

• Level 2 verlangt 110 Anforderungen aus NIST SP 800-171, wie in NIST SP 800-171 definiert.
• Im bedingten Pfad erlaubt Level 2 begrenzte Plans of Action and Milestones (POA&Ms), wenn Sie die Mindestumsetzungsanforderungen des Programms erfüllen, und DFARS 204.7501-Definitionen dokumentieren die CMMC-Statusbegriffe.

Wenn POA&Ms erlaubt sind, gilt dennoch eine feste Frist. Der bedingte Status ist zeitlich begrenzt, gemäß denselben DFARS 204.7501-Definitionen.

Konsequenzen der Nichteinhaltung

Das Fehlen des erforderlichen CMMC-Status hat Konsequenzen in drei Dimensionen: Vertragsberechtigung, rechtliche Risiken und Leistungskontinuität.

• Vertragsausschluss ist strukturell, nicht ermessensabhängig. Wenn Sie den erforderlichen CMMC-Status nicht halten, können Sie keinen Zuschlag erhalten oder die Leistung fortsetzen, wenn der Vertrag den Status verlangt.
• False Claims Act-Risiko wird Ihr größtes rechtliches Risiko, wenn Sie Compliance für Berechtigung, Zuschlag oder Zahlung darstellen, diese aber nicht mit Nachweisen belegen können.
• Vertragskündigung und andere Maßnahmen können folgen, wenn Ihr bedingter Status abläuft und Sie den erforderlichen Status weiterhin nicht aufrechterhalten können.

Die regulatorischen Konsequenzen sind absichtlich streng. Das DoD hat CMMC so gestaltet, dass ungenaue Selbstbestätigungen so kostspielig werden, dass Auftragnehmer die Beweiserhebung als kontinuierliche operative Anforderung behandeln – nicht als hektische Vorbereitung vor der Bewertung.

Jetzt, da Sie die Mechanik verstehen, können Sie Ihr erforderliches Level in die Reifegrad-Erwartungen übersetzen, die Prüfer validieren werden.

Verständnis der CMMC 2.0-Reifegrade

Ihr erforderliches Level wird durch die Art der Informationen bestimmt, die Sie verarbeiten, und die Programme, die Sie unterstützen. Jedes Level baut auf dem darunterliegenden auf, sodass eine höhere Zertifizierung auch die Anforderungen der niedrigeren Level erfüllt. Das fordert jedes Level in der Praxis:

Level 1: Grundlegend

Wenn Sie nur FCI verarbeiten, entspricht Level 1 den grundlegenden Schutzmaßnahmen gemäß FAR 52.204-21. Die 17 Praktiken auf diesem Level decken grundlegende Hygiene ab: Systemzugriff auf autorisierte Nutzer beschränken, Personen vor dem Zugriff überprüfen, physische Sicherheit für CUI-relevante Bereiche aufrechterhalten und sicherstellen, dass Systeme geprüft und wiederhergestellt werden können. Sie führen eine jährliche Selbsteinschätzung durch und können auf diesem Level keine POA&Ms verwenden. Die Selbsteinschätzung wird von einer leitenden Führungskraft unterzeichnet, was direkte Verantwortlichkeit für die Darstellung schafft.

Level 2: Fortgeschritten

Wenn Sie CUI verarbeiten, entspricht Level 2 direkt NIST SP 800-171 Rev. 2 und verlangt Nachweise, dass alle 110 Kontrollen in 14 Praxisdomänen implementiert und betrieben werden. Je nach Ausschreibung können Sie dies durch Selbsteinschätzung oder C3PAO-Drittbewertung erfüllen; das DoD-Programm entscheidet, welcher Weg gilt. Level 2 verlangt zudem die Pflege eines System Security Plan (SSP), der dokumentiert, wie jede Kontrolle in Ihrer Umgebung umgesetzt ist.

Level 3: Experte

Wenn Sie die höchstpriorisierten Programme unterstützen, zielt Level 3 auf den Schutz vor Advanced Persistent Threats ab und baut auf Level 2 mit erweiterten Anforderungen aus einem Teil von NIST SP 800-172 auf. Regierungsprüfer der Defense Contract Management Agency führen Level-3-Bewertungen direkt durch. Dieses Level ist für Auftragnehmer reserviert, die mit CUI in Programmen arbeiten, bei denen ein gegnerischer Zugriff ein erhebliches nationales Sicherheitsrisiko darstellen würde.

Sobald Sie Ihr Level kennen, müssen Sie wissen, wann es für Ihre Verträge gilt.

