Top 6 Fragen zum CMMC: Ein Leitfaden für Hersteller

Was Hersteller wissen müssen

Cybersicherheit ist in der Fertigung kein neues Thema. In dem Moment, als vernetzte Geräte, innovative Software und fortschrittliche Robotersysteme ihren Weg auf den Shopfloor fanden, war Cybersicherheit Teil des Gesprächs. Cybersicherheit machte Schlagzeilen neben Industry-4.0-Artikeln, aber der Hype um glänzende neue Technologien dominierte die Konversation.

Hersteller neigen dazu, Cybersicherheit auf die lange Bank zu schieben. Das wird für viele keine Option mehr sein. Die Fertigungsindustrie rangiert durchgehend in den Top 5 der am stärksten gefährdeten und angegriffenen Branchen für Cyberangriffe. Healthcare, Financial Services und Government Agencies wurden alle zu einem höheren Standard bei Sicherheits-Compliance und Risikomanagement gehalten. Die Fertigungsindustrie wurde noch nicht zu einem höheren Standard gehalten und ist daher noch anfälliger für Cyberkriminalität.

Die Cybersecurity Maturity Model Certification (CMMC) rollt auf die Industrie zu, und unten sind die 6 kritischen Fragen, die Hersteller stellen müssen.

Was ist das CMMC?

CMMC steht für Cybersecurity Maturity Model Certification. Diese Zertifizierung verfolgt einen einzigartigen Ansatz, um sicherzustellen, dass kritisches geistiges Eigentum sicher bleibt. Zunächst wird CMMC nur für Hersteller und Lieferanten erforderlich sein, die Controlled Unclassified Information (CUI) für das Department of Defense (DoD) verarbeiten.

Die Cybersecurity Maturity Model Certification (CMMC) ist die Methode, um zu zertifizieren, dass die angemessenen Stufen von Cybersicherheitsprozessen und -schutzmaßnahmen für die etwa 300.000 Auftragnehmer und Subunternehmer in der DoD-Lieferkette vorhanden sind. Der CMMC-Prozess erfordert nun eine CMMC Third Party Assessment Organization (C3PAO), um zu zertifizieren, dass Unternehmen compliant sind und dass CUI sicher ist.

Es gibt 5 Reifelevel im CMMC, die von „Basic Cybersecurity Hygiene“ bis „Advanced/Progressive“ reichen. Je höher das Reifelevel, desto mehr Regeln und Richtlinien muss ein Unternehmen befolgen, um zertifiziert zu werden und compliant zu bleiben.

Warum wird das CMMC erstellt?

Das Department of Defense erkannte Cyberangriffe als signifikante Bedrohung, besonders für kleine bis mittelgroße Subunternehmer, die die größeren Primes unterstützen. Böse Akteure erkannten, dass die Primes mehr Ressourcen für Angriffsprävention ausgaben und dass ihre Lieferkette ein leichteres Ziel war. Die NIST Special Publication (SP) 800-171 Cybersicherheitsanforderungen wurden entwickelt, um sensible Informationen für Auftragnehmer zu schützen, die mit dem DoD arbeiten, um den DFARS 252.204-7012 Clause einzuhalten. Als das DoD schätzte, dass nur ein kleiner Prozentsatz der Lieferkette diesen Richtlinien folgte, wurde die CMMC erstellt.

Cyberangriffe sind eine tägliche Erscheinung, leider. „Mit über 80 Prozent der nationalen Verteidigungsinformationen, die auf Partnernetzwerken leben, ist es nicht mehr eine Frage dessen, was du tust oder was ich tue; es ist wichtiger, was wir als Kollektiv tun, um die nationale Verteidigung zu schützen“, sagte Katie Arrington, Special Assistant to the Assistant Secretary of Defense for Acquisition for Cyber und eine der Hauptbefürworterinnen hinter der CMMC.

Im Dezember 2018 stahlen chinesische Hacker laut Berichten Informationen von Navy-Auftragnehmern, einschließlich Schiffswartungsdaten und Raketenplänen. Diese Aktionen sind eine direkte Bedrohung der nationalen Sicherheit. Selbst wenn ein großer DoD-Lieferant wie Lockheed Martin ein Top-Tier-Cybersicherheitsprogramm hat, muss jeder Subunternehmer und Lieferant in der DoD-Lieferkette sich auch schützen – sonst werden sie zum Einfallstor für Cyberkriminelle. Ein einziges schwaches Glied in der DoD-Lieferkette kann das ganze Land gefährden.

Braucht mein Unternehmen das CMMC?

Jedes Unternehmen sollte in die Stärkung seiner Cybersicherheit investieren. Laut der Radware-Umfrage liegt der geschätzte Kosten pro Cyberangriff bei 4,6 Millionen Dollar. 13 % der Umfrageteilnehmer erlebten einen Cyberangriff, der ihr Unternehmen 10 Millionen Dollar oder mehr kostete – eine Zahl, die sich in nur einem Jahr zwischen 2018 und 2019 verdoppelte. Die Cybersicherheitsexperten von New Jersey Manufacturing Extension Program (NJMEP) empfehlen, dass jeder Hersteller vom Erreichen des Äquivalents von „Intermediate Cyber Hygiene“, also Level 2 des CMMC, als Best Practice profitieren würde. Für DoD-Auftragnehmer hängt das Reifelevel davon ab, wo in der DoD-Lieferkette ein Unternehmen steht.

Die Identifizierung, welchem der fünf CMMC-Reifelevel ein DoD-Lieferant, Subunternehmer oder Hersteller folgen muss, wird entweder vom Prime-DoD-Auftragnehmer bestimmt oder kann durch eine CMMC-Gap-Analyse aufgedeckt werden. Alle Lieferanten, Subunternehmer oder Hersteller, die irgendeine Arbeit, egal wie minimal, mit dem DoD machen, werden ein gewisses Level des CMMC brauchen, aber das Reifelevel wird je nach den Informationen, die das Unternehmen verarbeitet, und der durchgeführten Arbeit unterschiedlich sein.

Wenn ein Defense Industrial Base (DIB) Unternehmen keine Controlled Unclassified Information (CUI) besitzt, aber Federal Contract Information (FCI) besitzt, muss es FAR Clause 52.204-21 erfüllen und muss mindestens auf CMMC Level 1 zertifiziert sein.

Wann muss ich den Zertifizierungsprozess starten?

Jetzt. DoD-Lieferanten, Subunternehmer und Hersteller sollten den Prozess der CMMC-Zertifizierung so schnell wie möglich beginnen, um das Risiko zu vermeiden, kritische DoD-Aufträge zu verlieren. Von Anfang bis Ende könnte der Prozess bis zu einem Jahr dauern. Im Juni 2020 begann CMMC auf RFIs aufzutauchen. Unternehmen können erwarten, dass RFPs ab September 2020 CMMC erwähnen und Assessments im Herbst 2020 beginnen.

Jetzt zu handeln und mit einem Berater zusammenzuarbeiten, der intim mit dem CMMC und dem Framework vertraut ist, aus dem das CMMC hervorging (NIST 800-171), wird vital sein. Die Zertifizierung beginnt mit einer Assessment, um zu identifizieren, wo in der CMMC-Reifelevel eine Organisation derzeit steht. Der nächste Schritt wäre eine eingehende Gap-Analyse und dann der Übergang zu Full-Service-Remediation. Jedes CMMC-Reifelevel erfordert unterschiedliche Zeit und Aufwand. So früh wie möglich zu beginnen, verringert die Belastung für Unternehmen, Führung und Belegschaft.

Was passiert, wenn ich nicht zertifiziert werde?

Für DoD-Auftragnehmer, Subunternehmer, Lieferanten oder Hersteller…

Das Erreichen des notwendigen CMMC-Reifelevels könnte den Unterschied zwischen dem Erhalten des nächsten DoD-Auftrags oder nicht bedeuten. DoD-Prime-Auftragnehmer werden beginnen, alle Subunternehmer zur Einhaltung dieser kritischen neuen Regeln zu verpflichten. Jeder Hersteller, der sich nicht an diese Richtlinien hält und das richtige CMMC-Reifelevel erreicht, wird nicht in der Lage sein, DoD-Geschäfte fortzusetzen.

Für Nicht-DoD-Hersteller…

Stand jetzt sind DoD-Auftragnehmer die einzigen, die Gefahr laufen, DoD-Arbeit zu verlieren, wenn sie das CMMC nicht erwerben. Allerdings sind kleine bis mittelgroße Hersteller immer dem Risiko eines Cyberangriffs ausgesetzt, der ihr Geschäft vollständig lahmlegt – manchmal so weit, dass sie sich finanziell nie erholen. Diese Zertifizierung bietet Nicht-DoD-Herstellern eine fantastische Cybersicherheits-Baseline und Best Practices. Je nach Ergebnissen einer Cybersicherheits-Assessment kann ein Unternehmen bestimmen, welches Reifelevel für sie am besten funktioniert.

Wer kann all meine anderen Fragen zum CMMC beantworten?

Das Erreichen des CMMC kann eine Herausforderung sein, besonders ohne die richtige Unterstützung. Die Zertifizierung ist noch in den Kinderschuhen, was eine schwierige Umgebung für Hersteller schafft, sie auf eigene Faust zu navigieren. Websites wie acq.osd.mil/cmmc/faq.html zu erkunden oder zusammen mit Beratern wie NJMEP zu arbeiten, sind die besten Wege, um zu starten und einen einschüchternden Prozess in einen straff organisierten Wertzuwachs für jedes Business zu verwandeln.

Das CMMC zu verstehen, welche Unternehmen betroffen sein werden, wann man handeln muss, und das notwendige Reifelevel zu identifizieren, kann einschüchternd sein. Gehen Sie nicht allein daran. Cybersicherheit ist essenziell, aber komplex. Mit dem richtigen Team und Zugang zu den richtigen Informationen wird sich das als unschätzbar wertvoll erweisen.

Vorsicht

Es gab so viele Fragen zu diesem Thema und so viele Entwicklungen während des Rollouts. Früh gab es viele Unternehmen, die behaupteten, helfen zu können, und erhebliche Beträge verlangten, sogar als die finale Version der Richtlinien noch nicht entschieden oder kommuniziert war. Es gibt unzählige Unternehmen, die Lösungen oder Services verkaufen, um zu helfen, und es kann schwierig sein, zu bestimmen, wem man vertrauen kann. Das ist nichts, was einfach an einen Managed Service Provider (MSP) ausgelagert werden kann, der behauptet, mit den Anforderungen vertraut zu sein.

1. https://www.radware.com/newsevents/pressreleases/c-suite-2019