Alles, was Sie über CMMC Drittanbieter-Bewertungsorganisationen (C3PAO) wissen müssen

Das Cybersecurity Maturity Model Certification (CMMC) ist ein Cybersicherheits-Framework, das darauf abzielt, die Cybersicherheit der Defense Industrial Base (DIB) zu stärken. Das CMMC-Framework ist eine Initiative des US-Verteidigungsministeriums (DoD), um sicherzustellen, dass Auftragnehmer in der DIB-Supply Chain ihre Informationssysteme gegen Cyberbedrohungen absichern. Die CMMC-Dritte-Stelle für die Bewertung durch Dritte (C3PAO) spielt eine entscheidende Rolle im CMMC-Zertifizierungsprozess, indem sie Bewertungen und Zertifizierungsdienste für Auftragnehmer bereitstellt. In diesem Artikel werden wir alles erläutern, was Sie über die CMMC-Dritte-Stelle für die Bewertung durch Dritte wissen müssen.

Was ist CMMC?

CMMC ist ein einheitlicher Cybersicherheitsstandard, der verschiedene Cybersicherheitspraktiken, -standards und -verfahren kombiniert, um einen einheitlichen Ansatz für die Cybersicherheit zu bieten. CMMC wurde entwickelt, um kontrollierte unklassifizierte Informationen (CUI) und bundesvertragliche Informationen (FCI) vor Cyberangriffen zu schützen.

Wer muss die CMMC-Anforderungen erfüllen?

Alle Auftragnehmer, die mit dem DoD zusammenarbeiten, müssen die CMMC-Anforderungen erfüllen. CMMC 2.0 hat drei Ebenen, wobei jede Ebene einen anderen Reifegrad der Cybersicherheit aufweist. Auftragnehmer müssen den entsprechenden CMMC-Zertifizierungsgrad erreichen, um für Aufträge mit dem DoD berechtigt zu sein. Der für einen bestimmten Vertrag erforderliche CMMC-Zertifizierungsgrad hängt von der Art der Informationen ab, die der Auftragnehmer behandelt.

Was ist eine C3PAO?

Ein C3PAO ist eine Organisation für die Bewertung durch Dritte, die von der CMMC Akkreditierungsstelle (CMMC-AB) autorisiert wurde, CMMC-Bewertungen durchzuführen. C3PAOs sind unabhängige Organisationen, die Bewertungsdienste für Auftragnehmer bereitstellen. Sie spielen eine entscheidende Rolle im CMMC-Zertifizierungsprozess, indem sie sicherstellen, dass Auftragnehmer die erforderlichen Cybersicherheitsstandards erfüllen.

Welche Rolle spielt eine C3PAO bei der CMMC-Konformität?

Eine C3PAO ist entscheidend für Auftragnehmer, die die CMMC-Zertifizierung erreichen möchten. C3PAOs sind dafür verantwortlich, Bewertungen durchzuführen und Auftragnehmer gemäß dem CMMC-Framework zu zertifizieren. C3PAOs sind Drittanbieterorganisationen, die von der CMMC Akkreditierungsstelle (CMMC-AB) autorisiert sind, CMMC-Bewertungen durchzuführen. Diese Organisationen müssen von der CMMC-AB zertifiziert sein, um Bewertungsdienste bereitstellen zu können. C3PAOs spielen eine wesentliche Rolle im CMMC-Konformitätsprozess, indem sie sicherstellen, dass Auftragnehmer die von DoD festgelegten Cybersicherheitsanforderungen erfüllen.

Wie wählt man eine C3PAO aus?

Auftragnehmer können eine C3PAO aus einer Liste zertifizierter Organisationen auswählen, die von der CMMC-AB bereitgestellt wird. Bei der Auswahl einer C3PAO sollten Auftragnehmer mehrere Faktoren berücksichtigen, darunter die Erfahrung, Fachkenntnisse und Kosten der Organisation. Es ist auch wichtig sicherzustellen, dass die C3PAO von der CMMC-AB lizenziert und zertifiziert ist.

Wie wird man eine CMMC C3PAO-Organisation?

