Was ist CMMC-Compliance? Definition, Stufen & Anforderungen

CMMC-Compliance ist das Zertifizierungsframework des DoD zum Schutz von CUI und FCI über drei Reifestufen hinweg. Erfahren Sie mehr über die 14 Praxisdomänen und den Einführungszeitplan.

Was ist CMMC?

Das Cybersecurity Maturity Model Certification (CMMC) ist das Rahmenwerk des Department of Defense zur Überprüfung, dass Auftragnehmer sensible Informationen tatsächlich schützen. Auf Programmebene legt die CMMC Program Final Rule den Zweck von CMMC fest: den Schutz von Controlled Unclassified Information (CUI) und Federal Contract Information (FCI), die Sie bei der Erfüllung von DoD-Verträgen verarbeiten, speichern oder übertragen. Gemäß DFARS 204.7500 ist CMMC „ein Rahmenwerk zur Bewertung der Informationssicherheitsmaßnahmen eines Auftragnehmers“, das Richtlinien und Verfahren für die Aufnahme von Anforderungen an Zertifizierungsstufen in DoD-Verträge vorschreibt. CMMC 2.0 hat das ursprüngliche Fünf-Stufen-Modell auf drei Stufen gestrafft, und die Final Rule dokumentiert diese aktualisierte Struktur.

Vor CMMC bestätigten Auftragnehmer die Einhaltung von NIST SP 800-171 selbst, bei nur begrenzter externer Überprüfung. Wenn Sie einen überhöhten Supplier Performance Risk System (SPRS)-Score eingereicht haben und ein Audit einen tatsächlich stark negativen Score feststellt, könnte dies ein Problem nach dem False Claims Act auslösen, nicht nur eine nicht bestandene Compliance-Prüfung. Das ist der operative Grund für die Existenz von CMMC: Das DoD verlässt sich nicht mehr auf Selbstbestätigungen, wenn CUI im Spiel ist.

Vorfälle in der Lieferkette haben die Tragweite deutlicher gemacht. 2022 trafen Angreifer Viasat mit einem destruktiven Wiper-Angriff auf dessen KA-SAT-Satellitennetzwerk, wodurch laut dem SentinelLabs-Bericht die Kommunikation für Zehntausende Kunden in Europa und der Ukraine gestört wurde. 2020 erreichte die SolarWinds-Lieferkettenkompromittierung laut der CISA-Warnung bis zu 18.000 Kunden. Wenn Ihre Umgebung DoD-Programme berührt, zwingt CMMC Sie dazu nachzuweisen, dass Sie CUI schützen können, und nicht nur zu behaupten, dass Sie es tun.

FCI vs. CUI: Was Ihre Zertifizierungsstufe schützt

CMMC-Compliance verbindet die Dokumentation von Kontrollen mit einem überprüfbaren Nachweis, dass sie in Ihrer Umgebung funktionieren. CMMC setzt ein Pass/Fail-Zertifizierungsmodell durch. Entweder weisen Sie funktionierende Kontrollen durch überprüfbare Nachweise nach, oder Sie erhalten keine Zertifizierung. Zwei Informationskategorien bestimmen Ihre Anforderungen:

• Federal Contract Information (FCI): Die Regierung stellt diese Informationen für Ihre Vertragsarbeit bereit oder erzeugt sie, und sie sind nicht zur öffentlichen Freigabe bestimmt. Sie schützen sie mit grundlegenden Schutzmaßnahmen gemäß FAR 52.204-21.
• Controlled Unclassified Information (CUI): Gesetze oder regierungsweite Richtlinien verlangen Schutzmaßnahmen für diese Informationen. Sie schützen sie durch Ausrichtung an NIST SP 800-171.

Diese Unterscheidung bestimmt, wie Sie Systeme abgrenzen, eine Zielstufe auswählen und Ihren Nachweisplan aufbauen. Das ISOO der National Archives erläutert die Hierarchie in der ISOO-Leitlinie: „Alle CUI im Besitz eines Regierungsauftragnehmers sind FCI, aber nicht alle FCI sind CUI.“ Wenn Sie Ihre Daten korrekt klassifizieren, können Sie korrekt abgrenzen, und die Abgrenzung ist der Ausgangspunkt für die meisten CMMC-Ergebnisse.

