CMMC-Zertifizierung: Wesentliche Erkenntnisse für Verteidigungsauftragnehmer

Da die Cybersecurity Maturity Model Certification (CMMC) kurz vor der vollständigen Einführung steht, eilen betroffene Organisationen, um den Zertifizierungsprozess erfolgreich zu bestehen.

Das Ziel: Cybersicherheit als nationale Sicherheitsaufgabe

Ziel ist simpel: Organisationen müssen Mindeststandards der Cybersicherheit erfüllen und leisten so ihren Beitrag zur nationalen Sicherheit. Die Einsätze sind für die geschätzten 300.000 Unternehmen der Defense Industrial Base (DIB) extrem hoch – sie müssen bald auf einer der fünf CMMC-Stufen zertifiziert sein, um für Bundesaufträge qualifiziert zu sein. Einfach gesagt: Keine Zertifizierung, kein Auftrag. Aus Sicht der US-Regierung und des Verteidigungsministeriums waren die Einsätze immer hoch, da die DIB eine kritische Rolle bei der Landesverteidigung spielt. Der einzige Weg, den Schutz unserer Daten und die Integrität der Lieferkette zu gewährleisten, besteht darin, die Industrie an höhere Standards zu binden.

Wie kam es dazu?

Feindliche Aktivitäten staatlicher und nicht-staatlicher Akteure nehmen zu – die wirtschaftlichen Kosten sind gewaltig: Schätzungen zufolge 5 Billionen Dollar weltweit. Andere Berechnungen bezifferten den Schaden für die US-Wirtschaft 2016 auf 57 bis 109 Milliarden Dollar. Doch CMMC geht nicht nur um wirtschaftliche Interessen, sondern um kollektive Verteidigung. Unternehmen jeder Größe tragen zum Erfolg der amerikanischen Streitkräfte bei – und werden durch CMMC einheitlich in die Pflicht genommen.

Im Bundesbereich genügt ein Blick auf bestimmte Kampfjets, um zu verstehen, wie wichtig die Absicherung der Organisationen ist, die letztlich unser Land schützen. Im kommerziellen Bereich zeigte der Target-Datendiebstahl, wie Geschäftspartner zum schwachen Glied werden können, das einen Angriff ermöglicht. Indem wir die DIB stärker in die Verantwortung nehmen, erfüllen wir nicht nur eine neue Geschäftsanforderung, sondern ein strategisches Gebot: größere Resilienz gegen Angriffe. Zeiten und Geschäftsweisen haben sich geändert. Ob es uns gefällt oder nicht – wir bewegen uns auf dem modernen Schlachtfeld, wo Begriffe wie „Krieg“, „Spionage“ und „Verbrechen“ das Präfix „Cyber-“ tragen. Private und öffentliche Akteure müssen mit modernen Antworten darauf vorbereitet sein.

Was ist CMMC?

CMMC umfasst fünf Stufen technischer und prozeduraler Kontrollen zum Schutz von Controlled Unclassified Information (CUI) und Federal Contract Information (FCI) bei DoD-Auftragnehmern. Für Stufe 5 sind 171 Kontrollen zu implementieren und zu prüfen. Die meisten Cybersicherheitsexperten im Bundesbereich werden den Großteil der CMMC-Kontrollen kennen. Tatsächlich finden sich fast alle Kontrollen für Stufe 3 in NIST SP 800-171 wieder. Die betroffenen Organisationen sind seit 2016 verpflichtet, diese Kontrollen einzuhalten. Der entscheidende Unterschied: Selbstzertifizierung und Plans of Actions and Milestones (POA&M) zur Behebung von Mängeln reichen nicht mehr. Eine formale Bewertung durch eine CMMC Third Party Assessor Organization (C3PAO) oder einen vom CMMC Accreditation Body zertifizierten Prüfer ist zwingend. Obwohl noch keine Termine für Assessments feststehen, hat die Ausbildung der ersten CMMC-Prüfer kürzlich begonnen.

Was jetzt zu tun ist

CMMC-Vorbereitung bedeutet, Cybersicherheitsgrundlagen und kontinuierliche Verbesserung zu implementieren, um größere Resilienz zu erreichen. Die Stufen sind kumulativ und gestaffelt – für Stufe 4 muss Stufe 3 vollständig erfüllt sein. Jede Stufe korreliert mit der Raffinesse der Sicherheitspraktiken: von grundlegender Hygiene (Stufe 1) bis zu proaktiven Maßnahmen wie Threat Hunting (Stufe 5). Bei 171 Kontrollen wachsender Komplexität – wo anfangen?

• Sich informieren: Verstehen Sie die technischen Kontrollen und Richtlinien der CMMC.
  • CMMC Version 1
  • CMMC FAQ
• Die passende Stufe bestimmen: Entscheiden Sie, welche Zertifizierungsstufe Sie anstreben. Organisationen, die nur FCI speichern, können mit Stufe 1 zufrieden sein; wer CUI verarbeitet oder an sensiblen Projekten mitwirkt, benötigt mindestens Stufe 3. Das DoD gibt die geforderte CMMC-Stufe in den Ausschreibungen an.
• Sich selbst kennen: Dokumentieren Sie Ihre Umgebung – vom internen Netzwerk bis zu Geschäftspartnern. „Man kann nicht verteidigen, was man nicht kennt.“ Sie müssen Segmentierung, Systeme und Angriffsfläche verstehen, bevor Sie sie schützen können.
• Selbstbewertung: Prüfen Sie Ihren Stand gegenüber den Kontrollen der angestrebten Stufe. Identifizieren Sie Lücken, planen Sie Maßnahmen, bewerten Sie neu. Für zukünftige Flexibilität: Ermitteln Sie, was für die nächsthöhere Stufe nötig wäre.
• Buy-in schaffen: Wir sind nur so stark wie das schwächste Glied. CMMC mindert Risiken im Verteidigungssektor. Manche Kontrollen sind einfach oder bereits umgesetzt, andere erfordern Unterstützung aus verschiedenen Bereichen – Freigaben, Budget, Executive Sponsorship. Technisch anspruchsvolle Kontrollen können ein „Heavy Lift“ sein. Die gesamte Organisation muss pragmatisch mitziehen, um die Mission zu schützen.
• Flexibel bleiben: CMMC ist neu und schafft Brücken zwischen großen, komplexen DoD- und DIB-Entitäten. Es gibt noch Unbekanntes, und was vor einem Monat galt, kann sich ändern. Seien Sie flexibel, geduldig – und erkennen Sie: Wir müssen alle besser werden, um das zu schützen, was wir wertschätzen.

Ob Sie CMMC Stufe 1 oder 5 benötigen, oder gar nicht mit dem DoD Geschäfte machen – die CMMC-Standards sind ein Fahrplan für jede Organisation, um ihre Cybersicherheitsreife zu steigern. Unabhängig vom Ausgangspunkt stellt CMMC-Compliance kleine wie große Organisationen vor Herausforderungen, doch das Ergebnis ist die dringend nötige Verbesserung. Die Sicherung unserer Daten und unseres geistigen Eigentums ist logisch zwingend und absolut notwendig, um technologischen Vorsprung gegenüber Gegnern zu wahren. Kontinuierliche Bewertung und Verbesserung der Cybersicherheitsgrundlagen sind der Schlüssel zu digitaler Resilienz gegen moderne Bedrohungen.

Wayne Lloyd ist Federal Chief Technology Officer bei RedSeal.