Die Zulassung zur CMMC C3PAO-Organisation umfasst mehrere Phasen, die die Einhaltung spezifischer Anforderungen erfordern. Die Phasen umfassen:

1. Zulassung zur CMMC C3PAO-Organisation

Phase Eins ist die Zulassungsphase, die mehrere Schritte umfasst, die ein Unternehmen erfüllen muss, um als Kandidat in Betracht gezogen zu werden, wie zum Beispiel den Antragsprozess auf der CMMC-AB-Website zu absolvieren. Dieser Prozess umfasst das Unterzeichnen eines C3PAO-Lizenzvertrags, die Vorlage des Nachweises einer Versicherung, die Zahlung einer nicht erstattungsfähigen Anmeldegebühr von 1000 US-Dollar und eine Aktivierungsgebühr von 2000 US-Dollar. Sobald diese vier Anwendungsschritte erfolgreich abgeschlossen sind, wird das Unternehmen zur Kandidaten-C3PAO.

2. Zulassung zur CMMC C3PAO-Organisation

Phase Zwei ist die Zulassungsphase, bei der das Unternehmen eine organisatorische Hintergrundüberprüfung durch Dun & Bradstreet durchlaufen, eine CMMC-bezogene Registrierung oder Zertifizierung besitzen und zu 100% in US-Besitz sein oder eine Hintergrundüberprüfung auf ausländischen Besitz, Kontrolle oder Einfluss (FOCI) durchlaufen muss. Darüber hinaus können hohe Kosten und eine Erweiterung des Cybersicherheitsprogramms des Unternehmens erforderlich sein, um die CMMC Level 3-Konformität zu erreichen.

3. Zulassung zur CMMC C3PAO-Organisation

Phase Drei ist die Zulassungsphase, bei der das Unternehmen der CMMC-AB nachweisen muss, dass es über die erforderlichen Ressourcen und Personalkapazitäten verfügt, um die C3PAO-Zulassung aufrechtzuerhalten und Bewertungen durchzuführen. In dieser Phase muss das Unternehmen außerdem innerhalb von 27 Monaten nach dem Registrierungsdatum nach ISO 17020 zertifiziert sein.

Die Zulassung zur CMMC C3PAO-Organisation kann eine erhebliche Investition sein, aber sie kann sich langfristig auszahlen. Die Kosten für die Zulassung zur C3PAO-Organisation können beispielsweise erheblich sein, einschließlich der Ausgaben für Versicherungen, Zertifizierungen, Bewertungen und Personal. Das Rollout des CMMC-Programms wird jedoch Möglichkeiten für C3PAOs schaffen, an dem aufstrebenden Ökosystem von CMMC-Konformitätsdiensten teilzunehmen. Darüber hinaus kann es Organisationen helfen, sicherzustellen, dass ihre sensiblen Informationen vor Cyberangriffen und Datenverletzungen geschützt sind.

Welche Kriterien gelten für die Zertifizierung als C3PAO?

Um für die Zertifizierung als C3PAO in Frage zu kommen, muss die beantragende Organisation ein bestehendes Verteidigungsindustriebasis-Cybersicherheitsbewertungszentrum (DIBCAC) oder eine ISO-akkreditierte Prüfungs- und/oder Zertifizierungsstelle sein. Die Organisation muss seit mindestens drei Jahren in Betrieb sein und mindestens 10 CMMC-Bewertungen oder äquivalente Cybersicherheitsbewertungen durchgeführt haben. Die Organisation muss mindestens zwei registrierte Praktiker oder zertifizierte Fachleute beschäftigen, die das Training und die Prüfung für die AB-CMMC-ACP- oder AB-CMMC-RP-Zertifikate abgeschlossen haben. Die Organisation muss auch ein dokumentiertes Qualitätsmanagementsystem haben, das den Anforderungen von ISO/IEC 17021-1: 2015 und den Anforderungen der CMMC-AB entspricht. Das Unternehmen muss dann einer CMMC-AB-Prüfung und einer Vor-Ort-Bewertung unterzogen werden, einschließlich einer Überprüfung des Qualitätsmanagementsystems und einer Demonstration der technischen Fähigkeiten, bevor es als C3PAO zugelassen wird.

Wie führen C3PAO-Organisationen Bewertungen durch?

