Informationssicherheit
CMMC
Cybersecurity Maturity Model Certification (CMMC)
CMMC ist das Programm des US-Verteidigungsministeriums, das prüft, ob Verteidigungsauftragnehmer bundesstaatliche Vertragsinformationen und kontrollierte, nicht als Verschlusssache eingestufte Informationen schützen. Wir begleiten Sie von der Lücke bis zur Bereitschaft für die Prüfung auf der Stufe, die Ihre Verträge verlangen.
Was CMMC ist
CMMC ist das Cybersecurity Maturity Model Certification-Programm, das vom US-Verteidigungsministerium für Unternehmen in seiner Lieferkette betrieben wird. Es verlangt von Auftragnehmern und Unterauftragnehmern, die Federal Contract Information (FCI) oder Controlled Unclassified Information (CUI) verarbeiten, dass sie definierte Cybersicherheitspraktiken erfüllen, bevor ihnen bestimmte Verträge zugesprochen werden oder sie diese behalten können.
Das Modell hat gestufte Ebenen. Anforderungen niedrigerer Stufen können durch eine Selbstbewertung erfüllt werden, während höhere Stufen, die auf den NIST SP 800-171-Kontrollen zum Schutz von CUI aufbauen, eine Prüfung durch eine akkreditierte externe Bewertungsorganisation erfordern, die als C3PAO bezeichnet wird. Die erforderliche Stufe wird durch den Vertrag und die Art der betroffenen Informationen bestimmt.
Der Aufbau des Standards
Stufe 1 · Grundlegend
Umfasst den grundlegenden Schutz von Federal Contract Information durch eine definierte Reihe von Praktiken, die ein Auftragnehmer durch eine jährliche Selbstbewertung bestätigt.
Stufe 2 · Fortgeschritten
Stimmt mit dem vollständigen Satz von Kontrollen in NIST SP 800-171 zum Schutz von Controlled Unclassified Information überein und wird je nach Vertrag durch eine Selbstbewertung oder eine C3PAO-Prüfung erfüllt.
Stufe 3 · Experte
Baut auf Stufe 2 auf und fügt eine Teilmenge von Kontrollen aus NIST SP 800-172 hinzu, die für die sensibelsten Programme von der Regierung geprüft werden.
Domäne · Zugriff und Identität
Gruppiert die Praktiken für Zugriffskontrolle sowie Identifizierung und Authentifizierung, die einschränken, wer Systeme erreichen kann, die FCI oder CUI enthalten.
Domäne · Schützen und erkennen
Fasst System- und Kommunikationsschutz, Medienschutz sowie Audit- und Rechenschaftspraktiken zusammen, die die Informationen schützen und festhalten, was mit ihnen geschieht.
Domäne · Betreiben und reagieren
Umfasst Konfigurationsmanagement, Wartung, Vorfallreaktion sowie Risiko- und Sicherheitsbewertungspraktiken, die die Umgebung über die Zeit hinweg kontrolliert halten.
Domäne · Menschen und physisch
Behandelt Sensibilisierung und Schulung, Personalsicherheit und physischen Schutz, damit Mitarbeitende und Einrichtungen nicht zur Schwachstelle werden.
SSP und POA&M · Nachweisgerüst
Der System Security Plan beschreibt, wie jede Praktik erfüllt wird, und die Plans of Action and Milestones verfolgen alle, die noch nicht umgesetzt sind.
Wer es braucht
- Verteidigungsauftragnehmer und Unterauftragnehmer in der Lieferkette des US-Verteidigungsministeriums
- Unternehmen, die Federal Contract Information oder Controlled Unclassified Information verarbeiten
- Lieferanten, deren Verträge oder Weitergabeklauseln nun eine bestimmte CMMC-Stufe verlangen
Was Sie erhalten
- Eine Definition des Geltungsbereichs und eine Lückenbewertung gegen die erforderliche CMMC-Stufe
- Ein System Security Plan sowie Plans of Action and Milestones
- Umgesetzte Praktiken mit einem zugeordneten Nachweissatz
- Eine interne Bereitschaftsbewertung und Unterstützung durch die formelle Prüfung
Die Zeitpläne hängen von der Stufe ab, die Ihre Verträge verlangen, davon, wie viel CUI Sie verarbeiten, und vom Zustand Ihrer aktuellen Kontrollen. Wir legen den Umfang vorab ehrlich fest, statt eine feste Anzahl von Wochen zu versprechen.
Aktuelle Version
Das aktuelle Programm ist dasjenige, das das US-Verteidigungsministerium in seiner Regelsetzung von 2024 finalisiert hat, wobei die zentrale CMMC-Regel Ende 2024 in Kraft trat. Es legt das dreistufige Modell fest und wird über einen schrittweisen Rollout eingeführt, sodass Prüfungs- und Zertifizierungsanforderungen in Ausschreibungen stufenweise und nicht alle auf einmal erscheinen. Eine begleitende Beschaffungsregel fügt dann die passenden Klauseln in die Verträge ein. Wenn Sie bereits auf NIST SP 800-171 hingearbeitet haben, fließt diese Arbeit in die Bereitschaft ein; bestätigen Sie die zutreffende Stufe und Phase anhand Ihrer konkreten Verträge und Weitergabeklauseln, denn was heute gilt, kann von einem früheren Entwurf des Programms abweichen.