CMMC-Implementierungszeitplan

Die CMMC Program Final Rule trat am 16. Dezember 2024 in Kraft und nutzt eine vierphasige Einführung, um die Anforderungen über drei Jahre in DoD-Verträge zu integrieren. Es gibt keinen einzigen Schalter, der alle Verträge gleichzeitig umstellt: Das DoD führt CMMC-Klauseln je nach Ausschreibungstyp und Level schrittweise ein.

• Phase 1 (ab 16. Dezember 2024): Das DoD kann Anforderungen an Level-1- oder Level-2-Selbsteinschätzungen in Ausschreibungen aufnehmen. Wenn Ihr Vertrag bereits CMMC-Klauseln enthält, müssen Sie Ihre Selbsteinschätzung durchführen, Ergebnisse im SPRS veröffentlichen und vor der Vergabe oder als Vertragsbedingung eine jährliche Bestätigung abgeben. Diese Phase ist jetzt aktiv.
• Phase 2 (voraussichtlich ab Dezember 2025): Das DoD kann Level-2-C3PAO-Drittbewertungen in Ausschreibungen verlangen. Verträge, die zuvor Selbsteinschätzungen erlaubten, können auf unabhängige Zertifizierung umgestellt werden. Bestätigen Sie den Bewertungsweg Ihres Vertrags, sobald Phase-2-Ausschreibungen auf den Markt kommen, da die Terminplanung für C3PAOs Ihr Zeitfenster verkürzen kann.
• Phase 3 (voraussichtlich ab Dezember 2026): Das DoD kann Level-3-Anforderungen aufnehmen. Wenn Sie hochpriorisierte Programme unterstützen, beginnen Sie jetzt mit dem Aufbau der Level-3-Bereitschaft. Die Terminplanung für Regierungsprüfer über die DCMA hat lange Vorlaufzeiten.
• Phase 4 (voraussichtlich ab Dezember 2027): Vollständige Umsetzung. Das DoD kann CMMC-Anforderungen auf alle anwendbaren Verträge anwenden. Keine Ausschreibung mit CUI-Beteiligung ist ausgenommen.

Die praktische Konsequenz: Wenn Ihr Vertrag CMMC-Klauseln enthält, ist Ihr Zeitplan bereits aktiv. Wenn nicht, klären Sie dies mit Ihrem Vertragsbeauftragten und Hauptauftragnehmer vor dem nächsten Optionsjahr oder Angebot. Phasenweise Einführungen können auch laufende Verträge betreffen, nicht nur neue Vergaben.

Mit dem klaren Zeitplan können Sie Ihr erforderliches Level den spezifischen Kontrollen zuordnen, die Prüfer validieren werden.

CMMC-Compliance-Anforderungen: Die 14 Praxisdomänen

Für Level 2 sind alle 110 Anforderungen aus NIST SP 800-171 auf 14 Praxisdomänen verteilt. Prüfer werden Kontrollen in jeder Domäne untersuchen, befragen und testen. Das Verständnis der Anforderungen jeder Domäne hilft Ihnen, Nachweise korrekt abzugrenzen, bevor die Vorbereitungsarbeiten beginnen.

Identität, Zugriff und Personal

• Zugriffskontrolle: Systemzugriff auf autorisierte Nutzer und Prozesse beschränken. Erforderliche Nachweise sind dokumentierte Benutzerkonten, Rollenzuweisungen, Sitzungssteuerungen und Zugriffskontrollpraktiken für Remotezugriff.
• Identifikation und Authentifizierung: Identität vor Zugriff überprüfen. Multi-Faktor-Authentifizierung, Passwort-Richtlinien und Kontrollen für privilegierte Konten sind gängige Prüfpunkte.
• Personalsicherheit: Personen vor dem Zugriff auf CUI-Systeme überprüfen und Sicherheitsrisiken während und nach der Beschäftigung adressieren. Checklisten zur Beendigung und Prozesse für Hintergrundüberprüfungen fallen hierunter.

Protokollierung, Überwachung und Integrität

• Audit und Verantwortlichkeit: Benutzeraktivitäten und Systemereignisse protokollieren, diese Protokolle schützen und für Überprüfungen aufbewahren. Ihre SIEM-Protokollaufbewahrung und Aufbewahrungsrichtlinie sind zentrale Nachweise.
• System- und Informationsintegrität: Systemfehler beheben, vor Schadcode schützen und Sicherheitswarnungen überwachen. Konfigurationen des Endpunktschutzes und Patch-Management-Aufzeichnungen sind häufig angeforderte Nachweise.