Der C3PAO-Bewertungsprozess umfasst mehrere Schritte, darunter eine Vorab-Bewertung, ein Bewertungsplanungstreffen, eine Vor-Ort-Bewertung und eine Nachbewertungsüberprüfung. Während der Vorab-Bewertung überprüft der C3PAO die Dokumentation des Auftragnehmers und bewertet seine Cybersicherheitsposition. Das Bewertungsplanungstreffen bietet dem C3PAO die Möglichkeit, die Bewertung mit dem Auftragnehmer zu besprechen und die Vor-Ort-Bewertung zu planen. Die Vor-Ort-Bewertung umfasst eine Bewertung der Cybersicherheitspraktiken und -verfahren des Auftragnehmers. Die Nachbewertungsüberprüfung bietet dem C3PAO die Möglichkeit, die Bewertungsergebnisse mit dem Auftragnehmer zu besprechen.

Wie lange dauert es, bis ein C3PAO einen Auftragnehmer bewertet?

C3PAO-Bewertungen können je nach Größe und Komplexität des Auftragnehmers variieren. Im Allgemeinen können Bewertungen je nach Umfang einige Tage bis mehrere Wochen dauern. Der C3PAO wird mit dem Auftragnehmer zusammenarbeiten, um die angemessene Dauer der Bewertung festzulegen.

Welche Schritte umfasst der Bewertungsprozess eines C3PAO?

Der Bewertungsprozess eines C3PAO umfasst vier Schritte:

1. Vorab-Bewertung: Der C3PAO überprüft die Dokumentation des Auftragnehmers und bewertet seine Cybersicherheitsposition.
2. Bewertungsplanungstreffen: Der C3PAO bespricht die Bewertung mit dem Auftragnehmer und plant die Vor-Ort-Bewertung.
3. Vor-Ort-Bewertung: Der C3PAO bewertet die Cybersicherheitspraktiken und -verfahren des Auftragnehmers.
4. Nachbewertungsüberprüfung: Der C3PAO bespricht die Bewertungsergebnisse mit dem Auftragnehmer.

Was kostet eine C3PAO-Bewertung?

Die Kosten für eine C3PAO-Bewertung können je nach mehreren Faktoren variieren, einschließlich des CMMC-Levels, der Komplexität des unklassifizierten Netzwerks des Auftragnehmers für die Zertifizierungsgrenze und der Marktkräfte. Im Allgemeinen legen C3PAOs ihre eigenen Bewertungsgebühren fest. Das DoD wird jedoch eine neue Kostenschätzung für CMMC 2.0 entwickeln, um die Änderungen, die im Rahmen des Programms vorgenommen wurden, zu berücksichtigen. Diese wird im Bundesanzeiger im Rahmen des Verfahrens zur Regelsetzung veröffentlicht.

Vorteile der Zusammenarbeit mit einer C3PAO-Organisation

Die Zusammenarbeit mit einer C3PAO bietet mehrere Vorteile für Auftragnehmer. C3PAOs verfügen über Fachkenntnisse und Erfahrung in der Durchführung von Cybersicherheitsbewertungen und können Auftragnehmern bei der Navigation durch den CMMC-Zertifizierungsprozess helfen. C3PAOs können auch Unterstützung bei der Verbesserung der Cybersicherheitsposition eines Auftragnehmers bieten und Bereiche zur Verbesserung identifizieren.

C3PAOs können Auftragnehmern helfen, CMMC-Konformität zu erreichen, indem sie Bewertungen und Zertifizierungsdienste bereitstellen. Ein C3PAO kann die Cybersicherheitsposition eines Auftragnehmers bewerten und Anleitung geben, wie diese verbessert werden kann, um den erforderlichen CMMC-Grad zu erreichen. C3PAOs können auch Auftragnehmern helfen, Lücken in ihren Cybersicherheitspraktiken zu identifizieren und einen Plan zur Behebung dieser Lücken zu entwickeln.

Welche Fachkenntnisse und Erfahrungen bieten C3PAOs?

C3PAOs verfügen über umfangreiche Erfahrung und Fachkenntnis in der Durchführung von Cybersicherheitsbewertungen. Sie sind geschult, Cybersicherheitsrisiken zu identifizieren und Empfehlungen zur Reduzierung dieser Risiken zu geben. C3PAOs haben auch Kenntnisse über das CMMC-Framework und können Auftragnehmern bei der Navigation durch den Zertifizierungsprozess helfen.

Häufig gestellte Fragen

Was ist eine CMMC C3PAO-Organisation?