Was es kostet
Zwei Kosten stehen nebeneinander. tr3labs berechnet eine festgelegte Beratungs- und Umsetzungsgebühr, die vorab angeboten wird, sobald wir Ihre Größe, die von Ihren Verträgen verlangte CMMC-Stufe und den Umfang der von Ihnen verarbeiteten Controlled Unclassified Information verstanden haben. Wenn Ihre Stufe eine Prüfung durch eine akkreditierte externe Bewertungsorganisation verlangt, berechnet dieses C3PAO gesondert nach seinem eigenen Tarif, und die Selbstbewertungsstufen verursachen weiterhin Ihre eigenen internen Kosten für Vorbereitung und Bestätigung; tr3labs ist niemals der Prüfer, das C3PAO oder die Regulierungsbehörde. Wir legen den Umfang gemeinsam mit Ihnen fest, statt blind anzubieten.
Wie tr3labs Sie dorthin bringt
Geltungsbereich und Lückenbewertung
Wir bestätigen die CMMC-Stufe, die Ihre Verträge verlangen, definieren den Prüfungsumfang und die Systeme, die FCI oder CUI verarbeiten, und messen Sie an den NIST SP 800-171-Praktiken, damit Sie genau wissen, was fehlt.
Die Kontrollen aufbauen
Wir unterstützen Sie bei der Umsetzung der erforderlichen Praktiken, beim Erstellen des System Security Plan sowie der Plans of Action and Milestones und beim Einführen der Richtlinien und technischen Kontrollen zum Schutz der betroffenen Informationen.
Interne Prüfung und Nachweise
Wir führen eine interne Bewertung gegen die Praktiken durch und stellen die Nachweise zusammen, die ein Prüfer erwartet, sodass Lücken geschlossen sind, bevor eine formelle Prüfung beginnt.
Unterstützung bei der Prüfungsbereitschaft
Wir bereiten Sie auf eine Selbstbewertung oder auf eine Prüfung durch ein C3PAO auf den höheren Stufen vor und begleiten Sie bis zum Ergebnis; tr3labs ist kein C3PAO und stellt keine CMMC-Zertifizierungen aus.
CMMC und ISO 27001
Beide verlangen, dass Sie einer externen Partei Sicherheitskontrollen nachweisen, sodass Teams oft annehmen, eines erfülle das andere, doch sie unterstehen unterschiedlichen Autoritäten.
| CMMC | ISO 27001 | |
|---|---|---|
| Deckt ab | FCI und CUI in der US-Verteidigungslieferkette | Ein Informationssicherheits-Managementsystem, jede Branche |
| Wer es verlangt | Verträge des US-Verteidigungsministeriums | Kunden, Partner und Ausschreibungen weltweit |
| Kerngedanke | Festgelegte Praktiken aus NIST SP 800-171 auf einer erforderlichen Stufe erfüllen | Ein risikobasiertes ISMS betreiben und es im Laufe der Zeit verbessern |
| Auditmodell | Selbstbewertung oder C3PAO-Prüfung je nach Stufe | Zertifizierungsaudit durch eine akkreditierte Stelle |
| Aufgebaut auf | NIST SP 800-171 und, auf Stufe 3, SP 800-172 | Kontrollen aus Anhang A und die ISMS-Klauseln |
| Oft gehalten mit | NIST CSF und SOC 2 | SOC 2 und PCI DSS |
CMMC FAQ
- Welche CMMC-Stufe benötigen wir?
- Die Stufe wird durch Ihren Vertrag und die Art der Informationen bestimmt, die Sie verarbeiten, von Federal Contract Information auf der niedrigeren Stufe bis zu Controlled Unclassified Information auf höheren Stufen. Wir bestätigen die zutreffende Stufe während der Festlegung des Geltungsbereichs.
- Wie steht CMMC in Beziehung zu NIST SP 800-171?
- Die höheren CMMC-Stufen bauen auf den NIST SP 800-171-Kontrollen zum Schutz von Controlled Unclassified Information auf. Wenn Sie bereits auf 800-171 hingearbeitet haben, fließt ein Großteil dieser Arbeit direkt in die CMMC-Bereitschaft ein.
- Kann tr3labs uns für CMMC zertifizieren?
- Nein. Auf den höheren Stufen wird die Zertifizierung durch eine akkreditierte externe Bewertungsorganisation, ein C3PAO, durchgeführt. tr3labs bereitet Sie vor, baut die Kontrollen und Nachweise auf und begleitet Sie durch die Prüfung; wir sind kein C3PAO.
Verwandte Standards
Weiterführende Artikel
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit
Wie Sie einen Penetrationstest-Bericht (VAPT) lesen: ein verständlicher Leitfaden für Teams
Eine praxisnahe Erläuterung, was in einen Penetrationstest-Bericht gehört, Abschnitt für Abschnitt, damit Gründerinnen und Gründer sowie Engineering-Teams ihn souverän lesen und auf seiner Grundlage handeln können.
8 Min. Lesezeit
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit