CMMC-Compliance und Sicherheitsanforderungen

CMMC (Cybersecurity Maturity Model Certification) ist ein Programm des United States Department of Defense (DoD), das Standards zur Sicherung sensibler Regierungsinformationen festlegt. Es handelt sich dabei um eine Zertifizierung, die von Organisationen verlangt, bestimmte Sicherheitskontrollen einzuhalten, die auf den Standards des National Institute of Standards and Technology (NIST) basieren.

Der Zweck der CMMC besteht darin, Controlled Unclassified Information (CUI) vor Cyberangriffen oder unberechtigtem Zugriff zu schützen. Die Einhaltung der CMMC wird durch Implementierung und Aufrechterhaltung bestimmter Cybersicherheitspraktiken erreicht, die es Organisationen ermöglichen, die Vertraulichkeit, Integrität und Verfügbarkeit der CUI zu schützen. Organisationen müssen in der Lage sein, ihre Einhaltung der anwendbaren CMMC-Anforderungen nachzuweisen, um die erforderliche Zertifizierung zu erhalten. Die Einhaltung der CMMC ist obligatorisch für DoD-Auftragnehmer, die CUI verarbeiten und speichern müssen, und ist für Organisationen unerlässlich, um in ihrer gewählten Branche wettbewerbsfähig zu bleiben. Alle DoD-Lieferanten müssen eine Strategie zur Verwaltung von Cybersicherheitsrisiken erstellen, um sicherzustellen, dass private Daten privat bleiben und in digitalen DoD-Lieferkettenaustauschen geschützt sind.

Warum ist CMMC-Konformität wichtig?

Das US-Verteidigungsministerium (DoD) schreibt vor, dass alle Auftragnehmer die CMMC-Anforderungen erfüllen müssen, um für Regierungsaufträge in Frage zu kommen. Dies stellt sicher, dass diese Auftragnehmer Schutzmaßnahmen gegen bösartige Akteure und Datenverletzungen verstehen und aktiv umsetzen. Die CMMC-Konformität ist auch wichtig für Organisationen, um ihr Engagement für Cybersicherheit zu demonstrieren und zu zeigen, dass sensible Kundendaten richtig geschützt sind. Durch die Erfüllung der CMMC-Anforderungen können Organisationen sicherer sein, dass ihre internen Netzwerke und ihr geistiges Eigentum ausreichend gegen Cyberbedrohungen abgesichert sind. Außerdem hilft CMMC Organisationen dabei, ihre Cyberhygiene zu verbessern, indem sie Best Practices wie das sichere Verschlüsseln gespeicherter Daten oder die Implementierung von Mehrfaktor-Authentifizierung befolgen.

Die Einhaltung der CMMC ist für Organisationen unerlässlich, um das Vertrauen ihrer Kunden zu erhalten. Kunden werden zunehmend aufmerksam und besorgt über angemessene Datenschutz- und Privatsphäremaßnahmen. Organisationen, die CMMC-konform sind, können ihren Kunden zeigen, dass ihre Daten und Bedenken bezüglich der Privatsphäre ernst genommen werden und Maßnahmen getroffen werden, um ihre sensiblen Daten zu schützen. Dies kann Organisationen dabei helfen, die Kundentreue zu erhalten, Vertrauen aufzubauen und sich einen Wettbewerbsvorteil zu verschaffen.

CMMC trägt auch dazu bei, dass Organisationen die einschlägigen Cybersicherheitsvorschriften einhalten. Die Einhaltung der CMMC hilft Organisationen, mit der sich ständig weiterentwickelnden Landschaft der Cybersicherheitsvorschriften Schritt zu halten. Wenn eine Organisation die CMMC-Anforderungen einhält, zeigt dies, dass sie die relevanten Vorschriften befolgt und die notwendigen Schritte unternimmt, um Kundendaten und Privatsphäre zu schützen.

Was sind die drei Stufen der CMMC?

Das DoD hat derzeit drei Stufen der CMMC-Zertifizierung, die wie folgt sind:

Stufe 1: Grundlegend. Die CMMC-Zertifizierung der Stufe 1 ist erforderlich für DoD-Auftragnehmer und Subunternehmer, die mit Bundesauftragsinformationen (FCI) umgehen. Sie erfordert, dass Organisationen grundlegende Cybersicherheitspraktiken einhalten, die auf den Schutz von FCI abzielen, wie in FAR Clause 52.204-21 festgelegt.