Bestätigen Sie als Nächstes, ob CMMC auf Ihre Verträge und Ihre Rolle in der Lieferkette anwendbar ist.

Für wen CMMC-Compliance gilt

CMMC gilt für Sie, wenn Sie Auftragnehmer oder Unterauftragnehmer in der Defense Industrial Base sind und bei der Erfüllung von DoD-Verträgen FCI oder CUI verarbeiten. Ihre erforderliche Stufe hängt von der Sensibilität dessen ab, womit Sie arbeiten, und davon, wohin diese Informationen fließen.

• Stufe 1 (Foundational): Sie verarbeiten nur FCI, ohne dass CUI beteiligt ist. Dies passt häufig zu grundlegenden Support-Funktionen, bei denen CUI nie in Ihre Systeme gelangt.
• Stufe 2 (Advanced): Sie verarbeiten CUI wie technische Daten, Konstruktionsspezifikationen, beschaffungssensible Informationen oder Konstruktionsdokumente. Diese Stufe sehen Sie, wenn CUI durch die Lieferkette weitergegeben wird, wenn Sie F&E-Programme mit als CUI gekennzeichneten Ergebnissen durchführen oder wenn Sie IT-Services bereitstellen, die Systeme mit CUI-Inhalten betreiben.
• Stufe 3 (Expert): Sie verwalten CUI innerhalb der Programme mit der höchsten Priorität des DoD, bei denen eine Kompromittierung einen erheblichen Vorteil für Gegner schaffen würde oder bei denen Missionsauswirkungen und Aggregation Ihr Risikoprofil erhöhen.

CMMC-Stufen sind kumulativ: Wenn Sie eine höhere Stufe anstreben, erfüllen Sie auch die Anforderungen der darunterliegenden Stufen, und die CMMC Program Final Rule definiert diese Struktur.

Sobald Sie Ihre Stufe kennen, können Sie sie den Klauseln, Bewertungen und Konsequenzen zuordnen, die die Eignung bestimmen.

Wie CMMC-Compliance funktioniert: Vorschriften und Konsequenzen

CMMC ist durch Vertragssprache verbindlich, nicht durch freiwillige Einführung. Zwei bundesrechtliche Vorschriften verleihen dem Ganzen rechtliche Durchsetzungskraft, und die Nichteinhaltung hat Konsequenzen, die über ein nicht bestandenes Audit hinausgehen. Das Verständnis der regulatorischen Struktur, Ihres Bewertungswegs und der tatsächlichen Kosten von Non-Compliance ist die Grundlage dafür, Ihre Readiness-Arbeit korrekt abzugrenzen.

Das regulatorische Rahmenwerk

Zwei DFARS-Klauseln bringen CMMC in Ihre Verträge.

• Die DFARS 252.204-7021-Klausel verlangt von Ihnen, „für die Dauer des Vertrags einen aktuellen CMMC-Status auf der folgenden CMMC-Stufe oder höher zu haben und aufrechtzuerhalten“.
• Die DFARS 252.204-7025-Bestimmung verlangt von Ihnen, Bewertungsergebnisse vor der Vergabe in SPRS zu veröffentlichen und die Systeme zu identifizieren, die FCI oder CUI verarbeiten werden.

Diese Klauseln machen aus CMMC ein vertragsrelevantes Zulassungskriterium statt bloßer Leitlinien.

Bewertungswege

Die Bewertungswege variieren je nach Stufe und Ausschreibung. Sie geben außerdem jährlich eine Bestätigung der fortgesetzten Compliance ab, und das DoD-Programmbüro bestimmt, ob Ihr Vertrag der Stufe 2 eine Selbstbewertung oder eine C3PAO-Zertifizierung erfordert.

Zwei operative Details bestimmen häufig, was in der Praxis geschieht:

• Stufe 2 erfordert 110 Anforderungen aus NIST SP 800-171, wie in NIST SP 800-171 definiert.
• Im bedingten Pfad erlaubt Stufe 2 begrenzte Plans of Action and Milestones (POA&Ms), wenn Sie die Mindestschwelle für die Implementierung des Programms erfüllen, und die Definitionen in DFARS 204.7501 dokumentieren die CMMC-Statusbegriffe.

Wenn POA&Ms zulässig sind, läuft dennoch eine harte Frist. Der bedingte Status ist zeitlich begrenzt, gemäß denselben Definitionen in DFARS 204.7501.

Konsequenzen bei Non-Compliance

Das Fehlen des erforderlichen CMMC-Status hat Konsequenzen in drei Dimensionen: Vertragseignung, rechtliche Risiken und Kontinuität der Leistungserbringung.

• Vertragliche Nichteignung ist strukturell, nicht ermessensabhängig. Wenn Sie nicht über den erforderlichen CMMC-Status verfügen, können Sie keinen Zuschlag erhalten oder die Leistung dort fortsetzen, wo der Vertrag den Status verlangt.
• Risiken nach dem False Claims Act werden zu Ihrem schwerwiegendsten rechtlichen Risiko, wenn Sie Compliance für Eignung, Vergabe oder Zahlung darstellen, dies aber nicht mit Nachweisen belegen können.
• Vertragskündigung und andere Rechtsmittel können folgen, wenn Ihr bedingter Status abläuft und Sie den Status, den Sie für die weitere Leistungserbringung benötigen, weiterhin nicht aufrechterhalten können.

Die regulatorischen Konsequenzen sind bewusst schwerwiegend. Das DoD hat CMMC so konzipiert, dass unzutreffende Selbstbestätigungen kostspielig genug sind, damit Auftragnehmer die Sammlung von Nachweisen als kontinuierliche operative Anforderung behandeln und nicht als hektische Aktivität vor einer Bewertung.

Nachdem Sie nun die Mechanik verstehen, können Sie Ihre erforderliche Stufe in die Reifeerwartungen übersetzen, die Prüfer validieren werden.

CMMC 2.0-Reifestufen verstehen

Ihre erforderliche Stufe wird durch die Art der Informationen bestimmt, die Sie verarbeiten, und durch die Programme, die Sie unterstützen. Jede Stufe baut auf der darunterliegenden auf, sodass eine höhere Zertifizierung auch bedeutet, dass Sie alles erfüllt haben, was auf niedrigeren Stufen erforderlich ist. Hier ist, was jede Stufe in der Praxis verlangt.

Stufe 1: Foundational

Wenn Sie nur FCI verarbeiten, richtet sich Stufe 1 nach den grundlegenden Schutzmaßnahmen von FAR 52.204-21. Die 17 Praktiken auf dieser Stufe decken grundlegende Hygiene ab: Begrenzung des Systemzugriffs auf autorisierte Benutzer, Überprüfung von Personen vor dem Zugriff, Aufrechterhaltung physischer Sicherheit für CUI-relevante Bereiche und Sicherstellung, dass Systeme geprüft und wiederhergestellt werden können. Sie führen jährlich eine Selbstbewertung durch, und Sie können auf dieser Stufe keine POA&Ms verwenden. Die Selbstbewertung wird von einem leitenden Unternehmensvertreter unterzeichnet, was eine direkte Verantwortlichkeit für diese Erklärung schafft.

Stufe 2: Advanced

Wenn Sie CUI verarbeiten, ist Stufe 2 direkt auf NIST SP 800-171 Rev. 2 abgebildet und erfordert Nachweise, dass alle 110 Kontrollen in 14 Praxisdomänen implementiert sind und funktionieren. Je nach Ausschreibung können Sie dies durch Selbstbewertung oder eine Drittbewertung durch ein C3PAO erfüllen; das DoD-Programmbüro bestimmt, welcher Weg gilt. Stufe 2 erfordert außerdem die Pflege eines System Security Plan (SSP), der dokumentiert, wie jede Kontrolle in Ihrer Umgebung implementiert ist.