Konfiguration und Wartung

• Konfigurationsmanagement: Sichere Konfigurationen für Systeme mit CUI festlegen und durchsetzen. Baselines, Änderungsprotokolle und Softwareinventare erfüllen diese Domäne.
• Wartung: Wartungsaktivitäten an Systemen, die CUI verarbeiten, insbesondere Remote-Sitzungen, kontrollieren. Alle Wartungsaktivitäten protokollieren und den Personenkreis einschränken.

Daten- und physischer Schutz

• Medienkontrolle: Kontrolle, wie CUI auf physischen und digitalen Medien gespeichert, transportiert und vernichtet wird. Richtlinien zur Bereinigung, Entsorgung und Nutzung von Wechselmedien sind erforderlich.
• Physischer Schutz: Physischen Zugriff auf Systeme und Umgebungen, in denen CUI verarbeitet wird, beschränken. Besucherprotokolle, Zugangskartenaufzeichnungen und physische Sicherheitsrichtlinien erfüllen diese Domäne.

Risiko, Bewertung und Schulung

• Risikobewertung: Regelmäßige Bewertung des operationellen Risikos durch die Nutzung von CUI-Systemen. Ein dokumentierter Risikobewertungsprozess mit Ergebnissen und Nachverfolgung von Maßnahmen wird erwartet.
• Sicherheitsbewertung: Kontrollen regelmäßig bewerten, Maßnahmenpläne pflegen und Sicherheit kontinuierlich überwachen. Ihr SSP und POA&M-Prozess unterstützen diese Domäne direkt.
• Bewusstsein und Schulung: Personal zu Sicherheitsverantwortlichkeiten und rollenbasierten Risiken schulen. Prüfer erwarten Schulungsnachweise, Abschlussverfolgung und Belege für rollenbasierte Inhalte.

Kommunikation und Incident Response

• System- und Kommunikationsschutz: Übertragene Daten in Ihren Systemen überwachen, steuern und schützen. Netzwerksegmentierung, Verschlüsselung während der Übertragung und Grenzschutzkontrollen sind wichtige Nachweise.
• Incident Response: Fähigkeit zum Erkennen, Eindämmen und Wiederherstellen nach Vorfällen aufbauen, testen und dokumentieren. Prüfer erwarten einen dokumentierten Plan, Nachweise für Tests und Protokolle nach Vorfällen. Ihre Incident-Response-Planung und Testnachweise sind ein zentraler Prüfpunkt in dieser Domäne.

Mit der Abbildung Ihrer Domänenanforderungen können Sie die Stolpersteine planen, die die Bereitschaft am häufigsten gefährden.

Warum CMMC-Compliance schwierig ist

Das evidenzbasierte Modell von CMMC ist im Prinzip einfach, aber in der Praxis anspruchsvoll. Die meisten Teams, die mit der Vorbereitung kämpfen, scheitern nicht an exotischen technischen Lücken, sondern an strukturellen Hürden, die nachhaltige Investitionen und Koordination erfordern. Hier sind die vier häufigsten Stolpersteine:

• Kostenbelastung (insbesondere für kleine Unternehmen). Wenn Sie sich noch am Anfang Ihrer Sicherheitsreife befinden, benötigen Sie möglicherweise Tooling-Änderungen, Dokumentation und nachhaltige Nachweis-Workflows, die erhebliche Investitionen erfordern.
• Operationalisierung von Nachweisen. Wenn Sie keine Protokolle, Tickets, Konfigurationen und Nachweise für konsistente Kontrollen über die Zeit liefern können, werden Sie Schwierigkeiten beim Bestehen haben.
• Abhängigkeiten von Cloud-Anbietern. Wenn Ihre Cloud-Anbieter CUI verarbeiten, können deren Autorisierungsstatus und die geteilte Verantwortungsgrenze Ihre Zertifizierung blockieren.
• Komplexität der Abgrenzung. Zu große Abgrenzung zieht unnötige Systeme in die Bewertung; zu kleine Abgrenzung übersieht tatsächliche CUI-Flüsse.

Keine dieser Hürden ist unüberwindbar, aber alle erfordern Vorlaufzeit, die Sie nicht aufholen können, wenn Sie zu spät beginnen. Eine frühe Lückenanalyse und SSP-Erstellung ist der zuverlässigste Weg, strukturelle Herausforderungen nicht zu einem Berechtigungsrisiko werden zu lassen.