Die grundlegende Stufe erfordert keine Beurteilung durch eine CMMC Third Party Assessor Organization (C3PAO). Sie erfordert eine jährliche Selbsteinschätzung mit einer Bestätigung von einem Unternehmensleiter.

Stufe 2: Fortgeschritten. Die Zertifizierung der Stufe 2 erfordert, dass Organisationen robustere Cybersicherheitspraktiken implementieren, wie etwa Zugangskontrollen, Incident Response und Medien-Schutz. Diese Stufe ist darauf ausgelegt, die Integrität und Verfügbarkeit von Controlled Unclassified Information (CUI) gegen ausgefeiltere Bedrohungen zu schützen. Die fortgeschrittene Stufe ist an das National Institute of Standards & Technology SP 800-171 (NIST 800-171) angelehnt.

Die Zertifizierung der fortgeschrittenen Stufe erfordert dreijährliche Drittbeurteilungen durch C3PAOs.

Stufe 3: Experte. Die Zertifizierung der Stufe 3 ist die höchste Stufe der CMMC und erfordert die Implementierung von erweiterten Praktiken wie System-Härtung und Datenwiederherstellung. Diese Stufe soll die Vertraulichkeit, Integrität und Verfügbarkeit von CUI vor fortgeschrittenen andauernden Bedrohungen schützen. Informationen zur Stufe 3 werden später veröffentlicht und werden einen Teil der Sicherheitsanforderungen enthalten, die in SP 800-172 festgelegt sind.

Was sind die Sicherheitsanforderungen der CMMC?

Die Sicherheitsanforderungen der CMMC sind ein Satz von Sicherheitsstandards, die dazu dienen, Organisationen bei der Sicherung ihrer Netzwerke, dem Schutz ihrer Daten und der Einhaltung von geltenden Gesetzen und Verordnungen zu unterstützen. Die Anforderungen sind auf die drei CMMC 2.0-Stufen aufgeteilt, die oben umrissen wurden, und decken Bereiche wie Zugangskontrolle, Konfigurationsmanagement, Incident Response, Medien-Schutz, System- und Kommunikationsschutz, Personalsicherheit und physischen Schutz ab. Organisationen müssen die Sicherheitsanforderungen der CMMC erfüllen, um im DoD-Markt wettbewerbsfähig zu bleiben und ihre digitalen Informationen vor Cyber-Bedrohungen zu schützen.

Die Anforderungen auf jeder Stufe sind wie folgt:

Stufe 1: Grundlegende Anforderungen

Die CMMC-Anforderungen auf Stufe 1 umfassen 17 Sicherheitskontrollen in 6 Bereichen. Die 6 Bereiche sind:

1. Zugangskontrolle (4 Kontrollen)
2. Identifikation und Authentifizierung (2 Kontrollen)
3. Mediensicherheit (1 Kontrolle)
4. Physischer Schutz (4 Kontrollen)
5. System- und Kommunikationsschutz (2 Kontrollen)
6. System- und Informationsintegrität (4 Kontrollen)

Stufe 2: Fortgeschrittene Anforderungen

Die CMMC-Anforderungen auf Stufe 2 umfassen 110 Kontrollen, die unter 14 Bereiche gruppiert sind. Diese 14 Bereiche sind:

1. Zugangskontrolle (22 Kontrollen)
2. Bewusstseinsschulung (3 Kontrollen)
3. Audit und Rechenschaftspflicht (9 Kontrollen)
4. Konfigurationsmanagement (9 Kontrollen)
5. Identifizierung und Authentifizierung (11 Kontrollen)
6. Vorfallreaktion (3 Kontrollen)
7. Wartung (6 Kontrollen)
8. Medienschutz (9 Kontrollen)
9. Personalsicherheit (2 Kontrollen)
10. Physischer Schutz (6 Kontrollen)
11. Risikobewertung (3 Kontrollen)
12. Sicherheitsbewertung (4 Kontrollen)
13. System- und Kommunikationsschutz (16 Kontrollen)
14. System- und Informationsintegrität (7 Kontrollen)

Stufe 3: Experten-Anforderungen

Die CMMC-Anforderungen auf Stufe 3 umfassen 130 Kontrollen, die unter 16 Bereiche gruppiert und die unter CMMC-Stufen 1 und 2 sind. Diese 16 Bereiche sind:

1. Zugangskontrolle (8 Kontrollen)
2. Asset-Management (1 Kontrolle)
3. Audit und Rechenschaftspflicht (7 Kontrollen)
4. Bewusstseinsschulung (1 Kontrolle)
5. Konfigurationsmanagement (3 Kontrollen)
6. Identifizierung und Authentifizierung (4 Kontrollen)
7. Vorfallreaktion (2 Kontrollen)
8. Wartung (2 Kontrollen)
9. Medienschutz (4 Kontrollen)
10. Physischer Schutz (6 Kontrollen)
11. Wiederherstellung (1 Kontrolle)
12. Risikobewertung (3 Kontrollen)
13. Sicherheitsbewertung (2 Kontrollen)
14. Situationsbewusstsein (1 Kontrolle)
15. System- und Kommunikationsschutz (15 Kontrollen)
16. System- und Informationsintegrität (3 Kontrollen)

Wie unterscheiden sich die CMMC-Anforderungen von den NIST 800-171-Anforderungen?

Die CMMC 2.0 Stufe 2 ist auf den NIST SP 800-171 ausgerichtet und gibt vor, dass Organisationen in der Defense Industrial Base (DIB) eine Selbstzertifizierung durchführen müssen – sie müssen entweder konform sein oder konkrete Schritte zur Konformität unternehmen. Die CMMC-Stufen 2 und 3 ermöglichen es C3PAOs, Organisationen zu bewerten und basierend auf dem Zustand ihres Cybersicherheitsprogramms eine Reifeebene zuzuweisen. Stufe 1, die Grundstufe, erfordert nur eine Selbstbewertung.

CMMC-Sicherheitsanforderungen bieten Vorteile über das DoD hinaus

Die CMMC-Sicherheitsanforderungen bieten Vorteile, die über Organisationen in der DoD-Lieferkette hinausgehen. Die Anforderungen sind eine Reihe von Cybersicherheitsstandards, die Organisationen erfüllen müssen, um eine angemessene Haltung zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit ihrer Systeme zu demonstrieren. Die Anforderungen decken Bereiche wie Zugangskontrolle, Vorfallreaktion, Prüfung und Verantwortlichkeit, Medienprotektion, System- und Kommunikationsschutz, Personalsicherheit, Sicherheitsbeurteilung und -freigabe, Supply-Chain-Risikomanagement, System- und Informationsintegrität und Schulungen ab.

Diese Kontrollen helfen Organisationen, ihre Cybersicherheitsposition zu verbessern, indem sie wirksame Praktiken implementieren, Personal schulen und sichere Lieferketten sicherstellen. Indem sie die CMMC-Sicherheitsanforderungen einhalten, sind Organisationen in der Lage, ihre Systeme und Daten besser zu schützen, ihre Risikomanagementprozesse zu stärken und sich gegen mögliche Cyber-Bedrohungen widerstandsfähiger zu machen.

Kiteworks für CMMC 2.0 Level 2-Konformität

Kiteworks ist ein zuverlässiger Anbieter von Cybersicherheitslösungen für Bundesbehörden wie die DoD sowie verschiedene Lieferanten der Verteidigungsindustrie (DIB), die eine CMMC-Zertifizierung benötigen. Da Kiteworks FedRAMP-zertifiziert für Moderate Level Impact ist, unterstützt Kiteworks nahezu 90% der CMMC 2.0 Level 2-Anforderungen direkt ab Werk. Dies reduziert die für DoD-Lieferanten erforderliche Zeit zur Erlangung der CMMC Level 2-Konformität erheblich.

Was C3PAO-Audits betrifft, bietet Kiteworks auch positive Vorteile. Das Private Content Network von Kiteworks hilft DoD-Auftragnehmern, die CMMC-Prozesse und Prüfverfahren zu optimieren, wodurch der gesamte Prozess schneller und effizienter wird. Mit der Unterstützung von Kiteworks können DoD-Auftragnehmern ihren DoD-Geschäftsbereich schützen, indem sie schnell und einfach die CMMC Level 2-Konformität erlangen.

Vereinbaren Sie eine individuelle Demo, maßgeschneidert, um die Kiteworks-Plattform in Aktion zu sehen und wie sie Ihre CMMC-Konformitätsreise heute beschleunigen kann.

 

Zurück zum Glossar für Risiko & Compliance