Stufe 3: Expert

Wenn Sie Programme mit höchster Priorität unterstützen, zielt Stufe 3 auf die Abwehr fortgeschrittener persistenter Bedrohungen ab und baut auf Stufe 2 mit erweiterten Anforderungen auf, die aus einer Teilmenge von NIST SP 800-172 stammen. Regierungsprüfer der Defense Contract Management Agency führen Bewertungen der Stufe 3 direkt durch. Diese Stufe ist Auftragnehmern vorbehalten, die mit CUI in Programmen arbeiten, bei denen ein Zugriff durch Gegner ein erhebliches nationales Sicherheitsrisiko schaffen würde.

Sobald Sie Ihre Stufe kennen, müssen Sie wissen, wann sie für Ihre Verträge gilt.

Zeitplan für die CMMC-Implementierung

Die CMMC Program Final Rule trat am 16. Dezember 2024 in Kraft und nutzt eine Einführung in vier Phasen, um Anforderungen über drei Jahre hinweg in DoD-Verträge zu überführen. Es gibt keinen einzelnen Schalter, der alle Verträge auf einmal umlegt: Das DoD führt CMMC-Sprache nach Ausschreibungstyp und Stufe schrittweise ein.

• Phase 1 (Wirksam ab 16. Dezember 2024): Das DoD kann Anforderungen an Selbstbewertungen der Stufe 1 oder Stufe 2 in Ausschreibungen aufnehmen. Wenn Ihr Vertrag bereits CMMC-Sprache enthält, müssen Sie Ihre Selbstbewertung abschließen, Ergebnisse in SPRS veröffentlichen und vor der Vergabe oder als Vertragsbedingung eine jährliche Bestätigung abgeben. Diese Phase ist jetzt aktiv.
• Phase 2 (Beginn ungefähr Dezember 2025): Das DoD kann Drittbewertungen durch C3PAO für Stufe 2 in Ausschreibungen verlangen. Verträge, die zuvor eine Selbstbewertung zuließen, können auf eine unabhängige Zertifizierung umgestellt werden. Bestätigen Sie den Bewertungsweg Ihres Vertrags, wenn Ausschreibungen der Phase 2 auf den Markt kommen, da Vorlaufzeiten für die Terminplanung mit C3PAOs Ihr Zeitfenster verkürzen können.
• Phase 3 (Beginn ungefähr Dezember 2026): Das DoD kann Anforderungen der Stufe 3 aufnehmen. Wenn Sie Programme mit hoher Priorität unterstützen, beginnen Sie jetzt mit dem Aufbau der Readiness für Stufe 3. Die Terminplanung mit Regierungsprüfern über DCMA erfolgt mit langen Vorlaufzeiten.
• Phase 4 (Beginn ungefähr Dezember 2027): Vollständige Implementierung. Das DoD kann CMMC-Anforderungen auf alle anwendbaren Verträge anwenden. Keine Ausschreibung mit CUI wird ausgenommen sein.

Die praktische Konsequenz: Wenn Ihr Vertrag CMMC-Sprache enthält, ist Ihr Zeitplan bereits aktiv. Wenn nicht, sprechen Sie vor Ihrem nächsten Optionsjahr oder Angebot mit Ihrem Contracting Officer und Prime. Die schrittweise Einführung kann Verträge mitten in der Leistungserbringung betreffen, nicht nur neue Vergaben.

Mit einem klaren Zeitplan können Sie Ihre erforderliche Stufe den spezifischen Kontrollen zuordnen, die Prüfer validieren werden.

CMMC-Compliance-Anforderungen: Die 14 Praxisdomänen

Für Stufe 2 werden alle 110 Anforderungen aus NIST SP 800-171 14 Praxisdomänen zugeordnet. Prüfer werden Kontrollen in jeder einzelnen prüfen, erfragen und testen. Wenn Sie verstehen, was jede Domäne verlangt, können Sie Nachweise korrekt abgrenzen, bevor die Readiness-Arbeit beginnt.