Häufige Fehler bei der Umsetzung von CMMC-Compliance

Die meisten Fehler entstehen durch schwache Koordination oder veraltete Dokumentation, nicht nur durch Kontrolllücken. Hier sind die Fehler, die Bewertungen am häufigsten entgleisen lassen:

• Die „nur-Richtlinie“-Falle. Wenn Sie Richtlinien ohne Nachweise vorlegen, dass Kontrollen tatsächlich betrieben werden, erfüllen Sie keine evidenzbasierte Bewertung.
• Nachweissammlung in letzter Minute. Wenn Sie kurz vor der Bewertung hektisch Screenshots sammeln, signalisieren Sie Unreife und schwächen das Vertrauen in Ihr SSP.
• POA&Ms als Plan behandeln. Wenn Sie POA&Ms als Strategie betrachten, riskieren Sie, aus dem bedingten Status herauszufallen, statt echte Kontrolllücken zu schließen.
• Den gleichen C3PAO für Vorbereitung und Zertifizierung nutzen. Wenn Sie einen C3PAO für die Vorbereitung engagieren, dürfen Sie dieselbe Organisation nicht für die Zertifizierungsbewertung nutzen.

Der gemeinsame Nenner ist das Timing. Teams, die CMMC-Bereitschaft als laufendes operatives Programm und nicht als kurzfristigen Vorbereitungsdruck behandeln, vermeiden alle Punkte auf dieser Liste. Die folgenden Best Practices zeigen, wie Sie dieses Programm Schritt für Schritt strukturieren.

Best Practices für CMMC-Compliance

CMMC-Bereitschaft ist kein Projekt mit Endpunkt: Es ist ein kontinuierlich laufendes operatives Programm. Die fünf Phasen unten geben Ihnen eine strukturierte Vorgehensweise, um dieses Programm aufzubauen – von der ersten Lückenanalyse bis zur Personalschulung, die bestimmt, ob Ihr Team den Interviewteil einer Bewertung besteht.

• Phase 1: Bewerten Sie Ihre aktuelle Lage. Führen Sie eine Lückenanalyse gegen NIST SP 800-171 durch und prüfen Sie jeden Vertrag und jedes Angebot, um das benötigte CMMC-Level zu bestätigen. Wenn Sie Cloud-Dienste nutzen, validieren Sie frühzeitig den Autorisierungsstatus und die geteilten Verantwortlichkeiten. Beginnen Sie Ihr SSP von Anfang an, nicht erst als Ergebnis nach der Bewertung.
• Phase 2: Bauen Sie ein bereichsübergreifendes Vorbereitungsteam auf. Sie benötigen Führungskräfte für Bestätigungen und Ressourcen, IT für die technische Umsetzung und Compliance-Verantwortliche für Dokumentation und Nachweis-Workflows. Weisen Sie jedem Kontrolldomäne namentlich Verantwortliche zu und machen Sie Verantwortlichkeit wiederkehrend, nicht ad hoc.
• Phase 3: Implementieren Sie kontinuierliche Nachweiserhebung. Behandeln Sie Ihr SSP als lebendes Dokument, nicht als Vorabgabe für die Prüfung. Bauen Sie Aufbewahrungs-Workflows für die von Prüfern erwarteten Nachweise auf und prüfen Sie, wie Ihre SIEM-Protokollaufbewahrung Ihre Nachweisführung unterstützt.
• Phase 4: Grenzen Sie präzise ab. Dokumentieren Sie CUI-Flüsse und -Grenzen exakt. Präzise Abgrenzung senkt Kosten und fokussiert Ihre Kontrollen dort, wo sie am wichtigsten sind.
• Phase 5: Schulen Sie Personal zu dokumentierten Kontrollen. Prüfer werden Untersuchen, Befragen und Testen. Ihr Personal muss erklären können, wie Kontrollen in der Praxis funktionieren, insbesondere bei Least-Privilege-Zugriff und Incident Handling, denn allein Dokumentation reicht für den Interviewteil nicht aus.

Sobald Sie Prozessdisziplin haben, können Sie Tools auf Nachweiserwartungen abbilden, ohne Lücken mit Papier zu kaschieren.

Wichtige Erkenntnisse

Wenn Sie DoD FCI oder CUI verarbeiten, ist CMMC das verbindliche Rahmenwerk zur Überprüfung Ihrer Cybersecurity-Position durch evidenzbasierte Zertifizierung, nicht durch Selbstbestätigung. 

Sie sind erfolgreich, wenn Sie kontinuierliche Nachweiserhebung etablieren, präzise abgrenzen, die Vorbereitung als bereichsübergreifendes Programm betreiben und Tools nutzen, die die von CMMC-Bewertungen geforderten operativen Nachweise liefern.

FAQs

Was ist CMMC-Compliance?