Eine CMMC C3PAO-Organisation ist eine Drittanbieterorganisation, die offiziell von der Cybersecurity Maturity Model Certification Akkreditierungsstelle (CMMC-AB) autorisiert wurde, Bewertungen von Unternehmen durchzuführen, die eine CMMC-Zertifizierung anstreben. Diese Organisationen sind dafür verantwortlich, die Einhaltung des CMMC-Frameworks durch das Unternehmen zu bewerten und den entsprechenden Zertifizierungsgrad für das Unternehmen festzulegen. C3PAOs müssen strenge Anforderungen erfüllen und einen rigorosen Zulassungsprozess durchlaufen, bevor sie zur Durchführung von CMMC-Bewertungen berechtigt sind.

Kann ein Auftragnehmer bei einer C3PAO-Bewertung durchfallen?

Ja, ein Kandidatenunternehmen kann bei einer Bewertung durch eine C3PAO durchfallen, wenn das Unternehmen die Standards des Cybersecurity Maturity Model Certification (CMMC)-Frameworks nicht erfüllt. Die C3PAO ist dafür verantwortlich, die Einhaltung der Anforderungen des CMMC-Frameworks durch das Unternehmen zu bewerten, und wenn das Unternehmen die erforderlichen Standards nicht erfüllt, erhält es möglicherweise keine Zertifizierung. Es ist wichtig, dass Unternehmen sich sorgfältig vorbereiten und angemessene Cybersicherheitsmaßnahmen implementieren, um sicherzustellen, dass sie die Anforderungen des CMMC-Frameworks erfüllen und die Bewertung bestehen.

Was ist der Unterschied zwischen einer C3PAO und einem Registrierten Praktiker (RP)?

Ein C3PAO ist eine Organisation, die von der CMMC-AB autorisiert ist, CMMC-Bewertungen durchzuführen, während ein Registrierter Praktiker (RP) eine Person ist, die eine CMMC-Schulung absolviert hat und autorisiert ist, Beratungsdienste anzubieten, um Auftragnehmer auf die CMMC-Zertifizierung vorzubereiten.

Wie lange dauert es, bis die CMMC-Zertifizierung mit einer C3PAO erreicht ist?

Die Dauer der CMMC-Zertifizierung mit einer C3PAO hängt von mehreren Faktoren ab, darunter die Vorbereitung des Auftragnehmers, die Komplexität der Bewertung und das angestrebte CMMC-Level. Im Allgemeinen kann der Prozess mehrere Monate dauern.

Kiteworks erleichtert es C3PAOs, DoD-Auftragnehmer für CMMC 2.0 Level 2-Konformität zu zertifizieren

Dank des vom Kiteworks Private Content Network unterstützten FedRAMP-Autorisierungsprozesses unterstützt es nahezu 90% der CMMC 2.0 Level 2-Anforderungen von Anfang an. Dieser Konformitätsgrad ist höher als der von anderen Lösungsoptionen auf dem Markt.

Aufgrund dessen erleichtert Kiteworks C3PAOs die Zertifizierung von DoD-Zulieferern für CMMC-Konformität schneller und einfacher. Mit Hilfe von content-definierter Zero Trust schützt Kiteworks vertrauliche Kommunikationen von CUI- und FCI-Inhalten und umfasst sicheres Prozessmanagement, um den Workflow und die Überprüfung von Aktivitäten sowie die Benutzerauthentifizierung zum Schutz vor bösartigen Akteuren zu unterstützen. Dadurch erleichtert Kiteworks C3PAOs die Zertifizierung von DoD-Zulieferern für CMMC-Konformität.

Kiteworks bietet die Möglichkeit, viele der Systeme und Prozesse zu automatisieren, die mit der Erfüllung der CMMC-Anforderungen verbunden sind, mit Berichterstellung für Audit Trails. Dadurch können C3PAOs ihre Bewertungen von DoD-Zulieferern abschließen und vorhandene Lücken in den CMMC-Praxissteuerungen identifizieren.

DoD-Auftragnehmer und -Subunternehmer, die um DoD-Geschäfte konkurrieren wollen, müssen die CMMC-Konformität erreichen. Mit der schrittweisen Umsetzung, die im Mai 2023 beginnt, ist es jetzt an der Zeit, anzufangen – und Kiteworks ist der perfekte Ausgangspunkt.

Planen Sie eine maßgeschneiderte Demo, um die Kiteworks-Plattform in Aktion zu sehen und zu erfahren, wie sie Ihre Reise zur CMMC-Konformität beschleunigen kann.

 

Zurück zum Risiko- & Compliance-Glossar