Identität, Zugriff und Personal

• Access Control: Begrenzen Sie den Systemzugriff auf autorisierte Benutzer und Prozesse. Erforderliche Artefakte umfassen dokumentierte Benutzerkonten, Rollenzuweisungen, Sitzungssteuerungen und Access-Control-Praktiken für den Fernzugriff.
• Identification and Authentication: Überprüfen Sie die Identität, bevor Sie Zugriff gewähren. Multi-Faktor-Authentifizierung, Passwortrichtlinien und Kontrollen für privilegierte Konten sind häufige Prüfpunkte in Bewertungen.
• Personnel Security: Überprüfen Sie Personen, bevor Sie Zugriff auf CUI-Systeme gewähren, und behandeln Sie Sicherheitsrisiken während und nach dem Beschäftigungsverhältnis. Checklisten für Austritte und Prozesse für Hintergrundprüfungen fallen hierunter.

Protokollierung, Überwachung und Integrität

• Audit and Accountability: Protokollieren Sie Benutzeraktivitäten und Systemereignisse, schützen Sie diese Protokolle und bewahren Sie sie zur Überprüfung auf. Ihre SIEM-Protokollaufbewahrung-Konfiguration und Aufbewahrungsrichtlinie sind zentrale Artefakte.
• System and Information Integrity: Beheben Sie Systemschwachstellen, schützen Sie vor Schadcode und überwachen Sie Sicherheitswarnungen. Konfigurationen des Endpunktschutzes und Aufzeichnungen zum Patch-Management sind häufig angeforderte Nachweise.

Konfiguration und Wartung

• Configuration Management: Etablieren und erzwingen Sie sichere Konfigurationen für Systeme, die CUI verarbeiten. Baselines, Änderungssteuerungsaufzeichnungen und Softwareinventar erfüllen diese Domäne.
• Maintenance: Kontrollieren Sie Wartungsaktivitäten auf Systemen, die CUI verarbeiten, insbesondere Remote-Sitzungen. Protokollieren Sie alle Wartungsaktivitäten und beschränken Sie, wer sie durchführen darf.

Daten und physischer Schutz

• Media Protection: Kontrollieren Sie, wie CUI auf physischen und digitalen Medien gespeichert, transportiert und vernichtet wird. Richtlinien für Bereinigung, Entsorgung und die Nutzung entfernbarer Medien sind erforderlich.
• Physical Protection: Begrenzen Sie den physischen Zugriff auf Systeme und Umgebungen, in denen CUI verarbeitet wird. Besucherprotokolle, Badge-Zugriffsaufzeichnungen und Richtlinien zur physischen Sicherheit erfüllen diese Domäne.

Risiko, Bewertung und Schulung

• Risk Assessment: Bewerten Sie regelmäßig das operative Risiko aus der Nutzung von CUI-Systemen. Ein dokumentierter Risikobewertungsprozess mit Ergebnissen und Nachverfolgung von Abhilfemaßnahmen wird erwartet.
• Security Assessment: Bewerten Sie Ihre Kontrollen regelmäßig, pflegen Sie Maßnahmenpläne und überwachen Sie die Sicherheit fortlaufend. Ihr SSP und Ihr POA&M-Prozess unterstützen diese Domäne direkt.
• Awareness and Training: Schulen Sie Personal zu Sicherheitsverantwortlichkeiten und rollenspezifischen Risiken. Prüfer erwarten Schulungsaufzeichnungen, Nachverfolgung des Abschlusses und Nachweise für rollenbasierte Inhalte.

Kommunikation und Incident Response

• System and Communications Protection: Überwachen, kontrollieren und schützen Sie Daten, die über Ihre Systeme übertragen werden. Netzwerksegmentierung, Verschlüsselung während der Übertragung und Kontrollen zum Perimeterschutz sind wichtige Artefakte.
• Incident Response: Bauen, testen und dokumentieren Sie Ihre Fähigkeit, Vorfälle zu erkennen, einzudämmen und sich davon zu erholen. Prüfer wollen einen dokumentierten Plan, Nachweise von Tests und Aufzeichnungen nach Maßnahmen sehen. Ihre Dokumentation zur Incident-Response-Planung und Testartefakte sind in dieser Domäne ein primärer Bewertungsschwerpunkt.