CMMC-Konformität bedeutet, dass ein DoD-Auftragnehmer oder Unterauftragnehmer die an seine spezifische Zertifizierungsstufe geknüpften Cybersicherheitsanforderungen entweder durch Selbsteinschätzung oder Drittzertifizierung erfüllt hat und diesen Status für die Dauer seines Vertrags aufrechterhält. 

Konformität ist kein einmaliges Ereignis: Sie erfordert eine jährliche Bestätigung, kontinuierliche Beweissammlung und einen aktuellen System Security Plan. Wenn Ihr CMMC-Status abläuft oder nicht verifiziert werden kann, sind Sie nicht berechtigt, einen DoD-Vertrag zu gewinnen oder fortzuführen, der FCI oder CUI umfasst.

Was ist der Unterschied zwischen CMMC Level 1 und Level 2?

Wenn Ihre bewertete Umgebung nur FCI verarbeitet, konzentriert sich Level 1 auf grundlegende Schutzmaßnahmen gemäß FAR 52.204-21, und Sie erfüllen diese in der Regel durch eine jährliche Selbsteinschätzung, die durch einfache Nachweise wie Benutzerkontenlisten, Schulungsnachweise und Konfigurationseinstellungen belegt wird. 

Wenn CUI in den Geltungsbereich fällt, verlangt Level 2 die Umsetzung aller 110 Anforderungen aus NIST SP 800-171, die Pflege eines SSP und die Bereitstellung objektiver Nachweise für die Wirksamkeit der Kontrollen. Ihr Vertrag legt fest, ob eine Selbstbewertung oder eine Drittanbieterbewertung erforderlich ist.

Kann ein Auftragnehmer POA&Ms nutzen, um eine CMMC-Bewertung zu bestehen?

Sie sollten POA&Ms nicht als Ihre Strategie betrachten. Wenn das Programm POA&Ms zulässt, dürfen Sie diese nur unter bestimmten Bedingungen und in der Regel nur für begrenzte Lücken nach Erreichen der Mindestanforderungen des Programms verwenden. 

Sie müssen dennoch jede Lücke in Ihrem SSP dokumentieren, einen finanzierten und zeitlich begrenzten Maßnahmenplan vorlegen und Nachverfolgungsartefakte wie Tickets, Konfigurationsänderungen und Validierungsergebnisse pflegen. Wenn Sie das bedingte Zeitfenster verpassen, können Sie Ihren Status und Ihre Berechtigung verlieren.

Was passiert, wenn mein Cloud-Anbieter nicht ordnungsgemäß für CUI autorisiert ist?

Wenn Ihr Cloud-Anbieter CUI für Ihre Vertragsarbeit verarbeitet, speichert oder überträgt, kann dies während der Vorbereitung zu einem schwerwiegenden Hindernis führen. Die Autorisierung des Anbieters muss mit den Erwartungen des DoD übereinstimmen, und es muss ein klares Shared-Responsibility-Modell für Kontrollen wie Protokollierung, Zugriffsüberprüfungen und Vorfallbearbeitung bestehen. 

Kann der Anbieter diese Erwartungen nicht erfüllen, müssen Sie möglicherweise den Geltungsbereich neu gestalten oder Workloads verschieben.

Wie schafft die jährliche Bestätigung eine persönliche Haftung?

Wenn Sie eine jährliche Bestätigung unterzeichnen, verknüpfen Sie Ihren Namen mit einer Compliance-Aussage, die mit der Vertragsberechtigung, Vergabe oder Zahlung verbunden sein kann. Kann Ihre Organisation diese Aussage nicht mit Nachweisen belegen, entsteht ein Risiko im Rahmen des False Claims Act. 

Sie schützen sich, indem Sie Ihr SSP aktuell halten, Nachweise pflegen und sicherstellen, dass die Geschäftsleitung den Geltungsbereich und das Risiko vor der Unterzeichnung prüft.

Werden CMMC-Anforderungen über DoD-Verträge hinaus ausgeweitet?

Sie sollten damit rechnen, dass Anforderungen zum Schutz von CUI weiterhin über Bundesaufträge hinweg standardisiert werden, auch wenn sich die Vertragsformulierungen je nach Behörde unterscheiden. Wenn Sie jetzt NIST SP 800-171-konforme Kontrollen operationalisieren, reduzieren Sie späteren Mehraufwand, da Sie bereits die Prozesse betreiben, die Prüfer erwarten: Datenhandhabung im definierten Umfang, Zugriffssteuerung, Protokollaufbewahrung und wiederholbare Vorfallreaktion. 

CMMC formalisiert diese Anforderungen für das DoD, aber die Kontroll-Disziplin lässt sich gut auf andere Bundesprogramme übertragen.