Wenn Ihre Domänenanforderungen zugeordnet sind, können Sie die Reibungspunkte planen, die die Readiness am häufigsten zum Scheitern bringen.

Was CMMC-Compliance schwierig macht

Das nachweisbasierte Modell von CMMC ist im Prinzip unkompliziert, in der Praxis jedoch anspruchsvoll. Die meisten Teams, die mit der Readiness kämpfen, scheitern nicht an exotischen technischen Lücken; sie scheitern an strukturellen Barrieren, deren Überwindung nachhaltige Investitionen und Koordination erfordert. Hier sind die vier Reibungspunkte, die am konsistentesten auftreten.

• Kostenbelastung (insbesondere für kleine Unternehmen). Wenn Sie sich noch früh in Ihrer Sicherheitsreife befinden, benötigen Sie möglicherweise Änderungen an Tools, Dokumentation und nachhaltige Nachweis-Workflows, die erhebliche Investitionen erfordern.
• Operationalisierung von Nachweisen. Wenn Sie keine Protokolle, Tickets, Konfigurationen und Nachweise für konsistente Kontrollen über die Zeit vorlegen können, werden Sie Schwierigkeiten haben zu bestehen.
• Abhängigkeiten von Cloud-Anbietern. Wenn Ihre Cloud-Anbieter CUI verarbeiten, können deren Autorisierungsstatus und die Grenze der geteilten Verantwortung Ihre Zertifizierung blockieren.
• Komplexität der Abgrenzung. Eine zu weite Abgrenzung zieht unnötige Systeme in die Bewertung; eine zu enge Abgrenzung übersieht tatsächliche CUI-Flüsse.

Keine dieser Barrieren ist unüberwindbar, aber alle erfordern Planungszeit, die Sie nicht zurückgewinnen können, wenn Sie spät beginnen. Ein früher Start Ihrer Gap-Bewertung und Ihres SSP ist der zuverlässigste Weg, um zu verhindern, dass strukturelle Herausforderungen zu Eignungsrisiken werden.

Häufige Fehler bei der Implementierung von CMMC-Compliance

Die meisten Fehlschläge entstehen durch schwache Koordination oder veraltete Dokumentation, nicht nur durch Kontrolllücken. Hier sind die Fehler, die Bewertungen am häufigsten zum Scheitern bringen:

• Die „Nur-Richtlinien“-Falle. Wenn Sie Richtlinien ohne Artefakte vorlegen, die belegen, dass Kontrollen funktionieren, werden Sie eine nachweisbasierte Bewertung nicht bestehen.
• Nachweissammlung in letzter Minute. Wenn Sie kurz vor der Bewertung hektisch Screenshots zusammentragen, signalisieren Sie Unreife und schwächen das Vertrauen in Ihr SSP.
• POA&Ms als Plan behandeln. Wenn Sie POA&Ms als Ihre Strategie behandeln, riskieren Sie, dass Ihr bedingter Status ausläuft, statt echte Kontrolllücken zu schließen.
• Dasselbe C3PAO für Readiness und Zertifizierung verwenden. Wenn Sie ein C3PAO für Readiness-Unterstützung beauftragen, können Sie dieselbe Organisation nicht für die Zertifizierungsbewertung verwenden.

Der gemeinsame Nenner bei all diesen Punkten ist das Timing. Teams, die CMMC-Readiness als dauerhaftes operatives Programm statt als Vorbereitungsphase vor einer Bewertung behandeln, vermeiden jeden Punkt auf dieser Liste. Die folgenden Best Practices zeigen, wie Sie dieses Programm Phase für Phase strukturieren.

Best Practices für CMMC-Compliance

CMMC-Readiness ist kein Projekt mit einer Ziellinie: Es ist ein operatives Programm, das kontinuierlich läuft. Die fünf folgenden Phasen geben Ihnen einen strukturierten Weg, dieses Programm aufzubauen, von der anfänglichen Gap-Bewertung bis zur Personalschulung, die darüber entscheidet, ob Ihr Team den Interviewteil einer Bewertung besteht.

• Phase 1: Bewerten Sie Ihre aktuelle Ausgangslage. Führen Sie eine Gap-Bewertung gegenüber NIST SP 800-171 durch und prüfen Sie jeden Vertrag und jedes Angebot, um die benötigte CMMC-Stufe zu bestätigen. Wenn Sie Cloud-Services nutzen, validieren Sie frühzeitig den Autorisierungsstatus und die geteilten Verantwortlichkeiten. Beginnen Sie Ihr SSP von Anfang an, nicht als nachgelagerte Leistung nach der Bewertung.
• Phase 2: Bauen Sie ein funktionsübergreifendes Readiness-Team auf. Sie benötigen Führungskräfte für Bestätigungen und Ressourcenzuweisung, IT für die technische Implementierung und Compliance-Verantwortliche für Dokumentation und Nachweis-Workflows. Weisen Sie jeder Kontrolldomäne namentlich Verantwortliche zu und machen Sie Verantwortlichkeit zu einem wiederkehrenden statt ad hoc erfolgenden Prozess.
• Phase 3: Implementieren Sie eine kontinuierliche Nachweissammlung. Behandeln Sie Ihr SSP als lebendes Dokument, nicht als Leistung vor einem Audit. Bauen Sie Aufbewahrungs-Workflows für die Artefakte auf, die Prüfer erwarten, und bestätigen Sie, wie Ihre SIEM-Protokollaufbewahrung-Konfiguration Ihre Nachweisführung unterstützt.
• Phase 4: Grenzen Sie präzise ab. Dokumentieren Sie CUI-Flüsse und Grenzen präzise. Eine genaue Abgrenzung senkt Kosten und fokussiert Ihre Kontrollen dort, wo sie am wichtigsten sind.
• Phase 5: Schulen Sie Personal zu dokumentierten Kontrollen. Prüfer werden Examine, Interview und Test durchführen. Ihr Personal muss erklären können, wie Kontrollen in der Praxis funktionieren, insbesondere rund um Least-Privilege-Zugriff und Incident Handling, denn Dokumentation allein reicht nicht aus, um den Interviewteil zu bestehen.

Wenn Sie Prozessdisziplin haben, können Sie Tools den Nachweiserwartungen zuordnen, ohne zu versuchen, Lücken zu kaschieren.

Wichtige Erkenntnisse

Wenn Sie DoD-FCI oder CUI verarbeiten, ist CMMC das verbindliche Rahmenwerk zur Überprüfung Ihrer Cybersicherheitslage durch nachweisbasierte Zertifizierung und nicht durch Selbstbestätigung. 

Sie sind erfolgreich, wenn Sie eine kontinuierliche Nachweissammlung aufbauen, präzise abgrenzen, Readiness als funktionsübergreifendes Programm betreiben und Tools einsetzen, die die operativen Artefakte erzeugen, die CMMC-Bewertungen verlangen.

FAQs

Was ist CMMC-Compliance?

CMMC-Compliance bedeutet, dass ein DoD-Auftragnehmer oder Unterauftragnehmer die Cybersicherheitsanforderungen erfüllt hat, die mit seiner spezifischen Zertifizierungsstufe verbunden sind, entweder durch Selbstbewertung oder Zertifizierung durch Dritte, und diesen Status für die Dauer seines Vertrags aufrechterhält. 

Compliance ist kein einmaliges Ereignis: Sie erfordert eine jährliche Bestätigung, kontinuierliche Sammlung von Nachweisen und einen aktuellen System Security Plan. Wenn Ihr CMMC-Status abläuft oder nicht verifiziert werden kann, sind Sie nicht berechtigt, einen DoD-Vertrag zu erhalten oder die Ausführung eines DoD-Vertrags fortzusetzen, der FCI oder CUI umfasst.

Was ist der Unterschied zwischen CMMC Stufe 1 und Stufe 2?

Wenn Ihre bewertete Umgebung nur FCI verarbeitet, konzentriert sich Level 1 auf grundlegende Schutzmaßnahmen gemäß FAR 52.204-21, und Sie erfüllen diese in der Regel durch eine jährliche Selbstbewertung, die durch unkomplizierte Nachweise wie Kontolisten, Schulungsunterlagen und Konfigurationseinstellungen gestützt wird. 

Wenn CUI in den Geltungsbereich fällt, verlangt Level 2, dass Sie alle 110 Anforderungen aus NIST SP 800-171 umsetzen, ein SSP pflegen und objektive Nachweise erbringen, dass Kontrollen wirksam funktionieren. Ihr Vertrag entscheidet über Selbstbewertung oder Bewertung durch Dritte.

Kann ein Auftragnehmer POA&Ms verwenden, um eine CMMC-Bewertung zu bestehen?

Sie sollten POA&Ms nicht als Ihre Strategie betrachten. Wenn das Programm POA&Ms zulässt, können Sie sie nur unter bestimmten Bedingungen und in der Regel nur für begrenzte Lücken verwenden, nachdem Sie die Mindestschwelle für die Implementierung des Programms erreicht haben. 

Sie müssen weiterhin jede Lücke in Ihrem SSP dokumentieren, einen finanzierten und zeitlich begrenzten Behebungsplan vorlegen und Nachverfolgungsartefakte wie Tickets, Konfigurationsänderungen und Validierungsergebnisse pflegen. Wenn Sie das bedingte Zeitfenster verpassen, können Sie Status und Berechtigung verlieren.

Was passiert, wenn mein Cloud-Anbieter nicht angemessen für CUI autorisiert ist?

Wenn Ihr Cloud-Anbieter CUI für Ihre Vertragsarbeit verarbeitet, speichert oder überträgt, können Sie während der Bereitschaft auf ein erhebliches Hindernis stoßen. Sie benötigen eine Autorisierungslage des Anbieters, die mit den Erwartungen des DoD übereinstimmt, sowie ein klares Modell der geteilten Verantwortung für Kontrollen wie Protokollierung, Zugriffsüberprüfungen und Incident-Handling. 

Wenn der Anbieter diese Erwartungen nicht erfüllen kann, müssen Sie möglicherweise den Umfang neu architektieren oder Workloads verlagern.

Wie schafft die jährliche Bestätigung persönliche Haftung?

Wenn Sie eine jährliche Bestätigung unterzeichnen, verknüpfen Sie Ihren Namen mit einer Compliance-Erklärung, die mit der Vertragsberechtigung, Vergabe oder Zahlung verbunden sein kann. Wenn Ihre Organisation diese Erklärung nicht mit Nachweisen belegen kann, kann dies ein Risiko im Rahmen des False Claims Act schaffen. 

Sie schützen sich, indem Sie Ihr SSP korrekt halten, Nachweise aktuell halten und sicherstellen, dass die Führungsebene Umfang und Risiko vor der Unterzeichnung prüft.

Werden sich die CMMC-Anforderungen über DoD-Verträge hinaus ausweiten?

Sie sollten davon ausgehen, dass sich die Anforderungen zum Schutz von CUI über Bundesaufträge hinweg weiter standardisieren werden, auch wenn sich die Vertragssprache je nach Behörde unterscheidet. Wenn Sie jetzt an NIST SP 800-171 ausgerichtete Kontrollen operationalisieren, reduzieren Sie später Nacharbeit, weil Sie die Prozesse bereits ausführen, die Auditoren sehen wollen: abgegrenzte Datenverarbeitung, Zugriffs-Governance, Protokollaufbewahrung und wiederholbare Incident Response. 

CMMC formalisiert diese Anforderungen für das DoD, aber die Kontrolldisziplin lässt sich gut auf andere Bundesprogramme übertragen.